'Windows Phone verstuurt toch ongewild locatiedata'

Uit een onderzoek blijkt dat het mobiele OS Windows Phone ongewild locatiedata verstuurt. Het openen van de camera-applicatie bleek voldoende om de telefoon gegevens te laten versturen naar de servers van Microsoft.

De test werd uitgevoerd met een Samsung Focus die voorafgaande aan het onderzoek werd gereset. Vervolgens werd door het internetverkeer via een proxy-server om te leiden bekeken wat voor datapakketjes er door de telefoon werden verstuurd. Na het resetten bleek dat het openen van de camera-applicatie er voor zorgde dat de telefoon diverse potentieel privacygevoelige data, zoals de versie van het mobiele OS, het toesteltype en gegevens van draadloze netwerken, naar de servers van Microsoft verstuurt. Hiermee is onder andere de locatie van de smartphone te achterhalen.

Drie verschillende versies van Windows Phone werden getest, met buildnummers 7008, 7390 en 7392. Bij elk van deze versies werd hetzelfde gedrag geconstateerd. De resultaten bevestigen een eerder onderzoek van analist Samy Kamkar, die claimde dat Microsoft zonder toestemming locatiedata inzamelt. Het is vooralsnog onbekend of de aankomende update voor Windows Phone, met codenaam Mango, ook locatiedata naar Microsoft stuurt.

Het onderzoek staat in contrast met de voorwaarden van Microsoft, waarin wordt gesteld dat de telefoon geen locatiedata zal versturen zonder dat de gebruiker expliciet toestemming geeft aan een applicatie. Eerder werd er al een aanklacht ingediend wegens het vermeende verzamelen van locatiedata in Windows Phone, maar Microsoft ontkende dit.

Reacties (113)

Wat een onzin onderzoek weer. De camera-app heeft gewoon een setting 'include location data in pictures you take'. Bij een net resette telefoon staat dat standaard aan en aangezien daar in het artikel niets over terugkomt hebben ze dat dus aan laten staan en dat is het toch logisch dat hij ergens z'n data vandaan moet halen? (blijkbaar is agps sneller dan gps...)

Je kan het dus gewoon uitzetten en dan heb je er geen last van.

This behavior appears to contradict Microsoft’s earlier statements to the U.S. House of Representatives (Exhibit A, emphasis mine):

Microsoft does not collect information to determine the approximate location of a device unless a user has expressly allowed an application to collect location information.

Microsoft only collects information to help determine a phone’s approximate location if (a) the user has allowed an application to access and use location data, and (b) that application actually requests the location data.

Microsoft zegt dus dat het niet standaard aan zou staan wat dus niet klopt.

Bij het onderzoek hebben ze het zelf aangezet:

The states of location-sensitive features were as follows:
•Airplane mode: Off
•Wi-Fi: Off
•Bluetooth: Off
•Location: On
•Cellular: SIM error
•Find my phone: Not set up yet
•Feedback: Disabled

Telefoon doet dus precies wat je er van zou verwachten!!

[Reactie gewijzigd door AHBdV op 25 september 2011 15:29]

Bij het onderzoek hebben ze het zelf aangezet:
The states of location-sensitive features were as follows:
•Location: On
Telefoon doet dus precies wat je er van zou verwachten!!

Sorry, maar de GPS-antenne van mijn telefoon inschakelen, vind ik niet hetzelfde als de wereld vertellen waar ik ben. Er is een verschil tussen iets aanzetten voor het gebruik op je eigen toestel, en deze informatie delen met derden.

Dat gebeurd er waarschijnlijk ook niet. Jouw telefoon heeft, net als de mijne, een aGPS module in plaats van het 'ouderwetse' GPS. Zodra aGPS ingeschakeld wordt, wordt er via een alternatieve methode snel een locatieschatting gemaakt. Deze locatie wordt vaak geschat via een locatie service, zoals die van Microsoft. Dit is de reden waarom de camera applicatie bij 'location: on' verbinding zal maken met Microsoft's service.

Dit is ook wel te zien, want de links die aangeroepen worden zijn agps.location.live.net en inference.location.live.net. Vooral de eerste toont aan dat dit hoogstwaarschijnlijk gaat om de in-exacte locatiebepaling die nodig is voordat er een echte GPS verbinding is.

Om nog wat preciezer te zijn, Microsoft ontvangt de volgende informatie bij het starten van de camera applicatie:

• Operating System Version
• Device Manufacturer & Type
• Connected MAC Addresses
• GUID's

Het ontvangen van het OS zal nodig zijn voor een vorm van controle. Het idee dat een iOS of Android apparaat niet zomaar via deze service de locatie kan opvragen. Ergens is dit dus, mogelijk, als veiligheid voor de eindgebruiker, zodat zijn of haar locatie niet zomaar kan uitlekken. De MAC addressen zijn nodig voor locatiebepaling, net zoals dit werkt bij iOS of Android. Al met al denk ik dat dit iets overdreven wordt, aangezien de meeste verstuurde informatie redelijk verklaarbaar is.

Dit neemt niet weg dat de overige informatie GUID's en Manufacturer & Type in mijn ogen overbodig zijn en dus zou ik wel willen weten wat daarmee gebeurd. Als deze informatie daadwerkelijk wordt opgeslagen dan vind ik het een kwalijke zaak, aangezien ook ik niet wil dat mijn informatie zomaar wordt opgeslagen.

Starting with Windows Phone OS 7.0.7004.0, I reset the device and tapped my way through the out-of-box experience, skipping the Live ID configuration. The states of location-sensitive features were as follows:

Er staat nergens dat ze het zelf zo hebben ingesteld.
Volgens mij bedoelt hij dat de instellingen zo eruit kwamen na een reset en dat de Location standaard aan staat wat niet zou mogen.

Location is puur dat de (a)GPS aan staat. En voor een deel van het 'Assisted' stuk worden die wifi netwerken en cell towers gebruikt.

Er staat ook in het artikel dat de telefoon al gegevens verstuurde, vóórdat de gebruiker op 'accept' of 'decline' kan drukken.

DUS: het staat aan na een reset, maar microsoft vraagt het wel standaard de eerste keer. Het apparaat stuurt/vraagt alleen bij de eerste keer alvast gegevens, nog voordat de gebruiker op accept of decline heeft gedrukt. En dit komt waarschijnlijk doordat de standaard behavior van het programma (namelijk locatiegegevens opvragen/doorsturen) door de vraag niet wordt gehinderd.

Al met al een storm in een glas water. De telefoon doet wat hij moet doen.

Aan dit soort dingen kan ik me wel een beetje ergeren.Meer in het algemeen, als gebruikers de voorwaarden niet naleven en dus overtreden kunnen ze worden afgesloten van de dienst / het product of wat dan ook. Doei licentie. Maar wat nu in dit geval?

Anders dan klagen of met een knuppel bij MS naar binnen rennen zal er niet veel op zitten.

En dan vragen bedrijven/mensen zich af waarom er steeds meer agressieve mensen zijn. Wellicht is het omdat er steeds meer door mensen hun strot gedouwd wordt zonder dat ze er wat aan kunnen doen (en dat het nog vrolijk ontkend wordt tot dat het tig keer is bewezen ook)...

Waarom klagen.
dit is precies wat Micrsoft in hun documentatie vermeld.
als je de location service aanzet (e ndat was hier het geval !!!!!!!!!!)

Uit de Windows Phone documentatie:

How do location services for Windows Phone work?
When you allow an application or game to access your device's location, the application or game will connect to Microsoft's location services and request the approximate location of the device. The location service will respond by providing the application or game with the location coordinates of the user's device (when available), which the application or game can then use to enrich the user experience.

What if I don't want to use location services from my Windows Phone?
You don't have to. We believe you should always have choice and control over access and use of your device's location. Before any application can gain access to information regarding a user's location, you must allow the application to access your device's location. Applications that use your location are required to provide the ability to turn off that application's access to your location. And you can always turn off access for all applications by turning off location services.

To turn off location services for all applications, do the following:

1 From Start, flick left to the App list, and then tap Settings.

2 Tap Location, and then turn off Location services.

En wat zegt de blogger die die uittestte
[diverse settings]
* Location: On
[nog meer settings]

[Reactie gewijzigd door 80466 op 25 september 2011 15:22]

Heb je überhaupt wel naar de bron gekeken?

De gebruiker heeft het "verstuur locatiedata" vinkje AAN staan. En dan vervolgens vreemd vinden dat hij op een moment waarop de gebruiker het niet noodzakelijk vindt wordt er data over verstuurd

Wat een relevant "onderzoek" en "privacy gevoelig" materiaal. Kom op tweakers, dit soort gemekker hoort niet bij het nieuws.

[Reactie gewijzigd door jkommeren op 25 september 2011 15:23]

Inderdaad, dit is een hoax.

En hoe kom je bij dat vinkje? Moet je dan niet de app opstarten en dus je gegevens (automatisch laten) versturen? Terwijl je juist dat vinkje uit wil vinken, en dus NIKS wilt versturen?

@watercoolertje: Drama maken om 1 locatie die verstuurd wordt om te voorkomen dat er verder nog wat verstuurd wordt vind ik wel heel ver gaan hoor. Dan ga je toch even op een plein in een andere stad zitten met je aluhoedje op zodat die ene locatie geen waarde heeft voor Microsoft?

Dit soort artikelen op Tweakers doen heel anders vermoeden, totdat je de bron leest. Daarin staat gewoon aangegeven dat de persoon in kwestie er zelf voor gekozen heeft om data te verzenden, en de telefoon dat dan ook automatisch doet. Hoe verrassend.

Erg misleidend stuk op tweakers, en men helpt hier ongemerkt mee aan het creëren van wederom een kleine rel omtrent Microsoft.

In het begin als je je camara gebruikt moet je volgens mij toch echt akkoord gaan met dit. Dus je geeft gewoon toestemming

Precies, overigens telkens als een app wordt geinstalleerd die mogelijk iets met locatiegegevens doet wordt er weer opnieuw gezegd dat je met het instemmen ook MS toestemming geeft anonieme locatiegegevens te verzamelen. Nogal wiedes dat als je gps locaties in je foto's laat opnemen dit ook gebeurt. Er staan iig in Mango ook nog een "privacy statement" link opgenomen in de settings pagina waar precies hetzelfde in staat.

Nogal wiedes dat als je gps locaties in je foto's laat opnemen dit ook gebeurt.

Zo 'wiedes' vind ik dat anders helemaal niet. Er is geen enkele technische reden waarom Microsoft (of welke partij dan ook) moet weten waar iemand zich bevindt om lokatiegegevens aan een foto toe te voegen. Je voegt namelijk alleen de coördinaten toe en die krijg je uit je GPS-module. Niet van Microsoft of welke andere partij dan ook.

Er bestaat zoiets als location mapping aan de hand van netwerken voor als het GPS signaal slecht is of om gewoon een nog preciesere locatie te krijgen. Daar word locatie data voor naar een server gestuurd die weet waar die signalen zich ergens bevinden en dan triangulation toepassen. Het zou net zo goed kunnen zijn dat het hier gebeurt.

De gebruiker zou eerst eens moeten checken waar allemaal vinkjes staan voor hij begint te klagen. Als eerste zou ik eens location services uit zetten en dan de camera starten. Kijk dan eens of er nog steeds data verstuurt word.

Door location services aan te zetten word er iig location data naar Bing gestuurd voor lokale zoek resultaten.

Zover ik weet met mijn Omnia 7 is het zo dat als je de telefoon reset en je gewoon akkoord gaat dat dit inderdaad aan staat. Maar dit kan ook uitgezet worden, aangezien het niet in het artikel staat vermeld of ze dit hebben gecheckt want dit staat dus automatisch aan.
Dit is gemakkelijk uit te zetten in de settings, dan wil ik nog wel eens zien of het ook gebeurd.

Klopt. Bovendien gaat het, bij het toestemming vragen om je locatie, puur om je GPS locatie. De gegevens die nu gestuurd worden zijn niet 1 op 1 aan een exacte locatie te koppelen.

Dat hiermee een bepaald gebied aangewezen kan worden, wil ik wel geloven.

Zelfs als je die opt out aanklikt stuurt het alsnog gegevens door.
http://www.nu.nl/gadgets/...iegegevens-verzamelt.html

nu.nl baseert zich op dezelfde bron, met hetzelfde artikel. En we hadden al geconcludeerd (zie reacties hierboven) dat location ON staat.

Ik zou me in dit soort materie eerder baseren op lezers en schrijvers van tweakers, dan van nu.nl.... (zonder dat ik aanvallend probeer te zijn hè, maar ik denk dat er bij tweakers.net meer kennis en kunde zit dan bij nu.nl)

Voor mij was het NIET verzamelen van locatiedata een reden om een Windows Phone aan te schaffen. Zo blijkt maar weer dat geen van de Mobiele OS aanbieders te vertouwen is, zowel Microsoft, als Apple en Google (Android).

Ik denk dat als je iets betrouwbaars wilt hebben je echt naar de homemade rom scene moet gaan en GEEN (google) apps te gebruiken in het geval van Android. Dan wordt alleen het browser gedrag gemonitord maar is het nut van een smartphones verdwenen haha. Zolang een bedrijf geld kan verdienen met het verzamelen van gegevens dan zullen ze dat 100% blijven doen. Ik ben niet zo bekend met de custom rom scenes van de andere OS'en maar bij bijv meego lijkt het me ook wel mogelijk om een veilige omgeving te maken

[Reactie gewijzigd door Mellow Jack op 25 september 2011 13:40]

En hoeveel betaal jij om gebruik te mogen maken van die software? Precies, dat betaal je met de verzamelde gegevens van zoekopdrachten etc. IEDER bedrijf kan geld verdienen met het verzamelen van de juiste gegevens, sterker nog, dat is de basis van IEDER bedrijf. Zonder kennis en gegevens heb je helemaal niets... Als je niet weet waar je klanten zitten en wat ze willen doe je slechte business. Het kwaad zit daar ook absoluut niet direct in... het gaat om hoe men met die gegevens omgaat.

Uuuuhm ik denk dat je mijn post helemaal verkeerd begrijpt. Ik leg alleen uit hoe je zoiets kan ontwijken en waarom bedrijven dit soort dingen doen. Als het goed is zal je hier mijn persoonlijke mening niet vinden

Ik werk zelf ook bij een groot bedrijf en besef me goed in hoeverre input vanuit je gebruikers van groot belang is (om je product beter te maken en advertenties op jou aan te passen zodat ze meer kunnen vragen per advertentie) maar het is van groot belang dat je transparant bent en het niet gaat overdrijven. In dit geval is het duidelijk dat MS het heeft overdreven en een soepele ervaring belangrijker vind dat de privacy van hun gebruiker (camera cached de locatie om foto's sneller te kunnen opslaan) MAAR ik verwacht dat deze informatie ook in jou profiel komt te staan.

Het kan allemaal ook gewoon anders maar helaas moet de overheid hieraan te pas komen voor zoiets werkelijkheid zal worden (zie oa het cookies en spam verhaal)

[Reactie gewijzigd door Mellow Jack op 25 september 2011 13:57]

Ik begrijp jou heel goed... Of je nou een custom rom gebruikt of niet, dat scheelt je misschien 5%. Zodra je een app gebruikt, je email-adres ergens voor gebruikt, facebook, twitter etc etc is het al 'gedaan'. Als je meewilt in die hele stroming van smartphones en apps dan ontkom je er simpelweg niet aan; zodra je online gaat begint het verzamelen. Je kan beter voorzichtig zijn met de info die jezelf publiceert door bijvoorbeeld facebook, hyves, zoekopdrachten etc etc.

Inderdaad.

Op je Android phone push mail, synchronisatie, etc uitzetten en voorzichtig met info op Facebook en zeker niet je echte naam erop zetten. Scheelt al een hoop.

Verder GPS uitzetten (doet het meestal toch niet) en 3G uitzetten en alleen aanzetten als je het strikt nodig hebt.

[Reactie gewijzigd door skatebiker op 26 september 2011 09:36]

Dat is het zelfde als zeggen dat Windows 7 gratis op je computer staat omdat het er al op zat toen je de computer kocht. Heb je gewoon voor betaald hoor. Ik heb geen smartphone maar ik weet dat niet alle app's gratis zijn, betaal je dus ook voor.

Ieder bedrijf wil graag meer weten over zijn klanten. Dat doe je om beter op de wensen van de klanten in te spelen, zodat je je service op de klant kan toespitsen. Wat je niet doet als aanbieder is stiekem gegevens jatten en je klant vervolgens volstouwen met reclame. Of zijn gegevens door verkopen aan jan en alleman. Volgens mij is dat slechte business.

Wat hij bedoelt is dat er roms zijn zonder Google's apps, dat bieden ze wel degelijk gratis aan (in de vorm van Open Source), die code is vaak genoeg bekeken door 3den dat je vrij zeker kan zeggen dat er niet stiekem nog wat doorgesluist wordt...

Die worden niet gemaakt doro bedrijven maar door personen, die het leuk vinden en dus niks hoeven te verdienen... En dus ook je gegevens niet nodig hebben

Ik had hierover al een gelezen op een site (natuurlijk heb ik de bron niet meer) Dat er bij het versturen van de data geen link is met je telefoon. Ze hebben kunnen deze data dus niet koppelen met een gebruiker.

Correct me if I'm wong*

diverse potentieel privacygevoelige data, zoals de versie van het mobiele OS, het toesteltype en gegevens van draadloze netwerken,

Dat vind ik nou niet echt privacy gevoelige data. Leuk dat MS weet welke telefoon ik heb en welke versie erop staat, poeh poeh, maak me er echt zorgen om nu...

Mogelijk dat dit alleen voor Geotagging is, als de gegevens verstuurd worden als de camera wordt gestart.

Zat ik ook al aan te denken. Vooral omdat een precieze fix met GPS heel erg lang duurt. wellicht dat ze proberen om het vaststellen van de locatie sneller vast te stellen door deze gegevens op te vragen/te sturen.

Location Services kun je uitzetten onder Settings - Location.

Maar het probleem is JUIST dat ze zonder toestemming info naar hun servers toegestuurd krijgen. Ook al heb je daarvoor geen toestemming gegeven.

Het OS heeft dan al toestemming gehad en de gegevens gaan naar de servers van het OS; niet die van de applicatie.

zoals al tientallen keren hierboven is vermeld, kun je deze optie gewoon uitzetten via setting - location. als je deze aanzet krijg je er zelfs netjes onder te zien :

"Applications for which you've previously enabled location services can now access your current location."

en daar is dan een onderzoek voor nodig...