Northeastern Üniversitesi araştırmacılarının 19 markaya ait 21 otomobil ve bunların telefon uygulamaları üzerinde yaptığı inceleme, uygulamalardan üçüncü taraflara araç kimlik numarası, e-posta adresi ve konum bilgisi gönderildiğini ortaya koydu. Çalışma, verilerin hangi şirketlere ve hangi amaçlarla aktarıldığının sürücüler için daha açık hâle getirilmesi gerektiğine dikkat çekiyor.
Araç ve telefon trafiği ayrı ayrı incelendi
Araştırma ekibi, otomobillerin internet trafiğini kontrol ettikleri ağlara yönlendirdi; test telefonlarındaki uygulamaların bağlantılarını da ayrıca analiz etti. Böylece araçların bağlantısı ile telefon uygulamalarının veri akışını birbirinden bağımsız değerlendirdi.
İncelemenin bir sınırı vardı: Araştırmacılar otomobillerden çıkan şifreli iletişimin içeriğini okuyamadı. Kendi test telefonlarından elde ettikleri uygulama verilerini ise çözümleyebildi. Bu nedenle çalışma, otomobillerin gönderdiği bütün bilgilerin tek tek ortaya çıkarıldığı anlamına gelmiyor.
Araştırmacılardan David Choffnes, şirketlerin gizlilik metinlerinde veri paylaşımı ihtimaline değindiğini ancak bilgilerin kimlere ve hangi gerekçelerle aktarıldığını yeterince anlaşılır biçimde açıklamadığını belirtiyor. Öte yandan araştırma, veriyi alan şirketlerin daha sonra ne yaptığını bütünüyle saptamıyor. Bir adrese veri gönderildiğini gözlemek, bu verinin satıldığını kanıtlamıyor.
Honda, Amplitude’a gönderilen verilerin silinmesini istedi
Bulguların ardından Honda, Amplitude’a iletilen konum ve araç kimlik bilgilerinin silinmesini talep etti. Şirket ayrıca telefon uygulamasını konum aktarımını durduracak şekilde güncelledi. Honda sözcüsü, sözleşmenin paylaşılan verilerin bağımsız biçimde kullanılmasına veya satılmasına izin vermediğini söyledi.
General Motors da hizmet sağlayıcılarla yapılan veri aktarımının sıkı sözleşme koşullarına tabi olduğunu ifade etti. Araştırmacılar ise sürücülerin hangi bilginin kime ve hangi amaçla gönderildiğini daha kolay anlayabilmesini istiyor.
Uygulama izinleri ve hizmet ayarları farklı işlevleri yönetebilir
Otomobil uygulaması kullananların konum izinleriyle bağlantılı hizmet ayarlarını birlikte kontrol etmesi önem taşıyor. Telefon izni, uygulamanın erişebileceği bilgileri belirlerken hizmetin kendi ayarı başka bir tercihi yönetebilir. Ayarları değiştirmeden önce uzaktan kontrol veya konum bulma gibi işlevlerin etkilenip etkilenmeyeceğini incelemek gerekiyor.
2016’da Google ile Fiat Chrysler arasındaki ortaklık, sürücüsüz araçlardan elde edilen verilerin şirketler arasındaki sahipliği tartışmasını öne çıkarmıştı. Yeni araştırma ise doğrudan son kullanıcı uygulamalarına ve verilerin gönderildiği dış alıcılara odaklanıyor.
Ekip, çalışmasını 12–16 Ekim tarihlerinde Karlsruhe’de düzenlenen ACM Internet Measurement Conference’ta sunacak. Bulgular, araştırmada incelenen araç ve uygulamalarla sınırlı. Türkiye’deki tüm modellerin veya aynı markanın her yazılım sürümünün aynı şekilde davrandığı sonucuna varmak için ayrıca ölçüm yapılması gerekiyor.
