Αρχιτεκτονική του οικοσυστήματος και μεθοδολογία
Η έρευνα χρησιμοποίησε μια ελεγχόμενη υποδομή για την ανάλυση της κίνησης δικτύου (network traffic) από 21 οχήματα και 30 συνοδευτικές εφαρμογές. Για τη συλλογή δεδομένων Wi-Fi, χρησιμοποιήθηκε ένα custom access point σε Raspberry Pi με tcpdump, ενώ για την ανάλυση της κίνησης των mobile apps χρησιμοποιήθηκε mitmproxy με εγκατάσταση custom root certificates στις συσκευές iOS. Η χρήση κλωβού Faraday (Faraday tent) επέτρεψε στους ερευνητές να απομονώσουν την κυψελωτή επικοινωνία (cellular traffic) και να εξετάσουν αν τα οχήματα αναδρομολογούν τα δεδομένα τους μέσω Wi-Fi.
Η διαρροή δεδομένων και το προφίλ του χρήστη
Τα ευρήματα καταδεικνύουν ότι τα οχήματα δεν επικοινωνούν μόνο με τους servers του κατασκευαστή, αλλά και με τρίτες υπηρεσίες (third-party domains). Η διασύνδεση του οχήματος με το συνοδευτικό app επιτρέπει στους διαφημιστές να συσχετίζουν το VIN (Vehicle Identification Number) με προσωπικά δεδομένα (PII), δημιουργώντας λεπτομερή προφίλ καταναλωτών. Η πρακτική αυτή καθιστά τον χρήστη αντικείμενο συνεχούς παρακολούθησης, χωρίς ουσιαστική δυνατότητα ελέγχου (opt-out).
Προκλήσεις διαφάνειας και συμμόρφωσης
Το κύριο συμπέρασμα της μελέτης είναι η ύπαρξη ενός μεγάλου χάσματος μεταξύ των δηλώσεων ιδιωτικότητας (privacy policies) και της πραγματικής τεχνικής υλοποίησης. Οι κατασκευαστές συχνά αποκρύπτουν το εύρος της κοινοποίησης δεδομένων σε τρίτους. Η έρευνα τονίζει ότι το τρέχον μοντέλο «take it or leave it» στερεί από τον κάτοχο του οχήματος τη δυνατότητα επιλογής, εξαναγκάζοντάς τον να επιλέξει μεταξύ της λειτουργικότητας του οχήματος και της προστασίας της ιδιωτικότητάς του.