Ang mga larawan mula sa mga smartphone ay naka-geotag kahit na ang user ay walang kamalayan. Maaaring baguhin ng mga user ng smartphone ang kanilang mga setting ng privacy upang limitahan kung sino ang maaaring tumingin sa kanilang mga geotagged na lokasyon. (Photo Credit: US Army Graphic)

Ang aming mga mobile phone ay maaaring magbunyag ng maraming tungkol sa ating sarili: kung saan tayo nakatira at nagtatrabaho; sino ang aming pamilya, kaibigan at kakilala; paano (at kahit na ano) namin makipag-usap sa kanila; at ang aming mga personal na gawi. Sa lahat ng impormasyon na nakaimbak sa mga ito, hindi nakakagulat na ang mga gumagamit ng mobile device ay gumawa ng mga hakbang upang protektahan ang kanilang privacy, tulad nito gamit ang mga PIN o mga passcode upang i-unlock ang kanilang mga telepono.

Ang pananaliksik na ginagawa namin at ng aming mga kasamahan ay nagpapakilala at nagsisiyasat ng isang makabuluhang pananakot na pinalampas ng karamihan sa mga tao: Higit sa 70 porsiyento of Ang mga smartphone app ay nag-uulat ng personal na data sa mga kumpanya ng pagsubaybay ng third-party tulad ng Google Analytics, Facebook Graph API o Crashlytics.

Kapag nag-install ang mga tao ng bagong Android o iOS app, tinatanong nito ang pahintulot ng user bago ma-access ang personal na impormasyon. Sa pangkalahatan, ito ay positibo. At ang ilan sa mga impormasyong kinukuha ng mga app na ito ay kinakailangan para sa kanila upang gumana nang maayos: Ang isang mapa app ay hindi magiging halos kapaki-pakinabang kung hindi ito maaaring gumamit ng GPS data upang makakuha ng isang lokasyon.

Ngunit sa sandaling ang isang app ay may pahintulot na mangolekta ng impormasyong iyon, maaari itong ibahagi ang iyong data sa sinumang nais ng developer ng app na - ipapaalam ang mga kumpanya ng third-party na sinusubaybayan kung nasaan ka, kung gaano ka mabilis ang paglipat at kung ano ang iyong ginagawa.

Ang tulong, at panganib, ng mga aklatan ng code

Ang isang app ay hindi lamang kumulekta ng data upang magamit sa telepono mismo. Halimbawa, ang mga apps sa pagmamapa, ipadala ang iyong lokasyon sa isang server na pinapatakbo ng developer ng app upang makalkula ang mga direksyon mula sa kung saan ka sa isang ninanais na destinasyon.

Ang app ay maaaring magpadala ng data sa ibang lugar, masyadong. Tulad ng mga website, maraming mga mobile na app ay isinulat sa pamamagitan ng pagsasama ng iba't ibang mga function, sinusundan ng iba pang mga developer at kumpanya, sa tinatawag na mga third-party na mga aklatan. Ang mga aklatang ito ay tumutulong sa mga developer subaybayan ang pakikipag-ugnayan ng user, kumonekta sa social media at kumita ng pera sa pamamagitan ng pagpapakita ng mga ad at iba pang mga tampok, nang hindi na kinakailangang isulat ang mga ito mula sa simula.

Gayunpaman, bilang karagdagan sa kanilang mahalagang tulong, ang karamihan sa mga aklatan ay din mangolekta ng sensitibong data at ipadala ito sa kanilang mga online na server - o sa isa pang kumpanya nang buo. Ang matagumpay na mga may-akda ng aklatan ay maaaring makagawa ng mga detalyadong digital na profile ng mga gumagamit. Halimbawa, maaaring bigyan ng isang tao ang isang app ng pahintulot upang malaman ang kanilang lokasyon, at isa pang access ng app sa kanilang mga contact. Ang mga ito ay una sa hiwalay na mga pahintulot, isa sa bawat app. Ngunit kung ang parehong apps ay gumagamit ng parehong library ng third-party at nagbahagi ng iba't ibang mga piraso ng impormasyon, maaaring i-link ng nag-develop ng library ang mga piraso.

Hindi kailanman malalaman ng mga user, dahil hindi kinakailangan ang mga apps na sabihin sa mga gumagamit kung anong mga library ng software ang ginagamit nila. At napakakaunting apps lamang ang nagpapubliko ng kanilang mga patakaran sa pagkapribado ng user; kung gagawin nila, kadalasan sa mga legal na dokumento ng isang regular na tao ay hindi magbabasa, higit na gaanong naiintindihan.

Pagbuo ng Lumen

Ang aming pananaliksik ay naglalayong ihayag kung gaano kalaki ang data na nakokolekta nang walang kaalaman ng mga gumagamit, at upang bigyan ang mga gumagamit ng higit na kontrol sa kanilang data. Upang makakuha ng isang larawan ng kung ano ang data ay nakolekta at ipinadala mula sa mga smartphone ng tao, bumuo kami ng isang libreng Android app ng aming sariling, na tinatawag na Lumen Privacy Monitor. Pinag-aaralan nito ang mga apps ng trapiko na ipapadala, upang mag-ulat kung aling mga application at mga serbisyong online ay aktibong nag-aani ng personal na data.

Dahil ang Lumen ay tungkol sa transparency, maaaring makita ng isang user ng telepono ang naka-install na impormasyon na apps sa real time at kung kanino nila ibinabahagi ang mga data na ito. Sinusubukan naming ipakita ang mga detalye ng nakatagong pag-uugali ng apps sa isang madaling maunawaan na paraan. Ito ay tungkol sa pananaliksik, gayundin, kaya tinatanong namin ang mga gumagamit kung papahintulutan kami sa amin upang mangolekta ng ilang data tungkol sa kung ano ang ginagawa ni Lumen na ginagawa ng kanilang mga apps - ngunit hindi kasama ang anumang personal o sensitibong data ng data. Ang natatanging access sa data na ito ay nagbibigay-daan sa amin upang pag-aralan kung paano kinokolekta ng mga mobile app ang personal na data ng mga gumagamit at kung kanino ibinabahagi nila ang data sa walang kapararasang antas.

Sa partikular, sinusubaybayan ni Lumen kung aling apps ang tumatakbo sa mga device ng mga gumagamit, kung nagpapadala sila ng data na sensitibo sa privacy sa labas ng telepono, kung anong mga internet site ang nagpapadala sila ng data sa, ang network protocol na ginagamit nila at kung anong mga uri ng personal na impormasyon ang bawat app nagpapadala sa bawat site. Pinag-aaralan ng Lumen ang trapiko ng app nang lokal sa device, at idiniin ang mga datos na ito bago ipadala ang mga ito sa amin para sa pag-aaral: Kung nagrerehistro ang Google Maps ng lokasyon ng GPS ng gumagamit at ipinapadala ang tukoy na address sa maps.google.com, sinabihan kami ng Lumen, "Nakakuha ang Google Maps Lokasyon ng GPS at ipinadala ito sa maps.google.com "- hindi kung saan talaga ang taong iyon.

Ang mga tagasubaybay ay nasa lahat ng dako

Higit sa 1,600 ang mga tao na gumamit ng Lumen simula noong Oktubre 2015 nagpahintulot sa amin na pag-aralan ang higit sa 5,000 apps. Natuklasan namin ang mga internet site ng 598 na masusubaybayan ang mga gumagamit para sa mga layunin sa advertising, kabilang ang mga serbisyo ng social media tulad ng Facebook, mga malalaking kompanya ng internet tulad ng Google at Yahoo, at mga kumpanya ng pagmemerkado sa online sa ilalim ng payong ng mga internet service provider tulad ng Verizon Wireless.

Aming natagpuan na higit sa 70 porsiyento ng mga apps na pinag-aralan namin na konektado sa hindi bababa sa isang tracker, at 15 porsiyento ng mga ito ay konektado sa lima o higit pang mga tracker. Ang isa sa bawat apat na trackers ay nakakakuha ng hindi bababa sa isang natatanging tagatukoy ng aparato, tulad ng numero ng telepono o nito natatanging numero ng 15-digit IMEI na tukoy sa aparato. Ang mga natatanging tagatukoy ay mahalaga para sa mga serbisyong pagsubaybay sa online dahil maaari nilang ikonekta ang iba't ibang uri ng personal na data na ibinigay ng iba't ibang mga app sa isang tao o aparato. Karamihan sa mga gumagamit, kahit ang mga privacy-savvy, ay walang kamalayan sa mga nakatagong mga kasanayan.

Higit pa sa isang mobile na problema

Ang pagsubaybay sa mga gumagamit sa kanilang mga mobile device ay bahagi lamang ng isang mas malaking problema. Mahigit sa kalahati ng app-trackers na natukoy namin ring subaybayan ang mga gumagamit sa pamamagitan ng mga website. Dahil sa pamamaraan na ito, tinatawag na "cross-device" na pagsubaybay, ang mga serbisyong ito ay maaaring bumuo ng isang mas kumpletong profile ng iyong online persona.

At ang mga indibidwal na mga site sa pagsubaybay ay hindi palaging nagsasarili sa iba. Ang ilan sa mga ito ay pag-aari ng parehong corporate entity - at ang iba ay maaaring swallowed up sa mga merger sa hinaharap. Halimbawa, ang alpabeto, ang magulang na kumpanya ng Google, ang nagmamay-ari ng ilan sa mga domain ng pagsubaybay na aming pinag-aralan, kabilang ang Google Analytics, DoubleClick o AdMob, at sa pamamagitan nito ay nangongolekta ng data mula sa higit sa 48 na porsiyento ng mga apps na aming pinag-aralan.

Ang mga online na pagkakakilanlan ng mga gumagamit ay hindi protektado ng mga batas ng kanilang sariling bansa. Natagpuan namin ang data na naipadala sa mga pambansang hangganan, na kadalasan ay nagtatapos sa mga bansa na may kaduda-dudang mga batas sa pagkapribado. Higit sa 60 porsiyento ng mga koneksyon sa mga site ng pagsubaybay ay ginawa sa mga server sa US, UK, France, Singapore, China at South Korea - anim na bansa na na-deploy mga mass surveillance technology. Ang mga ahensya ng gobyerno sa mga lugar na iyon ay maaaring magkaroon ng access sa mga data na ito, kahit na ang mga gumagamit ay nasa mga bansa na may mas malakas na batas sa pagkapribado tulad ng Alemanya, Switzerland o Espanya.

Pagkonekta sa isang MAC address ng aparato sa isang pisikal na address (na kabilang sa ICSI) gamit ang Wigle. ICSI, CC BY-ND

Higit pang nakakagambala, naobserbahan namin ang mga tagasubaybay sa mga app na naka-target sa mga bata. Sa pamamagitan ng pagsubok ng mga apps ng 111 kids sa aming lab, napagmasdan namin na ang 11 sa kanila ay nagtagas ng isang natatanging identifier, ang MAC address, ng Wi-Fi router na ito ay konektado sa. Ito ay isang problema, dahil madali ito maghanap online para sa pisikal na mga lokasyon na nauugnay sa partikular na mga MAC address. Ang pagkolekta ng pribadong impormasyon tungkol sa mga bata, kabilang ang kanilang lokasyon, mga account at iba pang natatanging mga pagkakakilanlan, ay maaaring lumalabag sa Federal Trade Commission mga panuntunan na nagpoprotekta sa privacy ng mga bata.

Lamang ng isang maliit na hitsura

Kahit na ang aming data ay kasama ang marami sa mga pinakasikat na Android apps, ito ay isang maliit na sample ng mga gumagamit at apps, at samakatuwid ay malamang na isang maliit na hanay ng lahat ng mga posibleng trackers. Ang aming mga natuklasan ay maaaring lamang scratching ang ibabaw ng kung ano ang malamang na maging isang mas malaking problema na sumasaklaw sa buong regulasyon hurisdiksyon, mga aparato at mga platform.

Mahirap malaman kung ano ang maaaring gawin ng mga gumagamit tungkol dito. Ang pagharang sa sensitibong impormasyon mula sa pag-alis ng telepono ay maaaring makapinsala sa pagganap ng app o karanasan ng gumagamit: Maaaring tanggihan ng isang app na gumana kung hindi ito maaaring mag-load ng mga ad. Sa totoo lang, ang pag-block sa mga ad ay nakakasakit sa mga developer ng app sa pamamagitan ng pagtanggi sa kanila ng isang pinagkukunan ng kita upang suportahan ang kanilang trabaho sa mga app, na kadalasang libre sa mga gumagamit.

Kung ang mga tao ay mas handa na magbayad ng mga developer para sa apps, maaaring makatulong ito, kahit na ito ay hindi isang kumpletong solusyon. Nalaman namin na habang ang mga bayad na apps ay may posibilidad na makipag-ugnay sa mas kaunting mga site sa pagsubaybay, sinusubaybayan pa rin nila ang mga user at kumonekta sa mga serbisyo ng pagsubaybay sa third-party.

Ang transparency, edukasyon at matatag na mga balangkas ng regulasyon ay ang susi. Kinakailangang malaman ng mga gumagamit kung anong impormasyon tungkol sa mga ito ang tinipon, kung kanino, at kung ano ang ginagamit nito. Pagkatapos lamang namin maaari bilang isang lipunan magpasya kung ano ang naaangkop na proteksyon sa privacy, at ilagay ang mga ito sa lugar. Ang aming mga natuklasan, at yaong sa maraming iba pang mga mananaliksik, ay maaaring makatulong na i-on ang mga talahanayan at subaybayan ang mga tracker sa kanilang sarili.

Tungkol sa Ang May-akda

Narseo Vallina-Rodriguez, Research Assistant Professor, IMDEA Networks Institute, Madrid, Spain; Research Scientist, Networking and Security, International Computer Science Institute batay sa, University of California, Berkeley at Srikanth Sundaresan, Fellow ng Pananaliksik sa Computer Science, Princeton University

Ang artikulong ito ay orihinal na na-publish sa Ang pag-uusap. Basahin ang ang orihinal na artikulo.

Mga Kaugnay na Libro:

at InnerSelf Market at Amazon