MantisTek GK2, la tastiera che registra il numero di pressioni dei tasti e lo manda in Cina

MantisTek GK2, la tastiera che registra il numero di pressioni dei tasti e lo manda in Cina

MantisTek GK2 non è un nome noto, ma è il nome di una tastiera che ha il "vizietto" di registrare quante volte viene premuto ogni tasto e di inviare poi il risultato a dei server in Cina, alla faccia della privacy

di Riccardo Robecchi pubblicata il , alle 09:41 nel canale Sicurezza
 

Una famosa citazione da Spider-Man è "da un grande potere derivano grandi responsabilità". È anche vero che un grande potere dà grandi possibilità, e non sempre queste vengono utilizzate correttamente. È il caso della tastiera meccanica MantisTek GK2, il cui software di configurazione è in realtà in grado di registrare il numero di pressioni dei tasti e inviarle a un server in Cina.

La scoperta è merito di alcuni utenti di Reddit, che si sono accorti di comunicazioni sospette con un server di Alibaba. Il colpevole è il "Cloud Driver" della tastiera, che invia dati sul numero di pressioni di ogni singolo tasto al produttore.

Sebbene non si tratti di un vero e proprio keylogger (ovvero un software che registra le pressioni dei tasti nell'ordine in cui vengono eseguite, permettendo quindi di ricostruire il testo digitato), questo è l'ennesimo caso di prodotti che vanno oltre il loro scopo e raccolgono informazioni senza il consenso degli utenti. L'invasione della privacy è evidente e, nonostante non siamo di fronte a un vero keylogger, il software fornisce comunque un'idea precisa delle abitudini di digitazione degli utenti - un fatto potenzialmente sensibile.

La tastiera, il cui prezzo è di circa 45€, è disponibile prevalentemente tramite negozi online cinesi e non ha larga diffusione, ma questo potrebbe essere - a livello puramente ipotetico - un caso niente affatto isolato. Nel mare magnum di prodotti che affollano il mercato, è lecito supporre che più di un singolo prodotto sia affetto da problematiche simili, soprattutto se il produttore è meno noto. Come si suol dire, fidarsi è bene e non fidarsi è meglio!

Il problema è risolvibile bloccando l'accesso alla Rete del software (CMS.exe) tramite un firewall. Tenere sotto controllo le proprie connessioni di rete è una buona pratica per scoprire eventuali problemi ed evitare situazioni spiacevoli.

10 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
djfix1308 Novembre 2017, 10:17 #1
ci sono secondo me casi più o meno gravi di tali raccolte dati anche da parte dei grandi BIG;
HP ad esempio insieme con Intel chiede di restare collegati ai loro server per garantire un software sempre aggiornato, quindi si acconsente senza troppe verifiche ad inviare pacchetti di informazioni fidandosi dei "Nomi"; nella realtà quante cose non necessarie vengono "passate" in queste raccolte dati?
anche solo sapere che windows conteggia quanti avvi sono fatti, quanti login, quante ore di funzionamento dovrebbero farvi pensare.
che questi dati siano utili ad un tecnico che interviene in prima persona per un problema lo comprendo ma che i dati siano disponibili poi a "chiunque" li voglia pescare, leggere ed inoltrare mi da da pensare sul senso attuale di Privacy.
s-y08 Novembre 2017, 10:24 #2
premettendo che non è un palliativo assoluto, conviene orientarsi, potendo scegliere e se modelli dal mercato diciamo 'indie', su modelli che non necessitino di sw di gestione sul pc (che tra l'altro spesso sono tradotti a membro di ciuaua)
giovanni6908 Novembre 2017, 10:48 #3
E quanti dati sulla configurazione dei computer finiscono nei cloud della società che produce il software per il controllo dell'hardware il tutto senza motivo?

Prendiamo Syspectr di O&O: Perchè "See what’s going on inside your PCs and Servers" deve implicare che quei miei dati finiscano per forza anche sui server cloud di O&O? "You do not need additional servers or hardware. All you need is an internet connection. We take care of the rest."

Da notare che:
"All O&O Syspectr servers are located in our German data center and stand under our direct supervision. O&O Software GmbH is subject to German laws governing privacy and these are among the strictest anywhere in the world. As a result, we have absolute respect for your privacy."

La Germania in realtà ha visto pesanti violazioni della privacy; quindi perchè fidarsi? Perchè per forza i nostri dati devono finire su un cloud per loro uso e consumo?

E stiamo parlando di un società basata in Germania, la stessa che sviluppa gratuitamente O&O Shutup 10 per gestire, tra le altre cose, l'invasività di Microsoft ed il suo Windows 10.

Protestate, affinchè questa moda di usare il cloud come mezzo per snaturare la privacy sia combattuta e non subinamente accettata.
Axios200608 Novembre 2017, 12:22 #4
Il problema è risolvibile bloccando l'accesso alla Rete del software (CMS.exe)


Invece non comprare simili prodotti suona male, eh?

Scaffale e diffusione della notizia.
giovanni6908 Novembre 2017, 12:34 #5
Esatto anche perchè CMS.exe è un processo il cui nome non è proprio univoco ma mostrato anche da altri software; quindi poi potrebbero trovarci con l'utente che si mette a bloccare con il firewall un processo che invece serve ad altri scopi.

Deve essere dato un segnale chiaro a questi sviluppatori! Capisco l'obsolescenza programmata ma fateli in-house i testing!
E scrivete anche ad O&O.
calabar08 Novembre 2017, 12:58 #6
Beh dai questo è forse l'unico dato che ha un suo perchè: cercare di stabilire quale sarà l'usura dei tasti, e magari utilizzare switch migliori per quelli più usati.
Questo ovviamente dando per scontata la buona fede. Che non è mai da dare per scontata.
s-y08 Novembre 2017, 13:43 #7
mica li fanno loro i microswitch, e usarne di diversi a seconda delle 'statistiche' d'uso non ha senso, posto che tanto tutti i modelli di questo tipo usano gli stessi switch (cherry-clone, fatti da una sbraciolata di aziende, sempre le stesse)

stessa cosa i caps (i tasti), differenziarli li farebbe solo costare di più per minore serializzazione

insomma, con tutta la buona volontà non ci si trova un uso 'sano'
Sandro kensan08 Novembre 2017, 15:48 #8
A parte che io sono un sostenitore delle privacy ma questo mi pare una nota di poco conto. Se dicono a un server che ho premuto 2000 volte la lettera a e 500 volte la lettera B non mi pare una grande violazione della privacy.

Invece sono molto più preoccupato per il fatto che si passerà all'IPv6 dove tutti avremmo il nostro IP personale e dove l'Europa già si sta fregando le mani perché pensa ai vantaggi in termini di indagini poliziesche che adesso sono frenate dal fatto che gli IP sono dinamici, sono nattati e comunque nessuno ha un IP personale registrato in coppia con la propria carta di identità:

"The widespread practice of placing multiple of users - sometimes thousands of them - behind one IP address makes it technically very difficult to investigate malicious online behavior.

It also makes it sometimes necessary, for example for serious crime such as child sexual abuse, to investigate large number of users in order to identify one malicious actor.
The EU will therefore encourage the uptake of the new protocol (IPv6) as it allows the allocation of a single user per IP address, thus bringing clear benefits to law enforcement and cybersecurity investigations."

Tratto da una giornale on line concorrente.
giovanni6908 Novembre 2017, 16:09 #9
E loro pensano che chi ha attività da nascondere non usi già una VPN o altro e non continuerà a farlo anche con IPv6? Quella è una scusa bella e buona per la semplice raccolta di massa di dati personali.
Ultram8209 Novembre 2017, 15:44 #10
"ma è il nome di una tastiera che ha il "vizietto" di registrare quante volte viene premuto ogni tasto e di inviare poi il risultato a dei server in Cina, alla faccia della privacy"

Come se Internet non fosse già abbastanza lenta... :\

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^