211service.com
Norite sekti žmones? Tam yra programa
Remiantis naujausiu tyrimu, daugiau nei pusė visų „iPhone“ programų renka ir bendrina unikalų kodą, kurį būtų galima naudoti naudotojams be jų žinios sekti.
Vienos technikos universiteto doktorantas Manuelis Egele ir dar trys mokslininkai ištyrė, kaip daugiau nei 1400 iPhone programų apdoroja naudotojų duomenis. Tik nedaugelis akivaizdžiai pakenkė privatumui: 36 pasiekė įrenginio vietą, prieš tai nepranešę vartotojo; dar penki duomenys buvo išgauti iš vartotojo adresų knygos be leidimo. Tyrimas bus pristatytas Tinklo ir paskirstytų sistemų saugumo simpoziume vasario pradžioje.
Tačiau daugiau nei pusė tirtų „iPhone“ programų rinko įrenginio ID – 40 skaitmenų šešioliktainį skaičių, identifikuojantį konkretų telefoną. Daugiau nei 750 tirtų programų naudojo tam tikrą sekimo technologiją. Maždaug 200 atvejų kūrėjas sukūrė būdą sekti įrenginio identifikatoriaus kodą; kitos programos naudojo šią reklamavimo ar stebėjimo programinės įrangos bibliotekos funkciją. Egelės tyrimai bus pristatyti Tinklų ir paskirstytų sistemų saugumo simpoziume vasario pradžioje.
Egelė sako, kad įmonės, kurios nėra pernelyg teisėtos, gali kurti savo vartotojų profilius. Identifikatorius [kodas] nėra susietas su vartotojo vardu, tačiau galite jį susieti su „Facebook“ paskyra, o tai suteiks daug informacijos apie vartotoją, įskaitant (dažniausiai) tikrąjį jo vardą.
„Apple“, kuri neseniai atšventė 10 milijardą „App Store“ atsisiuntimo, tikrina programas ir reikalauja, kad kūrėjai prašytų leidimo, kad galėtų pasiekti vartotojų duomenis. Tačiau mažai žinoma apie tai, kaip įmonė tikrina kiekvieną programą.
Nežinote, ką tiksliai daro šios programos – jas ne stambūs kūrėjai, o paprasti žmonės, sako Charlie Milleris, „iPhone“ saugos ekspertas ir „Independent Security Evaluators“ pagrindinis analitikas. „IPhone“ automatiškai riboja, ką programos gali daryti naudodamos vadinamąją smėlio dėžę, tačiau šie apribojimai nėra labai griežti, o tai reiškia, kad asmeninius duomenis rinkti nėra sunku, sako Milleris. Jie veikia smėlio dėžėje, bet tai gana švelni smėlio dėžė.
Keturi tyrėjai išanalizavo 825 programas, kurias galima nemokamai gauti Apple App Store ir dar 582 programas Cydia saugykloje – paslaugą, kuri suteikia programinę įrangą vartotojams, kurie pašalino Apple saugos priemones iš savo iPhone. Procesas vadinamas įkalinimu.
Egelė ir jo kolegos privatumo pažeidimą apibrėžė kaip įvykį, kai programa iš įrenginio nuskaito jautrius duomenis – adresus, telefonų numerius, el. pašto paskyros informaciją ir neklausdama leidimo siunčia tuos duomenis internetu. Tyrėjai negalėjo išsiaiškinti, ar vartotojas buvo apgautas duoti sutikimą.
Privatumo aprašymas, kurį sugalvojome, yra toks, kad nenorėjome, kad jautrūs duomenys iš mobiliojo įrenginio būtų išgauti vartotojui nežinant, – sako Egelė. Tačiau negalime pasakyti, ar tai kenkėjiška, ar ne.
Tyrėjai sukūrė programinę įrangą, skirtą išbandyti kiekvienos programos funkcionalumą ir nustatyti, ar ji rinko ir neperdavė slaptos informacijos apie tai nepranešusi vartotojui. Jie taip pat turėjo iššifruoti, kaip veikia tam tikros programos, turėdami tik ribotą informaciją.
Įdomi įžvalga iš tyrimo: „App Store“ programos buvo labiau linkusios slapta pasiekti vartotojo duomenis nei programos iš nekontroliuojamos „Cydia“ saugyklos, sako Egele.
Milleris sako, kad „Apple“ turėtų patobulinti programų tikrinimo procesą. Nėra lengvo problemos sprendimo, tačiau geriausias būdas tai padaryti yra centrinio atsiskaitymo centro (kaip Apple) turėjimas, sako jis. Tačiau šiuo metu „Apple“ tikriausiai tai daro netinkamai.