Il nuovo orologio Garmin Aviator affronta in parte un rischio che la guerra in Ucraina sta mettendo in evidenza: il microtargeting

Alla fine del mese scorso, l'azienda di elettronica Garmin
GRMN
ha iniziato a pubblicizzare il suo nuovissimo smartwatch per aviatori, il D2 Macc 1. Oltre a una serie di funzioni specifiche per l'aviazione, il D1 ha una "modalità invisibile" per interrompere il tracciamento GPS e una "modalità uccisione" per cancellarne la memoria. Il microtargeting della Russia dei membri delle forze ucraine tramite dispositivi personali suggerisce che Garmin sta lavorando a qualcosa. Ma basta?

Con il suo ampio quadrante da 47 mm e il display touchscreen AMOLED ad alta risoluzione, il D2 Mach 1 è straordinariamente evidente, il tipo di orologio che ha attratto gli aviatori dalla prima guerra mondiale. La sua navigazione diretta, il pulsossimetro, le mappe mobili GPS e il meteo NEXRAD radar sono capacità allettanti in un dispositivo così piccolo, moltiplicate notevolmente quando l'orologio è connesso tramite Bluetooth a uno smartphone con le app Garmin Pilot, In-Reach o Connect.

Anche le notifiche di testo ed e-mail, le funzionalità biometriche (tra cui frequenza cardiaca, monitoraggio della forma fisica, profili di attività e altro) che puoi trovare con altri dispositivi indossabili fanno parte dei contenuti connessi di Mach 1. Sono abbastanza attraenti da aver attirato un seguito militare.

I modelli precedenti del nuovo orologio (il D2C/D2D) erano pari acquisito (con finanziamento dell'unità) dal 99th Reconnaissance Squadron dell'Air Force che pilota il sensibile U-2 Dragon Lady che raccoglie informazioni. Nel 2017 il Emesso dalla Marina un modello di smartwatch gemello, il Fenix ​​3 di Garmin, a tutti i suoi piloti F/A-18 Hornet/Super Hornet/Growler per aiutare nel rilevamento dell'ipossia.

Jim Alpiser, direttore delle vendite aftermarket di Garmin, conferma che la società "ha un paio di rappresentanti che vendono attivamente" D2 Mach 1 a clienti della difesa/militari. Tuttavia, Alpiser “non è libero di rivelare” a quali unità militari stanno vendendo. Questa conferma è in linea con il successo passato dell'azienda con sede in Kansas e lo smartwatch seguito da aviatori e altro personale militare statunitense.

Ma la popolarità degli orologi Garmin e di altri dispositivi indossabili tra i militari ha assunto un significato in più alla luce di ciò che sta accadendo ora in Ucraina e presso l'Accademia militare degli Stati Uniti a West Point, New York.

Microtargeting russo dei membri del servizio ucraino

Gli agenti russi hanno preso di mira collettivamente e individualmente i membri del servizio militare ucraino sfruttando i dati provenienti dalle app residenti sui dispositivi connessi (cellulari, tablet, computer, smartwatch) che utilizzano sul campo di battaglia o nelle vicinanze. La pratica è stata evidenziata in un recente articolo per Notizie di Difesa co-autore della ricercatrice dell'US Army Cyber ​​Institute (ACI), Jessica Dawson, e Brandon Pugh, consulente politico del team per la sicurezza informatica e le minacce emergenti dell'R Street Institute.

Come sottolineano gli autori, "È la nuova normalità per i membri del servizio militare e i veterani essere considerati obiettivi di alto valore nella guerra dell'informazione".

In Ucraina, attori russi hanno invaso le caselle di posta dei membri del servizio militare ucraino con e-mail cariche di malware nel tentativo di accumulare dati personali, diffondere disinformazione e intimidazioni. Dawson e Pugh riferiscono anche che migliaia di messaggi di testo sono stati inviati alla polizia locale e ai membri dell'esercito.

La Russia ha ottenuto l'accesso all'esercito ucraino violando e sfruttando i social media e altre app sui dispositivi personali e professionali che utilizzano, aprendo un portale diretto per il data mining, le operazioni di influenza e la generazione di approfondimenti tattici. Questi ultimi possono includere dati sulla posizione in tempo reale, modelli di vita/movimento e dimensioni del gruppo/formazione. Qualsiasi dispositivo commerciale connesso è un'apertura con il potenziale per essere usata come arma contro il suo utente.

Il problema risale alla patria degli Stati Uniti, alla nostra società civile e commerciale e alle nostre stesse forze armate. Le operazioni qui e in Ucraina possono essere messe a rischio grazie alla pervasività dei dati raccolti per la pubblicità mirata.

Dawson e Pugh spiegano che il nome, l'identificatore del servizio e le informazioni sull'indirizzo IP/dispositivo raccolte per l'analisi dei dati pubblicitari rendono "facile" identificare le informazioni degli individui dai loro telefoni cellulari o altri dispositivi connessi, indipendentemente dal fatto che provengano da identificatori di annunci o dal numero di telefono si.

Gli identificatori degli annunci, secondo loro, possono essere aggregati con altre informazioni di tracciamento da numerose entità, dagli inserzionisti online ai broker di dati, per rivelare modelli di vita quotidiana come dove vive qualcuno e le sue preferenze politiche. I dati dell'annuncio diventano quindi un vettore per prendere di mira e molestare le persone.

Per illustrare l'ampio potenziale, Dawson fa riferimento a un 2019 New York Times caratteristica che riportava che ogni minuto di ogni giorno in tutto il mondo dozzine di aziende non regolamentate e poco controllate registrano i movimenti di decine di milioni di persone tramite i loro telefoni cellulari, "immagazzinando le informazioni in giganteschi file di dati".

I membri in servizio ucraini e americani sono un sottoinsieme di quei milioni e rappresentano un rischio al quale il Pentagono si è appena svegliato. Circa un anno fa, Dawson ha avviato un'agenda di ricerca e ha iniziato a scavare nel problema della raccolta di dati commerciali e dell'esercito. Cosa stanno facendo le forze armate statunitensi contro il rischio di microtargeting?

"La risposta non è molto", dice. “Stiamo cercando di dare l'allarme che questa è una preoccupazione significativa. Capisco che [telecomunicazioni/IT] sia un'industria da trilioni di dollari, ma è molto pericolosa".

È un problema aggravato dall'ubiquità dei dispositivi personali connessi e dalle antiche tradizioni americane di libertà e privacy individuali che sono alla base della proprietà e dell'uso di telefoni, Fitbit o smartwatch da parte dei membri del servizio. Soldati americani, marinai, marines, aviatori e guardiani li possiedono e moltiplicano la loro portata/potenza tramite una moltitudine di app di social media, biometria, navigazione, giochi e comunicazione.

"Come consenti alle persone di combattere nello spazio informativo attraverso i social media e altri messaggi, mantenendo le tue formazioni al sicuro da tutte le emissioni che provengono da questi dispositivi?" chiede Dawson. "Non abbiamo una buona risposta per questo."

Data la sua vulnerabilità - letteralmente vita o morte - sorge la domanda se l'esercito ucraino abbia trovato risposta?

"Non sappiamo se ai soldati ucraini sia vietato l'uso di dispositivi commerciali", afferma Dawson. “Non ho visto nessun rapporto su quello che sta facendo l'esercito ucraino. Presumo che la parola sia uscita fuori, 'Spegni quella merda.'

Ma spegnerlo è difficile, riconosce Dawson. Gli stessi dispositivi e software che la Russia cerca di sfruttare (fino a TikTok) vengono utilizzati anche dall'Ucraina nella guerra dell'informazione.

Allo stesso modo è difficile mettere le braccia intorno all'entità del problema. Per quantificare e caratterizzare i rischi della raccolta dei dati, ACI vorrebbe esaminare i metadati dai dispositivi dei membri del servizio militare. "Ciò implica guardare gli individui statunitensi, quindi non ci è permesso farlo a meno che non sia su misura".

I ricercatori hanno ottenuto un'approvazione sperimentale limitata per esaminare i dati generali, ma l'esercito, dice Dawson, non ha ancora una politica. "Il consenso generale è stato che le [telecomunicazioni] commerciali non sono un problema, che l'esercito non vuole avvicinarsi a questo".

Il "beta test" di Space Force

Né sembrerebbe fare gli altri servizi. Ironia della sorte, la Space Force sta toccando inavvertitamente la questione. A marzo, la Space Force piani annunciati di implementare ufficialmente un nuovo “programma fitness in tre parti” che lo vedrebbe abbandonare il test annuale di idoneità fisica (PT) così familiare a tutti i servizi, sostituendolo con un programma che utilizzerà “tecnologia indossabile e una soluzione software abbinata al fitness / regimi di allenamento e pratiche sanitarie preventive.

Sebbene il programma sia ancora in fase di beta test, la Space Force ha firmato un contratto con la piattaforma software per il fitness Classifica Fit "creare una comunità digitale per connettere i dispositivi indossabili per il fitness", secondo un comunicato stampa dell'azienda.

L'azienda con sede ad Austin, in Texas, offre un'app agnostica che può essere utilizzata su un'ampia varietà di dispositivi/indossabili, inclusi gli orologi Garmin. Vale la pena notare che da nessuna parte sul sito Web di FitRankings sono esplicitate le parole "sicurezza delle informazioni". Non è stato spiegato come Space Force proteggerà i dati per questa comunità connessa, come monitorerà i dati sulla salute/forma fisica dei Guardiani e come richiederà loro di installare l'app sui loro dispositivi indossabili personali.

Secondo un Air Force Times articolo, i manager della Space Force (e presumibilmente il personale di FitRankings) “avranno accesso a dashboard che mostrano vari livelli di dati sulle persone che stanno supervisionando. L'entità di tali dati può essere regolata per mostrare solo i totali a livello di gruppo o fornire una valutazione generale del livello di forma fisica di un individuo…”

Non ci vuole alcuno sforzo di immaginazione per supporre che tali dati raccolti di routine possano interessare gli avversari degli Stati Uniti. Tuttavia, Dawson sottolinea che l'affidabilità dei dispositivi/app biometrici deve essere messa in discussione.

"Non ho visto ricerche che affermano che i dati di queste app biomediche siano effettivamente accurati nel prevedere la salute e il benessere", afferma.

È possibile che le app creino ulteriore stress, quello che Dawson chiama "l'eccessiva quantificazione del monitoraggio della salute" che potrebbe portare le persone a un'ossessione malsana per esso. Offre anche una nota pratica, sottolineando che le persone in Cina hanno già capito come farlo falsi tracker di fitness, adattando i dispositivi indossabili alla carta igienica o alle banane per ottenere tariffe assicurative migliori.

L'orologio Garmin Aviation più intelligente e furtivo di sempre

"Come ritorno al backup al backup, ci piace dire, basta puntare il pilota nella giusta direzione", scherza Alpiser di Garmin. Fa riferimento alla modalità di emergenza del D2 Mach 1 che, in caso di guasto completo del sistema dell'aeromobile, fornisce una guida di navigazione di base all'aeroporto più vicino.

Un utente tiene semplicemente premuto il pulsante ad anello blu sul lato in alto a destra della cassa dell'orologio. Il Mach 1 entra in modalità di emergenza, semplificando automaticamente la visualizzazione di alcuni elementi cruciali tra cui una freccia che indica la direzione dell'aeroporto più vicino.

Come i suoi predecessori, il Mach 1 riceve i dati satellitari PNT (posizione/navigazione/temporizzazione) dalla costellazione GPS degli Stati Uniti, dalla costellazione russa GLONASS e dai satelliti Galileo dell'UE. L'orologio non si basa sull'input collegato, quindi è funzionante in caso di emergenza utilizzando i segnali satellitari di cui sopra e il proprio database interno.

La funzione è l'ultima risorsa per i piloti in un ingorgo, ma sono state utilizzate versioni precedenti, tra cui an Equipaggio di Growler EA-18G in pericolo nel 2017. Il merito in quanto funzionalità autonoma è generalmente oscurato da tutte le funzionalità connesse che Garmin promuove per il D2 Mach 1, inclusa la pianificazione del volo connessa e il monitoraggio della salute del pilota. È qui che il rischio inizia a insinuarsi.

Jim Alpiser mi ha detto che era appena arrivato da una riunione incentrata sulla sicurezza prima del nostro colloquio. Dice che Garmin ha "un'enorme attenzione internamente alla sicurezza dei dati personali". Questa attenzione si estende ai consumatori militari dei suoi orologi e altri dispositivi.

“Comprendiamo che le operazioni militari e il personale hanno bisogno di un modo per proteggere le proprie informazioni e cancellare rapidamente il dispositivo se lo ritengono necessario. Abbiamo integrato queste funzioni e caratteristiche. Lo abbiamo fatto con l'intenzione di rendere questo orologio attraente per gli aviatori militari".

La modalità Stealth di Mach 1 è accessibile tramite un menu di controllo che porta a una piccola icona che sembra un aeroplano invisibile. Tocca l'icona e configura l'orologio allo stesso modo in cui la "modalità aereo" funziona su qualsiasi altro dispositivo, disattivando tutti i segnali di trasmissione wireless in uscita (Wifi, Bluetooth, antenna radio).

Mostrerà la posizione dell'utente su una mappa durante un'attività (navigazione in volo, corsa, ecc.) ma nessun dato sulla posizione viene salvato, le posizioni GPS non vengono registrate. Per esempio Garmin dice, se sei andato per una corsa di 3 miglia, non ci sarebbe alcuna registrazione di dove hai corso, solo che hai corso per tre miglia. Se disattivi la modalità Stealth, l'attività di corsa verrà caricata su Garmin Connect, anche senza dati sulla posizione.

Sembra un modo interessante per preservare la funzionalità senza registrare il movimento se un utente si ricorda di azionarlo. Il Kill Switch del D1 cancella la memoria del dispositivo, un altro utile pensiero di Garmin che potrebbe avvantaggiare la sua clientela militare. Un utente aziona il Kill Switch premendo e tenendo premuto il pulsante in alto a sinistra abbastanza a lungo da produrre un avviso di uccisione con un conto alla rovescia: se lasci scadere il conto alla rovescia, cancella tutto sul dispositivo e ripristina le impostazioni predefinite.

L'ho provato. Non ha funzionato. Dopo essersi consultata con Garmin, la società ha spiegato che è necessario prima impostare un singolo pulsante come "tasto di scelta rapida" prima che possa essere utilizzato. Hanno spiegato come farlo e hanno aggiunto che Kill Switch cancella tutti i dati ma poi scrive anche sull'intero file system con dati inutili e quindi ricarica un nuovo set di dati di sistema vuoti per impedire il recupero dei dati cancellati.

Ancora una volta, un'idea utile Dawson è d'accordo. “Tutto ciò che è un semplice ripristino delle impostazioni di fabbrica è una buona idea. Diciamo che stai attraversando la sicurezza del confine o qualcosa di simile, va bene.

Ma è scettica sulla funzione Stealth Mode e sulla raccolta dati di Garmin in generale. “Ho esaminato il rapporto sulla privacy di Garmin Connect sull'Apple Store. Dice "dati non collegati alla tua posizione". Dice ancora che i dati collegati a te utilizzando questa app sono la tua salute e forma fisica, i tuoi contatti, identificatori, informazioni di contatto e contenuto dell'utente".

Dawson fa riferimento agli identificatori di annunci e ricorda che anche se un'app Garmin non raccoglie espressamente dati sulla posizione personale e li collega a individui, gli identificatori di annunci dall'app/dispositivo potrebbero essere uniti con un altro set di dati e confrontati per identificare l'utente. (Ad esempio, un altro database di un'altra app che raccoglie dati sulla posizione e li collega a un identificatore di annuncio.)

Utilizzando due o più database di identificatori di annunci, ampiamente disponibili per la vendita da una varietà di fornitori, le informazioni dell'utente possono essere raccolte e tracciate. "La politica sulla privacy di Garmin dice che non vendono i dati degli utenti, quindi è un buon passo, ma cosa succede se l'azienda viene venduta o si verifica una violazione dei dati? Questi identificatori di annunci sono quindi collegabili ai dati sulla posizione".

Dati personali potenzialmente violabili e micro-targetabili come il punteggio del sonno, i livelli di stress, l'idratazione e il monitoraggio della salute delle donne che Garmin mette in evidenza riguardano i membri del servizio, aggiunge Dawson.

“Se tu [come avversario] vuoi capire quando è il momento perfetto per distribuire messaggi psicologici, lo fai quando qualcuno è stressato ed esausto. Questa app [Garmin Connect] dovrebbe presumibilmente fornire tali informazioni. Anche se Garmin non vende quei dati, se vengono hackerati, possono essere disponibili".

Sfortunatamente, l'esperienza dimostra il punto. A luglio 2020 i criminali informatici hanno preso di mira Garmin con a attacco ransomware che crittografava i sistemi interni dell'azienda e chiudeva servizi critici come Garmin Connect, flyGarmin, Strava e InReach. L'azienda ha rilevato l'attacco per la prima volta quando i dipendenti hanno iniziato a condividere foto di workstation crittografate. L'attacco è stato attribuito a un gruppo di hacker russo chiamato "Evil Corp".

Secondo rapporti, Garmin ha rilasciato una dichiarazione in cui afferma: "Non abbiamo alcuna indicazione che i dati dei clienti, comprese le informazioni di pagamento da Garmin Pay, siano stati consultati, persi o rubati". Ma come ha detto a Sky News Brett Callow, un ricercatore di sicurezza informatica presso Emsisoft, "L'assenza di indicazione non è indicazione di assenza".

Il Tesoro degli Stati Uniti aveva precedentemente sanzionato Evil Corp, un gruppo che potrebbe ancora operare in Russia. Garmin afferma che le sue app sono progettate internamente e funzionalità come Stealth Mode e Kill Switch possono essere trovate anche su altri modelli di smartwatch come quello dell'azienda Tattica 7.

“Hai il controllo completo su chi condividi queste informazioni. Spetta all'utente condividere tali informazioni quando lo ritiene opportuno", ribadisce Alpiser di Garmin. Chi lo indossa può avere un certo grado di controllo, ma anche quello non è completo e l'azienda non ha evitato di utilizzare dati utente generalizzati per promuovere se stessa.

A gennaio, Garmin ha emesso un 2021 Rapporto fitness Garmin Connect in cui l'azienda afferma: "I dati di milioni di clienti di smartwatch globali offrono informazioni sulle principali attività dell'anno".

"Di fronte ai blocchi in corso e all'emergere di nuove varianti di COVID-19, gli utenti Garmin hanno registrato un numero record di attività di fitness nel 2021", ha affermato Joe Schrick, vicepresidente del segmento fitness di Garmin.

Il rilascio può sembrare abbastanza innocente, ma è una chiara pubblicità del tipo di dati personali aggregati (e individuali) di fitness che Garmin possiede: dati potenzialmente interessanti per il tipo di microtargeting che la Russia sta perseguendo in Ucraina.

L'esempio risale all'angolo tecnologico "duro e malvagio" che gli americani e altre società si sono messe in mezzo, dice Dawson.

“Quando pensiamo alla sicurezza [protocolli] di queste società, essenzialmente accettiamo che stiamo prendendo una società privata e mettendola contro uno stato-nazione. Il Dipartimento della Difesa e il governo federale in genere non aiutano le aziende private a proteggere i propri dati. Anche se Garmin ha una buona sicurezza, se uno stato nazione vuole entrare in questo, sarà in grado di entrarci.

Oltre all'immediato problema di microtargeting per il D2 Mach 1 o qualsiasi altro dispositivo, c'è una grande lacuna politica nell'esercito e in tutto il DoD Dawson osserva.

"Quale autorità deve dettare il Dipartimento della Difesa, raccomandare qualcosa per quanto riguarda i dispositivi privati ​​​​delle persone?"

Se la Space Force andasse avanti con il suo esperimento di fitness test connesso, potrebbe creare un precedente? Dawson non ha una risposta ma suggerisce un punto di partenza.

"La prima cosa che dobbiamo fare è convincere il Dipartimento della Difesa a riconoscere che questa è una priorità della sicurezza nazionale... L'idea che la patria sia uno spazio conteso e che questi dati facciano parte di quello spazio conteso non è stata chiaramente articolata nei documenti di sicurezza nazionale del Dipartimento della Difesa .”

La guerra in Ucraina potrebbe sollevare le preoccupazioni sulla privacy dei dati a un livello tale da prendere atto della leadership militare e politica degli Stati Uniti. Dawson conferma che l'Army Cyber ​​Institute sta usando l'Ucraina per costruire il suo caso per affrontare il microtargeting. Ciò potrebbe riportare lei e i suoi colleghi dell'esercito a una domanda fondamentale.

Se Dawson stesse andando in combattimento con un elicottero d'attacco AH-64 Apache, un carro armato M-1 Abrams, oa piedi, ti chiedevo, indosseresti un Garmin D2 Mach 1?

"Non lo porterei con me", ha risposto.