Tvoje obľúbené Android aplikácie môžu potajomky odosielať tvoju polohu bez toho, aby si o tom vedel
Niektoré Android aplikácie môžu cez reklamné SDK odosielať tvoju polohu do reklamných systémov bez jasného upozornenia.
Niektoré reklamné knižnice, ktoré si vývojári vkladajú do mobilných aplikácií, môžu automaticky odosielať polohu používateľa do reklamných systémov. Odtiaľ sa údaje môžu dostať aj k firmám, ktoré obchodujú s informáciami o pohybe ľudí. Vyplýva to z novej analýzy organizácie Electronic Frontier Foundation (EFF).
EFF preskúmala dokumentáciu desiatok reklamných SDK. Ide o hotové balíky kódu, cez ktoré vývojári zobrazujú reklamu a zarábajú na bezplatných aplikáciách. Problém vzniká vtedy, keď aplikácia dostane prístup k polohe a vložená reklamná knižnica toto oprávnenie využije tiež.
Reklamný kód dostane tvoju polohu bez ďalšieho pýtania
EFF upozornila na štyri konkrétne SDK, ktoré podľa vlastnej dokumentácie zbierajú a zdieľajú polohu predvolene. Ide o InMobi, BidMachine, HyBid od spoločnosti Verve a Petal Ads od Huawei.
Samotná prítomnosť jednej z týchto knižníc ešte nedokazuje, že aplikácia naozaj posiela presné súradnice. Najskôr musí získať povolenie na prístup k polohe a vývojár môže zber obmedziť alebo vypnúť. EFF však upozorňuje, že predvolené nastavenia zohrávajú veľkú úlohu. Mnohí vývojári ich nemenia alebo presne nevedia, čo vložený reklamný kód robí.
Ďalšie reklamné knižnice už v minulosti čelili kritike alebo žalobám za získavanie polohy bez platného súhlasu používateľov.
Neprehliadni
Povolíš polohu jednej appke. Dostane sa k nej aj cudzí kód
Android pri udeľovaní povolení nerozlišuje medzi samotnou aplikáciou a knižnicami tretích strán v jej kóde. Ak povolíš prístup k polohe aplikácii na počasie, meranie rýchlosti alebo zaznamenanie športovej aktivity, rovnaké oprávnenie môže využiť aj reklamné SDK.
Telefón ti nezobrazí ďalšie okno s otázkou, či môže tvoju polohu dostať konkrétna reklamná firma. Vidíš iba názov aplikácie, ktorej povolenie udeľuješ. Môžeš teda očakávať, že súradnice potrebuje na zobrazenie počasia alebo zaznamenanie trasy. V skutočnosti sa však môžu objaviť aj v požiadavke na načítanie reklamy.
Takéto požiadavky sa používajú pri systéme real-time bidding, teda automatickej aukcii reklamného priestoru. Keď aplikácia načíta reklamu, informácie o zariadení odošle do systému, v ktorom viaceré spoločnosti rozhodujú, koľko za zobrazenie zaplatia. Súčasťou údajov môže byť aj poloha.
Test ukázal, že presná poloha odchádzala do reklamného systému
EFF sa nespoliehala iba na dokumentáciu. Výskumníci sledovali sieťovú prevádzku aplikácií QR Scanner a GPS Speedometer, ktoré používali SDK BidMachine. V požiadavkách smerujúcich na servery spoločnosti našli presné súradnice zariadenia.
Aplikácie používateľa osobitne neupozornili, že jeho polohu dostane reklamná spoločnosť. Podľa EFF nebolo zdieľanie s tretími stranami uvedené ani v sekcii Bezpečnosť údajov v Obchode Play.
Nešlo o neznáme aplikácie s niekoľkými stovkami používateľov. QR Scanner prekročil 50 miliónov stiahnutí a GPS Speedometer ďalších 10 miliónov. Spolu sa teda dostali do telefónov najmenej 60 miliónov ľudí, upozornil aj server TechCrunch.
BidMachine reagovala, že bez povolenia udeleného operačným systémom nedokáže k polohe pristupovať. Za nastavenie oprávnení a získanie súhlasu podľa firmy zodpovedá vydavateľ aplikácie.
EFF však našla rozpor v dokumentácii spoločnosti. Jedna zo stránok pôvodne tvrdila, že SDK presnú polohu nezbiera, hoci test ukázal opak. BidMachine po otázkach organizácie text upravila a doplnila, že pri udelenom povolení môže presné súradnice získavať.
Aj nepresná poloha prezradí, kde bývaš a kam chodíš
Pri HyBid SDK od spoločnosti Verve je sledovanie polohy podľa konfiguračnej príručky tiež zapnuté predvolene. Firma tvrdí, že jej technológia dosahuje viac ako 1,5 miliardy používateľov vo vyše 10-tisíc aplikáciách.
Verve pre EFF uviedla, že aktuálna verzia jej SDK pre Android nečíta polohu priamo z GPS. Využíva údaj od sieťového poskytovateľa polohy a pred ďalším spracovaním ho znepresní najmenej na približne 564 metrov.
Takáto odchýlka môže znieť veľká, no pri pravidelnom zbere stále stačí na odhalenie návykov. Z opakujúcich sa bodov sa dá odhadnúť, kde človek býva, pracuje alebo ktoré miesta často navštevuje.
Huawei pri Petal Ads vývojárom odporúča požiadať používateľov o prístup k polohe, pretože lepšie zacielená reklama môže zvýšiť príjmy aplikácie. Zber sa dá vypnúť, no podľa podrobnej analýzy EFF sa tento postup nachádza v inej časti dokumentácie a vývojár ho môže ľahko prehliadnuť.
Z reklamných dát sa už stali nástroje na sledovanie ľudí
Podľa EFF nejde iba o nepríjemne presné reklamy. Lokalizačné dáta z reklamného priemyslu už využil americký imigračný úrad ICE aj firmy ponúkajúce globálne sledovacie nástroje. Objavili sa tiež pri sledovaní odborárskych organizátorov a amerického vojenského personálu.
Známy je aj prípad katolíckeho kňaza, ktorého identitu a návštevy miest spájaných s gay komunitou odhalili pomocou údajov pochádzajúcich z reklamných systémov. Ukázalo sa tak, že zdanlivo anonymné body na mape možno pri dostatočnom množstve záznamov priradiť ku konkrétnemu človeku.
Poloha telefónu neukazuje iba miesto, kde sa zariadenie nachádzalo. Pri dlhšom sledovaní môže odhaliť domov, pracovisko, návštevu nemocnice, náboženského objektu, politického zhromaždenia alebo stretnutie s konkrétnou osobou.
Vývojár často netuší, čo reklamná knižnica robí na pozadí
EFF zdôrazňuje, že udelenie prístupu k polohe aplikácii nemožno automaticky považovať za súhlas so zdieľaním súradníc s reklamnými partnermi. Vývojári by preto mali preveriť každé SDK, ktoré do aplikácie pridávajú, a zber polohy vypnúť všade, kde ho hlavná funkcia aplikácie nepotrebuje.
Používateľ môže riziko znížiť kontrolou povolení v nastaveniach Androidu. Aplikáciám, ktoré polohu nepotrebujú, sa dá prístup úplne odobrať. Pri ostatných možno povoliť iba približnú polohu alebo prístup obmedziť na čas, keď aplikáciu aktívne používaš.
Ak povolíš polohu preto, aby ti aplikácia ukázala počasie alebo zmerala rýchlosť, má to naozaj znamenať, že tvoj pohyb môže dostať aj reklamná aukcia, o ktorej si nikdy nepočul?
