Studie: mobilní aplikace nadměrně těží soukromá data - 1. díl

Uživatelé přitom nedisponují adekvátními nástroji pro monitoring a kontrolu takového přístupu. Vyplývá to z nové studie francouzských vládních úřadů.

Francouzská Komise pro počítače a svobodu (CNIL) studovala chování 189 aplikací na šesti iPhonech vybavených monitorovacím softwarem a nástroji analýzy vyvinutými francouzským Národním institutem pro výzkum v počítačové vědě a kontrolu (INRIA). Cílem bylo zlepšit obecné pochopení způsobu, jakým aplikace využívají soukromá data, nikoliv poukazovat na konkrétní vývojáře. Řekla to na úterní tiskové konferenci prezidentka CNIL Isabelle Falque-Pierrotin.

Místo studování aplikací v laboratorních podmínkách zvolila CNIL přístup „reálného světa“. Poprosila šest dobrovolníků, aby do iPhonů umístili svoje SIM karty, a aby tyto smartphony používali jako své vlastní. Testování probíhalo mezi polovinou října a polovinou ledna, tedy tři měsíce. Jeden z dobrovolníků za tu dobu stáhnul téměř 100 aplikací, zatímco jiný přidal k aplikacím nainstalovaným přímo firmou Apple jenom pět dalších.

Každá 12. aplikace přistupovala k adresáři kontaktů, každá třetí pak sbírala informace o poloze. Průměrně byla poloha každého z uživatelů v průběhu studie sledována 76x za den. Aplikace Foursquare a vlastní mapová aplikace Applu byly těmi, které informace o umístění vyžadovaly nejčastěji – což se z hlediska jejich účelu dá pochopit – a byly těsně následovány aplikacemi AroundMe a Camera, tedy ovládací aplikací fotoaparátu v iOS.

Ke jménu iPhonu přistupovala každá šestá aplikace, což si výzkumníci nedokázali vysvětlit, protože taková informace neslouží téměř žádnému účelu a nejedná se o unikátní identifikátor. I když je pravda, že toto jméno bývá často zároveň reálným jménem uživatele, takže může být považováno za informaci vedoucí k identifikaci konkrétního člověka.

Aplikace Facebooku se evidentně k takovým soukromým informacím dostávat nesnažila – ostatně, podle výzkumníků to nemá zapotřebí, její uživatelé jí totiž všechno řeknou dobrovolně.

Informací, k níž se aplikace v průběhu studie dostávaly zdaleka nejvíce, byl univerzální identifikátor zařízení (UDID) iPhonů, což je sériové číslo navždy spojené s konkrétním telefonem (něco jako MAC adresa počítače). Tuto informaci se snažila dozvědět (a nakonec se i dozvěděla) téměř polovina aplikací. Navíc každá třetí aplikace, která tuto informaci sbírala, ji posílala nešifrovanou internetem. Aplikace jednoho deníku se k UDID dostala za dobu studie 1 989x, přičemž jej 614x odeslala svému vydavateli.

Pokračování