Hva vet sikkerhetspakken din om deg?

Du installerte den sikkerhetspakken for å beskytte datamaskinen og personvernet ditt, men hva rapporterer den til produsenten? Kan suiten din i seg selv være en sikkerhetsrisiko? Et par tyske datamagasiner ga AV-Comparatives i oppdrag å finne ut av det. Resultatene deres er nå offentlig tilgjengelige, og rapporten gir interessant lesning.

Datakilder

For å starte lastet forskerne 21 populære sikkerhetssuiter på test-PC-er og analyserte nettverkstrafikken deres, og så på akkurat hvilke data som ble sendt. Rapporten bemerker at "i noen tilfeller" var dataene kryptert, slik at de ikke kunne lese dem. Det er som det skal være, men det innebærer at dataene i andre tilfeller ikke var kryptert. Akk, rapporten identifiserer ikke hvilke som var.

De gjennomgikk også sluttbrukerlisensavtalen (EULA) og personvernregler som følger med hvert produkt. Disse dokumentene skal presisere nøyaktig hvilke data programmet kan sende tilbake til produsenten.

Som et siste trinn sendte de et detaljert spørreskjema til hver leverandør, selv om de ga de to andre datakildene mer vekt enn resultatene av spørreskjemaet. Rapporten bemerker at leverandørene i noen tilfeller ikke svarte på spesielle spørsmål, av forskjellige grunner. "Vi forstår at for mye åpenhet kan være nyttig for kriminelle, " bemerket rapporten. "Vi aksepterer dermed at leverandører ikke kan gi oss informasjon som kan svekke sikkerheten."

Hva deler de

Det er ganske mye variasjon i mengde og type informasjon som deles av de forskjellige leverandørene. De deler alle nødvendigvis produktversjonen for å holde seg oppdatert, og det er helt rimelig. Nesten alle av dem tildeler hver installasjon en unik identifikator, slik at de kan samle informasjon fra en spesifikk maskin uten nødvendigvis å identifisere brukeren.

Og likevel kan systeminformasjonen som deles av mange av produktene godt identifisere brukeren. Nesten halvparten av produktene deler Windows-brukernavnet, som i mange tilfeller er brukerens fulle navn. Vel over halvparten overfører datamaskinnavnet. Hmm, kanskje jeg ikke burde ha kalt min "Neil's Computer".

Mange sikkerhetsfunksjoner må sende tilleggsinformasjon om datamaskinbruken din. Et produkt hvis funksjoner inkluderer en sårbarhetssjekk, vil nødvendigvis sende versjonsnumrene til installerte tredjepartsprogrammer, for eksempel. Komponenter for nettfisking og foreldrekontroll kan overføre hver nettadresse du besøker. Og ethvert antivirusprogram som inkluderer en skybasert deteksjonskomponent, må sende filhashes, eller i noen tilfeller hele filer som er mistenkelige.

Brennende spørsmål

Det kan tenkes at en sikkerhetsleverandør kan være pålagt av offentlige etater å snu dataene de har samlet til en bestemt bruker. Ulike jurisdiksjoner har forskjellige lover på dette området, så det kan være ganske viktig å vite hvor dataene er lagret. Ni av de testede leverandørene lagrer dataene sine i EU, syv i USA. EU har strengere personvernlover, så dette er viktig. Det var også en i Russland (Kaspersky) og en i Sør-Korea (AhnLab). Tre leverandører nektet å oppgi hvor dataene deres er lagret.

Her er noe jeg ikke hadde tenkt på. Det kan tenkes at en leverandør etter en rettskjennelse kan bli tvunget til å levere en "spesiell" oppdatering til spesifikke bruker-ID-er, kanskje for å overvåke terrormistenkte. 13 av leverandørene sa nei, de gjør aldri dette. Resten nektet å svare, noe som er litt irriterende.

I sannhet trenger sikkerhetspakken din absolutt å sende ganske mye informasjon tilbake til hjemmebasen for å gjøre jobben sin. Rapporten gir detaljerte opplysninger om hver leverandørs datainnsamling. Min største takeaway er at du faktisk bør lese EULA og personvernreglene for sikkerhetspakken din, og velge bort all datainnsamling som ikke er nødvendig for sikkerhet. For å gjøre kontroll av EULAs enkle, avsluttes rapporten med EULA-koblinger for leverandørene som gjør disse tilgjengelige online.