Senator Al Franken Minnesota mempunyai beberapa soalan mengenai privasi anda dan pengimbas cap jari pada Galaxy S5, dan telah menghantar surat kepada Samsung untuk mendapatkan beberapa jawapan. Kami telah melihat Franken melakukan perkara yang sama tahun lepas apabila iPhone 5S memulakan debutnya dengan teknologi pengimbasan cap jari, jadi kami tidak boleh mengatakan kami terkejut.
Cap jari adalah bertentangan dengan rahsia. Anda meninggalkan mereka pada objek banyak yang anda sentuh sepanjang hari: pintu kereta anda, segelas air, walaupun skrin telefon pintar anda. Dan tidak seperti kata laluan, cap jari tidak boleh diubah. Jika penggodam memegang salinan digital cap jari anda, mereka boleh menggunakannya untuk meniru anda sepanjang hayat anda, terutamanya apabila semakin banyak teknologi mula bergantung pada pengesahan cap jari. - Senator Franken
Senator Franken mengakui bahawa Samsung telah mengambil langkah-langkah untuk menyimpan data pengguna secara peribadi apabila mereka menggunakan pengimbas cap jari, tetapi ia membincangkan kebimbangan tentang penggodaman, dan apa rancangan Samsung untuk dilakukan dengan apa-apa data yang mereka boleh mendapatkan.
Secara umum, Franken sebenarnya melakukan tugasnya dan melihat ke arah pemilihannya. Transkrip surat berikut.
Sumber: Senator Al Franken
13 Mei 2014
Dr. Oh-Hyun Kwon, Ketua Pegawai Eksekutif Samsung Electronics Co., Ltd. Samsung Main Building 250, Taepyeongno 2-ga, Jung-gu Seoul, 100-742, Korea
Encik Gregory Lee, Ketua Pegawai Eksekutif Samsung Electronics North America 85 Challenger Road Ridgefield Park, NJ 07660
Dr Kwon dan Encik Lee:
Saya menulis untuk bertanya kepada anda tentang perlindungan privasi untuk teknologi pengimbasan cap jari pada telefon pintar Samsung Galaxy S5, yang baru-baru ini dijual. Saya prihatin dengan laporan bahawa pengimbas cap jari Samsung mungkin tidak secukupnya kerana ia mungkin kelihatan - dan bahawa jurang keselamatan ini mungkin menimbulkan masalah keselamatan yang lebih luas pada telefon pintar S5. Saya menulis untuk meminta maklumat tentang bagaimana Samsung menangani soalan-soalan privasi ini dan lain-lain mengenai pengimbas cap jari.
Manfaat keselamatan teknologi cap jari tidak begitu jelas seperti yang diharapkan. Di satu pihak, lebih mudah untuk menggeser jari anda daripada untuk mengetik kata laluan yang kompleks. Oleh itu, kemudahan pengimbas cap jari boleh menyebabkan lebih banyak pemilik telefon pintar sebenarnya mengunci telefon mereka. Sebaliknya, pengimbas cap jari menimbulkan masalah keselamatan yang akut yang tidak digunakan kata laluan - terutamanya apabila digunakan bukannya sebagai tambahan kepada pengesahan kata laluan. Seperti yang saya jelaskan dalam surat yang terdahulu kepada Apple mengenai pengekalan pengimbas cap jari Touch ID mereka, kata laluan adalah rahsia dan dinamik, manakala cap jari adalah awam dan kekal. Jika anda tidak memberitahu sesiapa kata laluan anda, tiada sesiapa yang akan mengetahui. Sekiranya ia digodam, anda boleh mengubahnya dalam satu atau dua minit.
Cap jari adalah bertentangan dengan rahsia. Anda meninggalkan mereka pada objek banyak yang anda sentuh sepanjang hari: pintu kereta anda, segelas air, walaupun skrin telefon pintar anda. Dan tidak seperti kata laluan, cap jari tidak boleh diubah. Jika penggodam memegang salinan digital cap jari anda, mereka boleh menggunakannya untuk meniru anda sepanjang hayat anda, terutamanya apabila semakin banyak teknologi mula bergantung pada pengesahan cap jari.
Seperti ID Touch Apple, pengimbas cap jari Galaxy S5 telah diretas beberapa hari selepas pembebasan telefon pintar. Para penyelidik keselamatan memintas kedua-dua pengimbas dengan mencipta cetakan getah palsu dari cap jari yang ditarik dari skrin telefon pintar.
Laporan awal juga mencadangkan Galaxy S5 dapat menimbulkan kebimbangan keselamatan yang ID Touch tidak. Pengimbas cap jari Galaxy S5 dilaporkan membenarkan percubaan pengesahan tanpa had tanpa kata laluan, manakala ID Touch ID memerlukan kata laluan selepas lima percubaan gagal. Selain itu, manakala Touch ID hanya boleh digunakan untuk membuka kunci peranti dan untuk mengakses aplikasi Apple tertentu yang dipantau dengan ketat, Galaxy S5 kelihatan membenarkan mana-mana apl menggunakan pengimbas cap jari bukan kata laluan. Ini bermakna anda boleh menggunakan pengimbas cap jari Galaxy S5 untuk menghantar wang ke PayPal dan mengakses aplikasi kata laluan anda; malangnya, ini mungkin bermakna pelakon buruk yang memalsukan cap jari anda boleh melakukannya juga. Akses yang lebih luas kepada pengimbas berpotensi membolehkan pihak ketiga mengakses maklumat sensitif yang dijana oleh teknologi.
Saya dengan hormat meminta Samsung memberi jawapan kepada soalan-soalan berikut. Semua tetapi yang pertama hampir sama dengan soalan-soalan yang saya berikan kepada Apple tahun lepas.
(1) Seberapa tepat Samsung mengamankan data cap jari yang dihasilkan oleh pengimbas cap jari Galaxy S5?
(2) Bolehkah menukar data cap jari yang disimpan secara tempatan ke format digital atau visual yang boleh digunakan oleh pihak ketiga?
(3) Adakah mungkin untuk mengekstrak dan mendapatkan data cap jari dari Galaxy S5? Jika ya, bolehkah ini dilakukan dari jauh, atau dengan akses fizikal ke peranti itu?
(4) Adakah data cap jari akan disandarkan kepada komputer pengguna? Adakah data cap jari disandarkan kepada awan atau pelayan Samsung?
(5) Adakah Galaxy S5 menghantar apa-apa maklumat diagnostik mengenai sistem pengimbas cap jari kepada Samsung atau mana-mana pihak lain? Jika ya, apakah maklumat yang dihantar?
(6) Seberapa tepat aplikasi Samsung dan aplikasi pihak ketiga berinteraksi dengan pengimbas cap jari? Maklumat apa yang dikumpulkan oleh aplikasi tersebut dari sistem pengimbas cap jari, dan maklumat apa yang dikumpulkan oleh Samsung yang berkaitan dengan interaksi tersebut, termasuk pengenal atau hash yang berkaitan dengan data cap jari?
(7) Apakah rancangan masa depan Samsung untuk teknologi pengimbasan cap jari? Adakah ia menggunakan teknologi pada peranti tabletnya, seperti yang dicadangkan oleh laporan berita?
(8) Bolehkah Samsung meyakinkan pengguna bahawa ia tidak akan pernah berkongsi data cap jari mereka, bersama dengan alat atau maklumat lain yang diperlukan untuk mengekstrak atau memanipulasi data cap jari Galaxy S5, dengan mana-mana pihak ketiga komersial?
(9) Bolehkah Samsung meyakinkan para pengguna bahawa ia tidak akan pernah berkongsi data cap jari mereka, bersama dengan alat atau maklumat lain yang diperlukan untuk mengekstrak atau memanipulasi data cap jari Galaxy S5, dengan mana-mana kerajaan, tidak mempunyai kuasa dan proses hukum yang sesuai?
(10) Di bawah undang-undang privasi Amerika, agensi penguatkuasaan undang-undang tidak boleh memaksa syarikat untuk mendedahkan "kandungan" komunikasi tanpa waran, dan syarikat tidak boleh berkongsi maklumat itu dengan pihak ketiga tanpa persetujuan pelanggan. Walau bagaimanapun, "rekod atau maklumat lain yang berkaitan dengan pelanggan … atau pelanggan" boleh didedahkan dengan bebas kepada mana-mana pihak ketiga tanpa persetujuan pelanggan, dan boleh didedahkan kepada penguatkuasaan undang-undang apabila terbitan perintah mahkamah yang tidak mungkin berlaku. Selain itu, "nombor atau identiti pelanggan" boleh didedahkan kepada kerajaan dengan sepina yang mudah. Lihat amnya 18 USC § 2702-2703.
Adakah Samsung mempertimbangkan data cap jari sebagai "kandungan" rekod komunikasi, pelanggan atau pelanggan, atau "nombor pelanggan atau identiti" seperti yang ditakrifkan dalam Akta Komunikasi Disimpan?
(11) Di bawah undang-undang perisikan Amerika, Biro Penyiasatan Persekutuan boleh mendapatkan perintah yang menghendaki pengeluaran "apa-apa perkara yang ketara (termasuk buku, rekod, kertas, dokumen dan perkara lain)" jika mereka dianggap relevan dengan penyiasatan risikan asing tertentu. Lihat 50 USC § 1861.
Adakah Samsung menganggap data cap jari sebagai "perkara ketara" seperti yang ditakrifkan dalam Akta PATRIOT Amerika Syarikat?
(12) Di bawah undang-undang perisikan Amerika, Biro Penyiasatan Persekutuan secara sepihak boleh mengeluarkan Surat Keselamatan Kebangsaan yang memaksa penyedia telekomunikasi untuk mendedahkan "maklumat pelanggan" atau "rekod transaksional komunikasi elektronik dalam jagaan atau pemilikannya." Surat Keselamatan Kebangsaan biasanya mengandungi perintah lelucon, yang bermaksud bahawa penerima tidak dapat mendedahkan bahawa mereka menerima surat tersebut. Lihat, misalnya, 18 USC § 2709.
Adakah Samsung mempertimbangkan data cap jari sebagai "maklumat pelanggan" atau "rekod transaksional komunikasi elektronik" seperti yang ditakrifkan dalam Akta Komunikasi Disimpan?
(13) Adakah Samsung percaya bahawa pengguna mempunyai jangkaan privasi dalam data cap jari yang mereka berikan kepada pengimbas cap jari?
Saya tidak cuba untuk menggalakkan penggunaan teknologi cap jari untuk peranti mudah alih pengguna. Jika diterima pakai dengan perlindungan yang kuat, teknologi ini dapat membuktikan menjadi mudah dan bermanfaat. Sebaliknya, matlamat saya adalah untuk menggesa syarikat-syarikat untuk menggunakan teknologi ini dengan cara yang paling selamat - dan mencipta rekod awam mengenai bagaimana syarikat merawat maklumat biometrik sensitif.
Terima kasih atas masa dan perhatian anda terhadap soalan-soalan ini. Saya bertanya bahawa Samsung menjawab mereka dalam tempoh sebulan selepas menerima surat ini.
