HTCは、キャリアIQ、HTCロガーの安全でない実装をめぐってFTCで解決

HTC AmericaはFTC（連邦取引委員会）と、同社がデバイス上のソフトウェアの安全でない実装によって何百万もの顧客の個人情報を危険にさらすという懸念について和解しました。 FTCは、HTCがデバイス用のソフトウェアを作成する際に最高のコーディングとセキュリティの実践を実装する際に合理的な注意を払っていないことを発見しました。

エンジニアリングスタッフに適切なセキュリティトレーニングを提供できず、潜在的なセキュリティ脆弱性についてモバイルデバイスのソフトウェアをレビューまたはテストできず、よく知られた一般的に受け入れられているセキュアコーディングプラクティスに従わず、受信および受信のプロセスを確立できませんでしたサードパーティからの脆弱性レポートに対処します。」

これらは会社にとって非常に強力な言葉ですが、実際に目に付くのは、この監視不足によって引き起こされた消費者に直面した問題です。 FTCは、HTCのデバイスでのCarrier IQおよびHTC Loggerの実装により、サードパーティがAndroidの組み込みの許可システムをバイパスできるエラーとともに、顧客データが攻撃に対して脆弱になったと説明しています。

FTCの苦情の2番目の部分は、HTCがソフトウェア実装のセキュリティリスクについて消費者に伝えるのに欺de的であり、「Tell HTC」アプリのデバイスユーザーマニュアルとインターフェースが誤解を招くと述べていることです。 実装におけるこれらの問題は両方とも、ユーザーのデータを安全に保つAndroidの通常の同意メカニズムを損なったと言われています。

では、これはHTCにとって何を意味するのでしょうか？ FTCは、これらの脆弱性の影響を受けるデバイスのソフトウェアパッチを開発してリリースすることを会社に求めています。HTCは、現時点でいくつかのパッチをすでにリリースしていると述べています。 さらに、HTCは今後20年間、2年ごとに「独立したセキュリティ評価」に提出する必要があります。 また、HTCは、今後そのデバイスおよびユーザーのデータのセキュリティについて誤解を招くような発言を行うことも禁止されます。

これはFTCからの非常に大きな発見ですが、必ずしも珍しいことではありません。 これらのセキュリティホールを利用した広範なエクスプロイトはなかったかもしれませんが、HTCがセキュリティを前進させるために変更を加えることが重要です。 ただし、HTCがFTCによる調査を行うよりも、そもそもHTCがベストプラクティスを実装していた方がよかったと思います。

出典：FTC