Nesta quarta-feira passada, um expert em segurança, Gaurang Pandya, traçou um perfil preocupante da forma como a Nokia captura o tráfego de navegação na Internet nalguns dos seus telefones. Segundo este especialista, a Nokia tem acesso a dados sensíveis que são enviados através de ligações seguras (HTTPS), tais como dados bancários, onde são transmitidas informações relevantes como os nomes de utilizador e palavras-passe para acesso a esses serviços online.
No mês passado, Pandya, um expert em segurança, observou que o seu telefone Nokia (um Asha 302) estava a forçar o tráfego através de um Proxy, em vez de ir directamente ao servidor solicitado. As ligações estavam a ser redireccionadas para servidores Proxy Nokia / Ovi quando era usado o navegador da Nokia ou quando era usado o Opera/Opera Mini (ambos os Browsers usam o mesmo User-Agent).
Pandya disse que não poderia encontrar uma forma de contornar este comportamento man-in-the-middle (MITM) no Opera, a fim de permitir que o tráfego passe normalmente para o servidor de destino. Para afastar outros cenários, também testou o seu antigo telefone Nokia (um C5-03), e reparou que este não tinha o comportamento que estava a observar no novo smartphone.
Apesar de não haver indicação de que a Nokia está a realizar um ataque MITM, o comportamento poderia levar a pensar isso mesmo. Mas, mesmo não acreditando nessa possibilidade, outras questões poderiam ser levantadas: ao utilizar este tipo de desvio de tráfego nos Browsers na Nokia e Opera o que poderiam estar a fazer com os dados recolhidos nos bastidores com essa informação?
O expert em segurança iniciou uma nova investigação. Ele queria verificar se o tráfego HTTPS, no mínimo, estava a ser transferido sem qualquer host intermediário a verificá-lo.
Na investigação, Pandya, verificou se os pedidos de DNS são enviados para o site solicitado e se o certificado é enviado a partir do servidor. O primeiro, ele não o poderia provar que estava ou não a acontecer, mas provou que o último não está a acontecer.
Estas foram as conclusões que retirou:
From the tests that were preformed, it is evident that Nokia is performing Man In The Middle Attack for sensitive HTTPS traffic originated from their phone and hence they do have access to clear text information which could include user credentials to various sites such as social networking, banking, credit card information or anything that is sensitive in nature. In short, be it HTTP or HTTPS site when browsed through the phone in subject, Nokia has complete information unencrypted (in clear text format) available to them for them to use or abuse. Up on checking privacy statement in Nokia’s website following can be found.
Depois destes testes, o expert em segurança está convicto que os endereços dos sites que os utilizadores visitam com o navegador Nokia são armazenados pela Nokia. No entanto, a empresa finlandesa não irá recolher qualquer informação pessoal, identificável no contexto da prestação do serviço em causa. A navegação não está associada a nenhuma informação pessoal que o identifique ou que recolha nomes de utilizador ou palavras-passe.
Também não recolhe qualquer informação sobre as transacções feitas relacionadas sobre compras com o cartões de crédito durante essas sessões de navegação. Além disso, os parâmetros adicionais no URL não são armazenados. [via The next Web]