Android-skandalen kan være oppblåst

– Ingen bevis for at Carrier IQ lagrer eller sender tastetrykk fra telefonen.

Slik så det ut da Trevor Eckhart demonstrerte hva IQRD hadde tilgang på.
Slik så det ut da Trevor Eckhart demonstrerte hva IQRD hadde tilgang på.

De siste dagene har historien om Carrier IQ sveipet over internett med voldsomt tempo. Programvaren fra Carrier IQ er presenteres i utgangspunktet som diagnoseprogramvare som skal hjelpe operatører og produsenter med å forbedre produktene sine. Det er usikkert om det er alt den kan gjøre.

Kjører i bakgrunnen

Programmereren Trevor Eckhart var den første til å stille spørsmål ved programvaren. Nå er det usikkert akkurat hvor farlig programvaren er. Det er nemlig ikke sikkert at den gjør noe mer enn å ha tilgang.

Les også: Amerikanske Android-brukere i harnisk

Carrier IQs programvare heter IQRD, og Eckhart fant denne programvaren i applikasjonslisten på Android-telefonen sin. Den lå ikke under kjørende applikasjoner, men han kunne likevel velge å forsøke å stoppe programvaren. At man i det hele tatt kunne velge dette antydet at programvaren kjørte i bakgrunnen.

Ser alt

Etter litt graving kom Eckhart frem til at programvaren faktisk kjørte på telefonen hans og at den hadde tilgang på nærmest hva den ville av data. IQRD så alt fra tastetrykk som ble gjort på telefonen, innhold i tekstmeldinger og posisjonsdata.

Surfing på ellers sikre sider med adresser som starter på "https:// ...", var også godt synlig for programvaren. Dette inkluderer for eksempel nettbanker og e-posttjenster.

– Vi måler bare ytelsen

Spørsmålet som nå stilles er hva, om noe, gjør IQRD med disse dataene. For eksempel vil nettleseren din behøve tilgang på akkurat de samme dataene for å kunne vise deg den sikre siden.

Carrier IQ hevder selv akkurat dette i en pressemelding.

– Selv om vi ser på mange deler av en telefons virkemåte er det ytelsen vi registrerer. Programvaren er ikke laget for å gi informasjon om tastetrykk og posisjon, står det i pressemeldingen.

Hendelsesforløp

Hvis vi drar paralleller til andre typer programvare kan det hende at det er en riktig beskrivelse. Du har kanskje lagt merke til at programvare som akkurat har kræsjet spør deg om hva du gjorde som ledet til kræsjet. Alle deler operativsystemet på telefonen kan være delaktige i å skape slike kræsj, inkludert tastetrykk og inkommende tekstmeldinger. Vi vet blant annet at enkle viruskoder som slo ut Symbian-telefoner for noen år siden ble sendt ved hjelp av tekstmeldinger.

I slike sammenhenger er det ofte hendelsesforløpet som er viktig. Altså hvilken type handlinger som gjøres, og ikke nødvendigvis nøyaktig hvilke taster som ble trykket på.

Støttes av sikkerhetseksperter

Carrier IQ får dessuten støtte fra sikkerhetskonsulent Dan Rosenberg ved Virtual Security Research.

– Videoen viser bare diagnostikkdata. Det er ingenting i videoen som viser at dataene blir lagret eller sendt tilbake til Carrier IQ, forteller Rosenberg til Los Angeles Times.

Etter å ha analysert koden i IQRD har Rosenberg funnet det han kaller et komplett fravær av kode som antyder at tastetrykkene blir lagret eller sendt noe sted.

En annen sikkerhetsekspert, Jan Oberheide i Duo Security, forteller til samme avis at dette dreier seg om beskjeder som sendes inn i Androids eget loggsystem for å hjelpe programmere med utvikling.

– Det ser ut til at Carrier IQ henter noen målinger ut av applikasjonen, men jeg har ikke sett noen bevis for at tastetrykk, tekstmeldinger eller innhold i nettleseren sendes noe sted utenfor telefonen, sier Oberheide.

Denne appen finner ut om Android-telefonen kjører programvare fra Carrier IQ.
Denne appen finner ut om Android-telefonen kjører programvare fra Carrier IQ.

Ikke i Norge

Så langt er vi kun kjent med at Carrier IQ befinner seg på amerikanske telefoner som selges gjennom et utvalg operatører.

Dersom du likevel vil sjekke om programvaren er installert på din telefon har det kommet raske og enkle løsninger for å både se etter applikasjonen og å bli kvitt den.

Voodoo Simple CarrierIQ Detector er gratis å laste ned fra Android Market, og den krever ikke såkalt root-tilgang på telefonen. Den er foreløpig på et tidlig stadie i utviklingen, og det advares mot at den i enkelte tilfeller kan gi feil resultat.

Dersom du får beskjed om at Carrier IQ er installert på telefonen din fins det også en app for å ta bort programvaren. Den er laget av samme mann som fant programvaren i utgangspunktet, Trevor Eckhart.

Appen Logging Checker koster seks kroner, men skal kunne sikre telefonen helt mot denne typen løsninger. Denne appen må lastes ned fra forumet xda-developers.com. Denne krever imidlertid at Android-telefonen er rootet.

Les også: Android-skolen del 5: Slik rooter du mobilen din

Etter at telefonen din er rootet må du installere appen og betale for den i Android Market.

(Kilder: engadget.com, latimes.com, carrieriq.com)

Norges beste mobilabonnement

Juni 2017

Kåret av Tek-redaksjonen

Jeg bruker lite data:

Ice Mobil 1 GB


Jeg bruker middels mye data:

Telio Go 5 GB


Jeg bruker mye data:

Komplett Maxiflex 12 GB


Jeg er superbruker:

Komplett Megaflex 30 GB


Finn billigste abonnement i vår mobilkalkulator

Forsiden akkurat nå

Til toppen