Senators al franken iztaujāja Samsung par privātumu un galaktiku s5 pirkstu nospiedumu skeneri

Minesotas senatoram Al Frankenam ir daži jautājumi par jūsu privātumu un pirkstu nospiedumu skeneri ierīcē Galaxy S5, un viņš ir nosūtījis vēstuli Samsung, lai iegūtu dažas atbildes. Mēs esam redzējuši, kā Franken dara to pašu pagājušajā gadā, kad iPhone 5S debitēja ar pirkstu nospiedumu skenēšanas tehnoloģiju, tāpēc mēs nevaram teikt, ka esam pārsteigti.

Pirkstu nospiedumi ir pretstats noslēpumam. Jūs tos atstājat uz neskaitāmiem objektiem, kuriem pieskaraties visas dienas garumā: automašīnas durvīm, ūdens glāzei vai pat viedtālruņa ekrānam. Un atšķirībā no parolēm, pirkstu nospiedumus nevar mainīt. Ja hakeri saņem jūsu pirksta nospieduma digitālo kopiju, viņi to var izmantot, lai uzdotos par jums atlikušo mūžu, it īpaši tāpēc, ka arvien vairāk tehnoloģiju sāk paļauties uz pirkstu nospiedumu autentifikāciju. - senators Frankens

Senators Frankens atzīst, ka Samsung ir veicis pasākumus, lai saglabātu lietotāju datus privātus, kad viņi izmanto pirkstu nospiedumu skeneri, taču viņš pievēršas bažām par uzlaušanas iespējām un to, ko Samsung plāno darīt ar visiem datiem, ko viņi var iegūt.

Kopumā Frankens faktiski dara savu darbu un pieskata savus vēlētājus. Seko vēstules atšifrējums.

Avots: senators Al Franken

2014. gada 13. maijs

Dr Oh-Hyun Kwon, Samsung Electronics Co., Ltd. izpilddirektors. Samsung Main Building 250, Taepyeongno 2-ga, Jung-gu Seula, 100-742, Koreja

Gregorijs Lī, Samsung Electronics Ziemeļamerikas izpilddirektors 85 Challenger Road Ridgefield Park, NJ 07660

Cienījamie Dr Kwon un Lee kungs:

Es rakstu jums, lai jautātu par privātuma aizsardzību pirkstu nospiedumu skenēšanas tehnoloģijai viedtālrunī Samsung Galaxy S5, kas nesen nonāca pārdošanā. Mani satrauc ziņojumi, ka Samsung pirkstu nospiedumu skeneris var nebūt tik drošs, kā varētu šķist, un ka šie drošības trūkumi var radīt plašākas drošības problēmas S5 viedtālrunī. Es rakstu, lai pieprasītu informāciju par to, kā Samsung risina šos un citus privātuma jautājumus par savu pirkstu nospiedumu skeneri.

Pirkstu nospiedumu tehnoloģijas drošības priekšrocības nav tik skaidras, kā daudzi varētu gaidīt. No vienas puses, ir vieglāk pārvilkt pirkstu, nekā izspiest sarežģītu paroli. Tādējādi pirkstu nospiedumu skenētāja ērtības dēļ vairāk viedtālruņu īpašnieku faktiski var bloķēt savus tālruņus. No otras puses, pirkstu nospiedumu skeneri rada akūtas drošības problēmas, kas parolēm nav, it īpaši, ja tās tiek izmantotas nevis paroles pārbaude, bet gan tās vietā. Kā es paskaidroju iepriekšējā vēstulē Apple par viņu Touch ID pirkstu nospiedumu skeneru ieviešanu, paroles ir slepenas un dinamiskas, bet pirkstu nospiedumi ir publiski un pastāvīgi. Ja jūs nevienam nepateiksit savu paroli, neviens to neuzzinās. Ja tas tiek uzlauzts, varat to mainīt pēc minūtes vai divām.

Pirkstu nospiedumi ir pretstats noslēpumam. Jūs tos atstājat uz neskaitāmiem objektiem, kuriem pieskaraties visas dienas garumā: automašīnas durvīm, ūdens glāzei vai pat viedtālruņa ekrānam. Un atšķirībā no parolēm, pirkstu nospiedumus nevar mainīt. Ja hakeri saņem jūsu pirksta nospieduma digitālo kopiju, viņi to var izmantot, lai uzdotos par jums atlikušo mūžu, it īpaši tāpēc, ka arvien vairāk tehnoloģiju sāk paļauties uz pirkstu nospiedumu autentifikāciju.

Tāpat kā Apple Touch ID, arī Galaxy S5 pirkstu nospiedumu skeneris tika uzlauzts dažas dienas pēc viedtālruņa izlaišanas. Drošības pētnieki apiet abus skenerus, izveidojot viltotu gumijas izdruku no pirksta nospieduma, kas pacelts no viedtālruņa ekrāna.

Sākotnējie ziņojumi arī liecina, ka Galaxy S5 var radīt bažas par drošību, kādas nav Touch ID. Kā ziņots, Galaxy S5 pirkstu nospiedumu skeneris ļauj veikt neierobežotus autentifikācijas mēģinājumus bez paroles uzvednes, savukārt Apple Touch ID ir nepieciešama parole tikai pēc pieciem neveiksmīgiem mēģinājumiem. Turklāt, lai gan Touch ID var izmantot tikai ierīces atbloķēšanai un piekļuvei noteiktām stingri uzraudzītām Apple lietotnēm, šķiet, ka Galaxy S5 ļauj jebkurai lietotnei paroles vietā izmantot pirkstu nospiedumu skeneri. Tas nozīmē, ka jūs varat izmantot Galaxy S5 pirkstu nospiedumu skeneri, lai nosūtītu naudu PayPal un piekļūtu savai paroles lietotnei; diemžēl tas, iespējams, nozīmē, ka to var izdarīt arī slikti aktieri, kuri izkrāpj jūsu pirkstu nospiedumus. Šī plašāka pieeja skenerim varētu potenciāli ļaut trešajām personām piekļūt sensitīvai informācijai, ko rada tehnoloģija.

Es ar cieņu lūdzu Samsung sniegt atbildes uz šādiem jautājumiem. Visi, izņemot pirmos, ir gandrīz identiski tiem jautājumiem, kurus pagājušajā gadā uzdevu Apple.

(1) Cik precīzi Samsung aizsargā pirkstu nospiedumu datus, ko ģenerējis Galaxy S5 pirkstu nospiedumu skeneris?

(2) Vai ir iespējams konvertēt lokāli saglabātos pirkstu nospiedumu datus digitālā vai vizuālā formātā, ko var izmantot trešās puses?

(3) Vai ir iespējams iegūt un iegūt pirkstu nospiedumu datus no Galaxy S5? Ja jā, vai to var izdarīt attālināti vai ar fizisku piekļuvi ierīcei?

(4) Vai pirkstu nospiedumu dati tiks dublēti lietotāja datorā? Vai pirkstu nospiedumu dati tiks dublēti mākonī vai Samsung serveros?

(5) Vai Galaxy S5 pārsūta diagnostikas informāciju par pirkstu nospiedumu skenēšanas sistēmu Samsung vai kādai citai pusei? Ja jā, kāda informācija tiek pārsūtīta?

(6) Kā tieši Samsung un trešo personu lietotnes mijiedarbojas ar pirkstu nospiedumu skeneri? Kādu informāciju šīs lietotnes vāc no pirkstu nospiedumu skenēšanas sistēmas, un kādu informāciju Samsung apkopo saistībā ar šīm mijiedarbībām, ieskaitot identifikatorus vai jaucējus, kas saistīti ar pirkstu nospiedumu datiem?

(7) Kādi ir Samsung nākotnes plāni par pirkstu nospiedumu skenēšanas tehnoloģiju? Vai tā izmantos tehnoloģiju planšetdatoros, kā liecina ziņu ziņojumi?

(8) Vai Samsung var pārliecināt savus lietotājus, ka tas nekad nedalīsies ar pirkstu nospiedumu datiem, kā arī ar rīkiem vai citu informāciju, kas nepieciešama, lai iegūtu vai manipulētu ar Galaxy S5 pirkstu nospiedumu datiem, ar kādu trešo personu?

(9) Vai Samsung var pārliecināt savus lietotājus, ka nekad nevienai valdībai netiks koplietoti viņu pirkstu nospiedumu dati, kā arī rīki vai cita informācija, kas nepieciešama, lai iegūtu vai manipulētu ar Galaxy S5 pirkstu nospiedumu datiem, ja nav atbilstošu juridisku pilnvaru un procesa?

(10) Saskaņā ar Amerikas tiesību aktiem par privātumu, tiesībaizsardzības aģentūras nevar piespiest uzņēmumus atklāt orderi bez saziņas ar saziņu "saturu", un uzņēmumi bez klienta piekrišanas nevar apmainīties ar šo informāciju ar trešām personām. Tomēr "ierakstu vai citu informāciju, kas attiecas uz abonentu … vai klientu", var brīvi atklāt jebkurai trešai personai bez klienta piekrišanas, un to var atklāt tiesībaizsardzības iestādēm, izdodot tiesas lēmumu, kas nav ticams. Turklāt "abonenta numuru vai identitāti" var atklāt valdībai ar vienkāršu tiesas pavēsti. Skatīt kopumā 18 USC § 2702–2703.

Vai Samsung uzskata, ka pirkstu nospiedumu dati ir komunikāciju, klientu vai abonentu ierakstu "saturs" vai "abonenta numurs vai identitāte", kā noteikts Uzglabāto komunikāciju likumā?

(11) Saskaņā ar Amerikas izlūkdienestu likumu Federālais izmeklēšanas birojs var lūgt rīkojumu, ar kuru pieprasa uzrādīt "jebkādas taustāmas lietas (ieskaitot grāmatas, ierakstus, dokumentus, dokumentus un citus priekšmetus)", ja tās uzskata par atbilstošām noteiktai ārvalstu izlūkošanas izmeklēšanai.. Skatīt 50 USC § 1861.

Vai Samsung uzskata, ka pirkstu nospiedumu dati ir "taustāmas lietas", kā noteikts ASV PATRIOT likumā?

(12) Saskaņā ar Amerikas izlūkdienestu likumu Federālais izmeklēšanas birojs var vienpusēji izdot Nacionālās drošības vēstuli, kurā telekomunikāciju pakalpojumu sniedzējiem tiek uzlikts pienākums atklāt "informāciju par abonentiem" vai "elektronisko sakaru darījumu ierakstus, kas atrodas tā glabājumā vai valdījumā". Nacionālās drošības vēstules parasti satur aizturēšanas kārtību, kas nozīmē, ka adresāti nevar atklāt, ka viņi ir saņēmuši vēstuli. Skatīt, piemēram, 18 USC § 2709.

Vai Samsung uzskata, ka pirkstu nospiedumu dati ir “informācija par abonentiem” vai “elektronisko sakaru darījumu ieraksti”, kā noteikts Uzglabāto komunikāciju likumā?

(13) Vai Samsung uzskata, ka lietotāji var pamatoti cerēt uz pirkstu nospiedumu datu privātumu, ko viņi sniedz pirkstu nospiedumu skenerim?

Es nemēģinu atturēt no pirkstu nospiedumu tehnoloģijas pieņemšanas mobilajām ierīcēm. Ja šī tehnoloģija tiek ieviesta ar stingriem aizsardzības līdzekļiem, tā var izrādīties ērta un izdevīga. Mans mērķis drīzāk ir mudināt uzņēmumus visdrošākajā veidā izmanot šo tehnoloģiju un izveidot publisku ierakstu par to, kā uzņēmumi izturas pret sensitīvu biometrisko informāciju.

Paldies par jūsu laiku un uzmanību šiem jautājumiem. Es lūdzu Samsung viņiem atbildēt mēneša laikā pēc šīs vēstules saņemšanas.