Аналітики Cybernews вивчили політики конфіденційності 25 найбільших виробників побутових роутерів на ринку США. Жоден із них прямо не пише, чи записує маршрутизатор, до яких сайтів звертаються під’єднані до нього пристрої, йдеться в дослідженні.
Самих пристроїв автори при цьому не перевіряли. Вони не аналізували ні мережевий трафік, ні прошивки, ні поведінку обладнання, а оцінювали лише публічні документи компаній.
Головну проблему дослідники бачать у тому, що окремих політик для роутерів здебільшого немає. Замість них багато брендів мають один документ на все одразу: інтернет-магазин, мобільні застосунки, хмарні сервіси, камери відеоспостереження, пристрої розумного дому й мережеве обладнання. Через це покупцеві важко збагнути, які положення стосуються саме домашнього маршрутизатора.
Найкраще цю прогалину видно на прикладі звернень пристроїв до доменних імен (DNS-запитів). Жоден із 25 виробників не вказав, чи веде роутер журнал таких звернень. Такі звернення не розкривають вмісту конкретних сторінок, проте їхня історія може багато розповісти про звички, інтереси й активність користувача.
Підписуйтесь на Mediasat у Telegram: тут найцікавіші новини ТБ та телекому
Схожа невизначеність і з аналізом інтернет-трафіку. Документи 20 компаній не дають однозначної відповіді, чи застосовують вони поглиблену перевірку вмісту трафіку (Deep Packet Inspection, DPI). Прямо відмовилися від такого аналізу лише Google Nest і Ubiquiti Cloud. Amazon Eero, MSI Radix та AT&T Turbo Hotspot, навпаки, допускають його в окремих конфігураціях.
Про збір звичайних особистих даних виробники пишуть значно докладніше. Так, 84% компаній повідомляють, що збирають адресу електронної пошти та ім’я облікового запису. Майже половина прямо називає одразу чотири категорії даних: ім’я, e-mail, номер телефону й поштову адресу.
Окремо дослідники перевірили, що бренди пишуть про геолокацію та сусідні мережі Wi-Fi. Сім компаній допускають, що отримують точне місцеперебування пристрою, ще шість — за певних умов. Ідентифікатори сусідніх точок доступу (SSID і BSSID), за якими можна встановити фізичне розташування, прямо згадують лише D-Link та Amazon Eero. У більшості виробників ця практика не описана взагалі.
Сигнал Wi-Fi домашній роутер може використовувати й для інших цілей. Так, у серпні Comcast навчив шлюзи Xfinity розпізнавати рух у приміщенні за змінами цього сигналу.
Щоб порівняти прозорість брендів, Cybernews нараховувала кожному від 0 до 66 балів. Підтверджений збір даних давав 3 бали, відсутність інформації — 2, збір за певних умов — 1, а пряма заява, що дані не збирають, — 0. Отже, що вищий підсумок, то більше в документах компанії невизначеності або заявленого збору.
Найбільше балів отримали D-Link (56), Omada від TP-Link (55), Amazon Eero (53), Xiaomi Mesh, Wyze і Cudy (по 52), а також TP-Link, Netgear і Ubiquiti Cloud (по 51). Найменше — в Asus (34), MSI Radix (38) та Google Nest (39). Втім, автори наголошують, що це не рейтинг найприватніших роутерів, а оцінка змісту юридичних документів.
Головний висновок дослідження не в тому, що виробники неодмінно аналізують домашній трафік. Річ в іншому: з їхніх публічних політик часто неможливо впевнено зрозуміти, роблять вони це чи ні. Для пристрою, через який проходить майже весь трафік домашньої мережі, дослідники вважають таку невизначеність серйозною проблемою.
