Vad vet din säkerhetssvit om dig?

Du installerade den säkerhetssviten för att skydda din dator och din integritet, men vad rapporterar den till tillverkaren? Kan din svit i sig vara en säkerhetsrisk? Ett par tyska datatidskrifter gav AV-Comparatives i uppdrag att ta reda på det. Deras resultat är nu offentligt tillgängliga, och rapporten gör intressant läsning.

Datakällor

Till att börja med laddade forskarna 21 populära säkerhetssviter på testdatorer och analyserade deras nätverkstrafik och tittade på vilken information som skickades. Rapporten konstaterar att "i vissa fall" var informationen krypterad, så att de inte kunde läsa den. Det är som det borde vara, men det innebär att data i andra fall inte krypterades. Tyvärr identifierar inte rapporten vilka som var.

De granskade också slutanvändarlicensavtalet (EULA) och sekretesspolicy som levererades med varje produkt. Dessa dokument bör ange exakt vilken information programmet kan skicka tillbaka till sin tillverkare.

Som ett sista steg skickade de ett detaljerat frågeformulär till varje leverantör, även om de gav de två andra datakällorna större vikt än resultaten av frågeformuläret. Rapporten konstaterar att leverantörerna i vissa fall inte svarade på särskilda frågor av olika skäl. "Vi förstår att för mycket öppenhet kan vara användbart för brottslingar", konstaterade rapporten. "Vi accepterar således att leverantörer inte kan ge oss information som kan äventyra säkerheten."

Vad delar de

Det finns en hel del variation i mängden och typen av information som delas av de olika leverantörerna. De delar alla nödvändigtvis produktversionen för att hålla dig uppdaterad, och det är helt rimligt. Nästan alla tilldelar varje installation en unik identifierare, så att de kan samla information från en specifik maskin utan att nödvändigtvis identifiera användaren.

Och ändå kan den systeminformation som delas av många av produkterna väl identifiera användaren. Nästan hälften av produkterna delar Windows-användarnamnet, vilket i många fall är användarens fulla namn. Väl över hälften överför datornamnet. Hmm, jag borde kanske inte ha benämnt mina "Neils dator".

Många säkerhetsfunktioner måste skicka ytterligare information om din datoranvändning. En produkt vars funktioner inkluderar en sårbarhetscheckare skickar nödvändigtvis versionnumren för installerade tredjepartsprogram, till exempel. Komponenter för nätfiskskydd och föräldrakontroll kan överföra varje webbadress du besöker. Och alla antivirusprogram som inkluderar en molnbaserad detekteringskomponent måste skicka filhas, eller i vissa fall hela filer som är misstänkta.

Brinnande frågor

Det kan tänkas att en säkerhetsförsäljare kan krävas av myndigheter att lämna över de uppgifter de har samlat in för en viss användare. Olika jurisdiktioner har olika lagar på detta område, så att veta var data lagras kan vara ganska viktigt. Nio av de testade leverantörerna lagrar sina uppgifter i Europeiska unionen, sju i USA. EU har striktare sekretesslagar, så det är viktigt. Det fanns också en i Ryssland (Kaspersky) och en i Sydkorea (AhnLab). Tre leverantörer avböjde att ange var deras data lagras.

Här är något jag inte tänkt på. Det kan tänkas att en leverantör enligt ett domstolsbeslut kan tvingas leverera en "speciell" uppdatering till specifika användar-ID, kanske för att övervaka terror misstänkta. 13 av säljarna sa nej, de gör aldrig detta. Resten vägrade att svara, vilket är något onödigt.

I själva verket behöver din säkerhetssvit absolut skicka en hel del information tillbaka till sin hemmabas för att göra sitt jobb. Rapporten ger fullständig information om varje säljares datasamling. Min största takeaway är att du faktiskt bör läsa EULA och sekretesspolicyn för din säkerhetssvit och välja bort all insamling av data som inte krävs för säkerhet. För att göra kontroll av EULA enkla, avslutas rapporten med EULA-länkar för leverantörer som gör dem tillgängliga online.