การแกะกล่องสมาร์ทโฟนใหม่ถือเป็นหนึ่งในความสุขใหม่ของเทคโนโลยี ถอดกระดาษแก้ว เลื่อนด้านบนออกจากกล่อง และเปิดเครื่องอุปกรณ์เก่าของคุณ โลโก้บูตหมุนด้วยสีสันทั้งหมดในขณะที่โทรศัพท์เตรียมระบบปฏิบัติการใหม่
แต่ถ้ามันไม่สะอาดสะอ้านนักล่ะ? ภายใต้ภายนอกที่สดใสนั้นอาจแฝงตัวบางสิ่งที่น่ากลัวยิ่งกว่า ผลปรากฏว่า มีหลักฐานมากขึ้นเรื่อยๆ ที่คุณอาจเชื่อถือโทรศัพท์ Android เครื่องใหม่ไม่ได้
ซัพพลายเชนอุปกรณ์อิเล็กทรอนิกส์สำหรับผู้บริโภค
ห่วงโซ่อุปทานการผลิตสมัยใหม่มีความซับซ้อน อันเป็นผลมาจากโลกาภิวัตน์ ทำให้มีตลาดทั่วโลกสำหรับทุกอย่างตั้งแต่วัตถุดิบจนถึงผลิตภัณฑ์สำเร็จรูป และอุปกรณ์อิเล็กทรอนิกส์สำหรับผู้บริโภคก็ไม่ต่างกัน ผู้ผลิตอุปกรณ์อิเล็กทรอนิกส์รายใหญ่ที่สุดรายหนึ่งคือจีน ซึ่งมีธุรกิจตะวันตกจำนวนมากจ้างงานภายนอกตั้งแต่เริ่มมีการเติบโตทางเศรษฐกิจในช่วงทศวรรษ 1980
ชาวจีนยังเป็นผู้ผลิตซิลิกอนรายใหญ่ที่สุด ซึ่งเป็นวัสดุที่สำคัญในอุปกรณ์อิเล็กทรอนิกส์สมัยใหม่ ประเทศมีหน้าที่รับผิดชอบในการผลิตอุปกรณ์อิเล็กทรอนิกส์สำหรับผู้บริโภคส่วนใหญ่ที่มีการใช้งานทั่วโลก การนำเข้าของจีนไปยังสหรัฐอเมริกามีมูลค่ารวม 189 พันล้านดอลลาร์ในปี 2560 เพียงปีเดียว การเติบโตอย่างมหัศจรรย์และการครอบงำตลาดส่งผลให้เกิดสงครามการค้าระหว่างสหรัฐฯ และจีนเมื่อเร็วๆ นี้ โดยทั้งสองประเทศเก็บภาษีศุลกากรอย่างหนักสำหรับสินค้าของกันและกันตลอดปี 2018
แม้ว่าจีนจะควบคุมห่วงโซ่อุปทานการผลิตในสัดส่วนที่มาก แต่วัสดุและส่วนประกอบที่ประกอบแล้วก็มีแหล่งที่มาจากทั่วโลก ด้วยเหตุผลนี้เองที่ Apple iDevice ของคุณมีคำว่า "Designed in California. Assembled in China" ที่ด้านหลังสลักไว้ ในบทความเรียงความเรื่อง "I, Pencil" ในปี 1958 นักเศรษฐศาสตร์ Leonard Read ได้ให้รายละเอียดเกี่ยวกับกระบวนการที่ซับซ้อนซึ่งจำเป็นสำหรับการผลิตดินสอแท่งเดียว ซึ่งเป็นผลิตภัณฑ์ที่ใช้แล้วทิ้งที่ดูเหมือนง่าย
ห่วงโซ่อุปทานอิเล็กทรอนิกส์ที่กว้างขวางและซับซ้อนหมายความว่าการตรวจสอบย้อนกลับที่แม่นยำเป็นงานที่แทบจะเป็นไปไม่ได้
การผลิตสมาร์ทโฟน Android
แนวทางการทำสวนติดผนังของ Apple หมายความว่าพวกเขาควบคุมกระบวนการผลิตของตนอย่างเข้มงวด บริษัทเคยถูกกล่าวหาว่าอยู่ในสภาพที่ย่ำแย่และไม่ปลอดภัยสำหรับพนักงานในโรงงาน แต่พวกเขาก็ควบคุมกระบวนการอย่างเข้มงวด
ไม่สามารถพูดได้เหมือนกันสำหรับอุปกรณ์ Android
Google ใช้แนวทางแบบแฮนด์ออฟกับระบบปฏิบัติการมือถือของพวกเขา เนื่องจาก Android เป็นโอเพ่นซอร์ส ผู้ผลิตจึงสามารถทำทุกอย่างที่ต้องการได้โดยไม่ต้องจ่ายแม้แต่บาทเดียว โมเดลธุรกิจนี้ได้รับเครดิตจากการขับเคลื่อน Android สู่กระแสหลักและการครอบงำตลาดในปัจจุบัน
อย่างไรก็ตาม วิธีการนี้มีข้อเสียบางประการ การแยกส่วน การอัปเดตช้าหรือบางครั้งไม่มีอยู่จริง และตัวเรียกใช้งานที่ไม่ตอบสนองหรือมีปัญหากับสแปม เป็นต้น ผู้ผลิตและผู้ให้บริการแต่ละรายสามารถออกแบบฮาร์ดแวร์และซอฟต์แวร์ของแต่ละอุปกรณ์ได้ เป็นผลให้มีอุปกรณ์ Android ที่แตกต่างกันมากมายในตลาด
เนื่องจากกระบวนการผลิตส่วนใหญ่ทำในประเทศจีน (ซึ่งเป็นสาเหตุที่การซื้อโทรศัพท์โดยตรงจากจีนกำลังเป็นที่นิยมอย่างมาก) โรงงานต่างๆ มักจะประกอบสมาร์ทโฟนสำหรับผู้ผลิตหลายราย พวกเขาอาจทำงานในสายการผลิตเดียวกันโดยมีเพียงการเปลี่ยนตราสินค้าเท่านั้น สิ่งนี้นำไปสู่อุปกรณ์จำนวนมากที่แชร์ซอฟต์แวร์ ส่วนประกอบ และบางครั้งแม้แต่ผลิตภัณฑ์สำเร็จรูปทั้งหมด
คุณไม่สามารถเชื่อถือสมาร์ทโฟนเครื่องใหม่ได้
ลักษณะเปิดของ Android ทำให้มัลแวร์อยู่ในลักษณะที่อุปกรณ์ที่ได้รับการดูแลอย่างดีของ Apple ไม่ทำ แม้ว่า Google ได้ดำเนินการตามขั้นตอนต่างๆ ในช่วงไม่กี่ปีที่ผ่านมาเพื่อปรับปรุงความปลอดภัยของแพลตฟอร์ม แต่แนวทางปฏิบัติที่ไม่ดีและซัพพลายเชนที่ซับซ้อนของผู้ผลิตเปิดโอกาสให้ผู้โจมตีที่ประสงค์ร้าย
มัลแวร์ RottenSys
ในช่วงต้นปี 2018 บริการ Wi-Fi บน Xiaomi Redmi ได้รับความสนใจจากนักวิจัยที่ Check Point Research (CPR) หลังจากการสอบสวน พวกเขาพบว่าไม่มีบริการ Wi-Fi เลย แต่ขอรายการการอนุญาตที่ละเอียดอ่อนของ Android หลายรายการ ซึ่งไม่เกี่ยวข้องกับบริการ Wi-Fi
การอนุญาตที่มีความหมายมากที่สุดอย่างหนึ่งคือ DOWNLOAD_WITHOUT_NOTIFICATION ดูเหมือนว่าแอปจะใช้การอนุญาตนี้ในการดาวน์โหลดซอฟต์แวร์ที่เป็นอันตรายจากเซิร์ฟเวอร์ Command &Control (C&C) หลังจากเกิดความล่าช้าเล็กน้อยเมื่อเปิดเครื่องในครั้งแรก มัลแวร์ที่รู้จักกันในชื่อ RottenSys สามารถซ่อนตัวจากระบบปฏิบัติการได้โดยใช้เฟรมเวิร์กโอเพนซอร์สที่เรียกว่า MarsDaemon เพื่อให้กระบวนการทำงานต่อไป
เซิร์ฟเวอร์ C&C ได้จัดเตรียมไฟล์สำหรับเครือข่ายโฆษณาที่เป็นอันตราย ซึ่งได้รับการติดตั้งอย่างเงียบๆ บนโทรศัพท์โดยบริการ Wi-Fi ปลอม การทำ CPR ประมาณการว่าผู้โจมตีสามารถหารายได้สูงถึง 115,000 ดอลลาร์ต่อปฏิบัติการทุก ๆ สิบวัน นักวิจัยยังพบหลักฐานว่าผู้โจมตีกำลังเตรียมพร้อมที่จะรับสมัครอุปกรณ์ที่ติดเชื้อไปยังบ็อตเน็ต (บ็อตเน็ตคืออะไร)
การตรวจสอบของ CPR พบว่าผู้ค้าส่งอุปกรณ์อิเล็กทรอนิกส์ Tian Pai จัดการอุปกรณ์ที่ติดเชื้อเกือบครึ่งหนึ่ง แม้ว่าพวกเขาจะไม่ได้แนะนำว่า Tian Pai มีความซับซ้อน แต่พวกเขาก็สรุปได้ว่ามัลแวร์อาจถูกติดตั้งในบางจุดในซัพพลายเชน
มัลแวร์เริ่มแพร่กระจายในเดือนกันยายน 2559 และในเดือนมีนาคม 2561 ได้ติดเชื้ออุปกรณ์เกือบห้าล้านเครื่องทั่วโลก โชคดีที่การลบ RottenSys ใช้เวลาเพียงไม่กี่วินาที เมื่อคุณรู้ว่าจะหามันได้จากที่ไหน หากอุปกรณ์ Android ใหม่ของคุณเต็มไปด้วยแอดแวร์ ให้ไปที่การตั้งค่าของคุณและลบแอพใดๆ ที่แสดงอยู่ในรายงาน CPR เมื่อคุณถอนการติดตั้งแอปแล้ว RottenSys จะหายไปพร้อมกับแอปนั้น
เทคโนโลยี Shanghai AdUps
สมาร์ทโฟนของเราสร้างและจัดเก็บข้อมูลส่วนบุคคลและข้อมูลที่ละเอียดอ่อนจำนวนมาก สิ่งสุดท้ายที่คุณคาดหวังจากสมาร์ทโฟนเครื่องใหม่ของคุณคือการรวบรวมข้อมูลทั้งหมดและส่งไปยังเซิร์ฟเวอร์ของจีนทุก 72 ชั่วโมง
อย่างไรก็ตาม นั่นคือสิ่งที่นักวิจัยจากบริษัทรักษาความปลอดภัย Kryptowire พบในปี 2016 เฟิร์มแวร์ที่ได้รับผลกระทบนี้พบเห็นได้ในอุปกรณ์ Android หลายเครื่องที่จำหน่ายในสหรัฐอเมริกา รวมถึง BLU R1 HD ยอดนิยม อันเป็นผลมาจากการข้ามการอนุญาตของ Android มันจึงได้รับการเข้าถึงข้อมูลทั้งหมดของคุณอย่างอิสระ ตามรายงานนี้รวมถึง:
"...ข้อมูลผู้ใช้และอุปกรณ์รวมถึงข้อความแบบเต็ม รายชื่อผู้ติดต่อ ประวัติการโทรพร้อมหมายเลขโทรศัพท์แบบเต็ม ตัวระบุอุปกรณ์ที่ไม่ซ้ำกัน รวมถึง International Mobile Subscriber Identity (IMSI) และ International Mobile Equipment Identity (IMEI)"
นอกจากนี้ยังสามารถโปรแกรมอุปกรณ์จากระยะไกล ติดตั้งแอพ และรวบรวมข้อมูล Fine Location Kryptowire ติดตามกิจกรรมที่น่าสงสัยกลับไปที่ บริษัท Shanghai AdUps Technology ของจีน บริษัทแจ้งว่าการรวบรวมข้อมูลเป็นความผิดพลาด และมีการใช้เฟิร์มแวร์เพื่อให้การอัพเดทเท่านั้น อย่างไรก็ตาม พวกเขาทำงานร่วมกับรัฐบาลสหรัฐฯ, Amazon, BLU และ Google เพื่อลบสปายแวร์
หนึ่งปีต่อมา นักวิจัยพบว่า Shanghai AdUps ยังคงใช้สปายแวร์บนอุปกรณ์ Android การดูดข้อมูลส่วนใหญ่ถูกซ่อนไว้แทนที่จะลบออก ฟีเจอร์บางอย่างถูกปิดสำหรับอุปกรณ์ในสหรัฐฯ แต่ยังคงส่งข้อมูลกลับไปยังบริษัทจีน Kryptowire ตั้งข้อสังเกตว่า AdUps ยังคงรวบรวมรายการแอปพลิเคชันที่ติดตั้ง หมายเลขโทรศัพท์ ตัวระบุอุปกรณ์ และข้อมูลเสาสัญญาณมือถือ
เมื่อพิจารณาถึงสถานะความสัมพันธ์ระหว่างสหรัฐฯ และจีน อาจเป็นที่น่าสังเกตว่า Kryptowire ได้รับเงินทุนจากหน่วยงานโครงการวิจัยขั้นสูงด้านกลาโหมแห่งสหรัฐอเมริกา (DARPA) และกระทรวงความมั่นคงแห่งมาตุภูมิ (DHS)
ทำในสิ่งที่คุณต้องการ
คุณเชื่อใจใครได้บ้าง
ความผิดจำนวนมากสำหรับมัลแวร์ที่ติดตั้งไว้ล่วงหน้าและข้อบกพร่องด้านความปลอดภัยในตัวอยู่ที่เท้าของจีน เป็นความจริงที่การเมืองในการบริหารรัฐสอดส่องที่ใหญ่ที่สุดในโลกบางครั้งอาจหลั่งไหลเข้าสู่อุตสาหกรรมการผลิตของพวกเขา อย่างไรก็ตาม การระบุแหล่งที่มานั้นยาก และแม้แต่รายงานที่มักเอ่ยชื่อและสร้างความอับอายให้กับผู้รับผิดชอบที่มักจะเป็นการคาดเดาอย่างมีการศึกษา
นั่นไม่ได้หมายความว่าจีนควรจะปล่อยมือจากเบ็ดโดยสิ้นเชิง ข้อกล่าวหาล่าสุดระดับที่ Huawei หมายความว่าคุณอาจไม่ควรซื้อโทรศัพท์ของพวกเขาหากคุณให้ความสำคัญกับความเป็นส่วนตัว นี่ไม่ใช่ครั้งแรกที่ Huawei พบว่าตัวเองพัวพันกับเรื่องอื้อฉาวด้านความปลอดภัยเช่นกัน
แม้ว่ากระแสมัลแวร์ในปัจจุบันจะถูกจำกัดให้อยู่ในอุปกรณ์ Android แต่ก็ไม่ได้หมายความว่ามันจะคงอยู่ตลอดไป แม้จะอยู่ภายใต้การจับตามองของ Apple ความเสี่ยงของมัลแวร์ก็ไม่น่าจะเป็นไปได้มากกว่าที่เป็นไปไม่ได้ หากความไม่แน่นอนทั้งหมดนี้ทำให้คุณอยากยอมแพ้ คุณอาจต้องเลิกใช้สมาร์ทโฟนและซื้อโทรศัพท์ใบ้แทน
