Veja como rastrear os aplicativos de smartphone que estão rastreando você

Dois grupos acadêmicos criaram ferramentas para policiar o que os aplicativos fazem com sua localização e outros dados pessoais.

Veja como rastrear os aplicativos de smartphone que estão rastreando você

Quando se trata de sites, temos à disposição técnicas cada vez mais sofisticadas para bloquear os anúncios que às vezes rastreiam nossas andanças pela internet. Mas a maioria de nós gasta muito do nosso tempo atualmente em aplicativos móveis que não oferecem transparência sobre como estamos sendo rastreados ou vendidos - nem ferramentas para bloquear esse comportamento.

Devemos confiar nos fabricantes de sistemas operacionais - principalmente Apple e Google - para promulgar diretrizes aos desenvolvedores sobre práticas legítimas quando se trata de rastrear comportamento, solicitar informações pessoais e transferir dados para servidores remotos. Os fabricantes de sistemas operacionais também são responsáveis ​​por fazer cumprir esses requisitos. As regras em vigor são muito amplas e, exceto para abusos que podem ser verificados rapidamente por revisores internos, entram em ação com mais frequência quando usuários e pesquisadores relatam violações.

As regras da Apple, por exemplo, exigem que os aplicativos obtenham a permissão de alguém antes de transmitir dados pessoais e devem descrever como e onde os dados serão usados. A Apple não policia essas regras realizando interceptações de comunicação de rede ou exigindo a auditoria de bancos de dados remotos. (A empresa recusou uma entrevista para esta história.)



Quando os aplicativos pedem permissões, isso não é feito de maneira administrável, diz Franziska Roesner, professora assistente de ciência da computação e engenharia da Universidade de Washington, que pesquisa segurança e privacidade de computadores. O iOS não sabe necessariamente se é razoável para um aplicativo usar sua localização, e é por isso que perguntam ao usuário, diz ela.

A Apple depende da divulgação do desenvolvedor sobre o que está sendo feito com os dados de localização. Parte do trabalho de Roesner tenta combinar a finalidade de um aplicativo e os elementos da interface com o tipo de permissão solicitada, para garantir que a solicitação não seja mal utilizada.

Muitos desenvolvedores incorporam funcionalidades na forma de pacotes analíticos de terceiros e códigos de tecnologia de anúncios, que podem associar detalhes aparentemente inócuos do usuário a informações coletadas de outras fontes. Assim, mesmo que os dados enviados de um aplicativo pareçam benignos isoladamente, eles podem identificar um usuário de forma exclusiva ou ser usados ​​para fins desconhecidos pelo desenvolvedor. Os desenvolvedores normalmente não auditaram esse código e não puderam dizer em detalhes o que ele faz.

Um estudo de caso recente foi o aplicativo Meitu , feito por uma empresa com o mesmo nome, que aplica um estilo de anime às fotos faciais das pessoas. O aplicativo gratuito estava disponível na China há anos, mas uma versão em inglês se tornou viral. Quando os pesquisadores de segurança examinaram as entranhas do software, eles descobriram que ele estava cheio de análises e pacotes de anúncios, apenas alguns dos quais estavam vinculados a um código funcional, e que pedia permissões extensas no Android e iOS.

construir uma casa para 30000

Meitu me disse no momento da confusão que incluía certos códigos de geolocalização e verificação de aplicativos para cumprir os requisitos da rede de publicidade na China, onde dispositivos desbloqueados podem ser usados ​​para fraudar anunciantes, e os anunciantes podem exigir que suas mensagens sejam protegidas por geofrenagem para que apareçam apenas em certas regiões. A Apple confirmou que o aplicativo estava e continua em conformidade.

Esta visualização do Haystack Project fornece uma imagem nítida da extensão das comunicações de aplicativos móveis com outras partes, benignas ou não.

Nos EUA, a Federal Trade Commission não pode intervir em nome dos consumidores, a menos que haja suspeita de que uma empresa tenha infringido uma lei relativa à privacidade das informações, incluindo a COPPA (Children's Online Privacy Protection Rule), ou que uma empresa tenha feito uma representação sobre o que faz e mentiu. O site da FTC tem uma página sobre seus processos judiciais e resultados sobre privacidade de dados, incluindo aqueles relacionados a aplicativos.

Então, o que um usuário deve fazer? Os acadêmicos estão nisso. Dois esforços complementares, que estão em processo de cooperação adicional, passarão mais controle para aqueles com dispositivos móveis para monitorar conexões de aplicativos, ajudando a expor pessoas mal-intencionadas e transferências de segurança de dados privadas mal projetadas e permitir a eliminação de informações privadas ou bloqueá-las completamente de ser enviado.

China proibiu o ursinho pooh

Ouvindo em seu nome

Uma equipe liderada por Dave Choffnes da Northeastern University, um professor assistente em sua Faculdade de Computação e Ciência da Informação, desenvolveu ReCon , uma espécie de rede privada virtual (VPN) para dados de identificação pessoal (PII no jargão da área). Ao contrário de uma VPN regular, que protege os dados em um túnel seguro entre o dispositivo de um usuário e um data center ou servidor corporativo para evitar bisbilhoteiros, ReCon também usa a conexão VPN para atuar como um proxy de varredura para examinar todos os dados que passam entre o seu smartphone e o resto da Internet. Funciona instalando um perfil de rede no iOS ou Android, assim como os serviços normais de VPN.

O ReCon pode examinar completamente o conteúdo das conexões não criptografadas, o que também ficaria em claro para qualquer pessoa em uma rede Wi-Fi pública ou outros pontos de interceptação de rede quando uma VPN não está em uso.

Choffnes e seus colegas encontraram algumas práticas surpreendentes. Por exemplo, diz ele, GrubHub involuntariamente enviou senhas de usuário para Crashlytics, uma empresa de propriedade do Google que ajuda os desenvolvedores a identificar falhas de código. Quando informado, o GrubHub revisou seu código e fez com que o Crashlytics excluísse todos os dados associados que continham senhas.

O grupo extrai dados de comunicações de aplicativos e tenta determinar quais partes deles são PII. Isso é mais difícil e mais fácil do que pode parecer. A maioria dos dados é enviada de forma estruturada, usando uma API e geralmente no formato JSON padrão, que agrupa os dados em um rótulo (a chave) e seu valor associado. Mas a equipe também aplica o aprendizado de máquina, permitindo-lhe identificar PII de forma mais ampla, mesmo quando aparece sem usar nenhum formato de estrutura padrão ou aparece em lugares surpreendentes.

O projeto ReCon publica alguns dados derivado de algumas centenas de usuários iniciais, listando aplicativos, o tipo de dados que eles passaram, uma pontuação de gravidade, se um desenvolvedor foi notificado e quando o mau comportamento foi corrigido (se de fato foi).

Para aqueles que instalaram o aplicativo, ReCon tem um console baseado na web que permite aos usuários bloquear ou modificar as informações enviadas. Por exemplo, um usuário pode bloquear todos os exemplos de um determinado tipo de PII ou bloquear todos os dados de localização enviados de um determinado aplicativo. No entanto, como alguns aplicativos falham sem coordenadas de localização, a equipe está procurando informações de GPS mais grosseiras em vez de bloqueá-las totalmente. O back-end de um aplicativo ainda obtém informações relevantes, mas outras partes não conseguem determinar onde você está a poucos metros, observa Choffnes.

Obviamente, o exame de um fluxo de dados dos próprios usuários levanta grandes alertas sobre a privacidade, o que é parte da evolução do ReCon. Seus criadores não pedem senhas, tentam evitar armazenar os valores enviados e verificam apenas para ver se, digamos, uma senha está obviamente sendo passada sem criptografia. Em última análise, o grupo deseja realizar aprendizado de máquina distribuído sem que os usuários divulguem informações privadas ou secretas, como os domínios que estão visitando.

Antes que saia do telefone

The Haystack Project , uma colaboração do International Computer Science Institute (ICSI) da University of California, Berkeley, entre várias instituições acadêmicas, começa com um aplicativo Android que captura dados diretamente na fonte. (Ainda não está disponível para iOS.)

Como o ReCon, o aplicativo Lumen Privacy Monitor do Haystack atua como uma VPN, mas desvia os dados internamente, em vez de enviá-los do dispositivo para análise. Por estar no controle do usuário, o aplicativo pode receber permissão para interceptar conexões https e analisar tudo o que é enviado entre aplicativos e servidores. O ReCon, sentado fora do dispositivo e da rede, não pode, embora possa identificar que uma conexão foi para um destino específico, o tamanho aproximado da carga útil e a frequência de comunicação.

casas de baixo custo para construir
O aplicativo Lumen monitora o que os aplicativos Android fazem com seus dados

O aplicativo Lumen monitora o que os aplicativos Android fazem com seus dados.

Narseo Vallina-Rodriguez, pesquisador da ICSI, diz que o fato de o Lumen não enviar dados do dispositivo significa que seus desenvolvedores devem ser mais cuidadosos para não sobrecarregar um smartphone com tarefas de processamento. No momento, a ferramenta mede e relata o que os aplicativos estão fazendo, embora possa oferecer controles de bloqueio no futuro.

O aplicativo reporta informações totalmente anônimas, permitindo que os pesquisadores entendam o tipo de informação pessoal que está sendo extraída e transmitida. Estamos vendo toneladas de coisas como alguns aplicativos vinculando o endereço MAC do ponto de acesso Wi-Fi como um proxy para localização, diz Vallina-Rodriguez. (O endereço MAC de uma estação base a identifica exclusivamente e é usado por bancos de dados de localização de Wi-Fi administrados pela Apple, Google e outras empresas.)

Embora certos tipos de dados pessoais exijam um aplicativo para acionar o Android para solicitar permissão do usuário, encontramos aplicativos e serviços de terceiros que estão de alguma forma usando canais internos sem o conhecimento do usuário, diz Vallina-Rodriguez. Ele observa que um arquivo Android que contém uma variedade de detalhes de informações do sistema, como tamanho do buffer, também pode ter identificadores de rede exclusivos, incluindo um endereço IP, e que está sendo enviado sem o consentimento do usuário.

Felizmente, os dois projetos têm uma competição amigável e planos de colaboração. Os esforços provavelmente permanecerão separados, mas incorporarão aspectos ou dados associados para obter uma imagem maior sobre o comportamento do aplicativo.

E a equipe ReCon gostaria de desenvolver software para um dispositivo de rede, um Raspberry Pi que atuaria como um sniffer ou proxy ou firmware para um roteador de rede, para permitir que alguém veja as interações em todos os dispositivos de rede - especialmente equipamentos de Internet das Coisas, que têm seus próprios problemas de privacidade e segurança.

Tanto a ReCon quanto a Lumen estão trabalhando para obter mais financiamento para melhorar os projetos e torná-los viáveis ​​para uma implantação em grande escala para o consumidor.

[Foto: usuário Unsplash Oliur Rahman ]

Políticas em vez de gobbledygook

Por mais informativos que RecCon e Lumen sejam, o que os aplicativos estão fazendo com nossos dados continua sendo um assunto impenetrável. Muitos especialistas em privacidade e pesquisadores apontam para o uso de documentos legais densos para definir a divulgação, sem que aqueles sejam vinculados a elementos discretos verificáveis ​​que o software (ou humanos) poderiam verificar. As divulgações de privacidade são quase impossíveis de serem analisadas por usuários comuns, e mesmo advogados treinados na área podem precisar dedicar horas de esforço para confirmar se estão sendo seguidos.

quando o usb foi inventado

Choffnes observa: As políticas de privacidade, que eles afirmam que farão, tendem a ser escritas de uma maneira muito ampla, o que lhes dá margem de manobra para evitar entrar em conflito com os regulamentos de práticas comerciais enganosas da FTC. Quanto mais vagos eles são, menor a chance de terem falhado em divulgar as informações que obtiveram.

Contanto que você divulgue, quase tudo vale, diz Stacey Gray, conselheira política do Future of Privacy Forum, um grupo que trabalha com a indústria, defensores do consumidor e outras partes interessadas. Se você não está enganando sua política, pode fazer quase tudo.

Onde as coisas se tornam especialmente obscuras, diz ela, é onde o uso de dados é inesperado, impróprio ou confidencial. Um aplicativo de localização de restaurantes pode solicitar a localização para fornecer recomendações sobre você. Mas se também está vendendo sua localização como um fluxo de receita sem divulgá-lo, isso é inesperado ou impróprio. Você não abriria mão desse direito intencionalmente, mas ele poderia ser facilmente escondido em um miasma de terminologia jurídica.

Gray também aponta consequências não intencionais, onde o criador do aplicativo e uma rede de tecnologia de publicidade de terceiros podem agir dentro de termos razoáveis, mas uma parte não relacionada pode violar a privacidade. Ela cita uma situação em maio de 2016 em que uma empresa alegou ser capaz de usar a segmentação de publicidade para encontrar mulheres nas proximidades de clínicas de Paternidade planejada e exibir-lhes anúncios sobre serviços de aconselhamento religioso anti-aborto. Essa ação é possivelmente legal, mas certamente não é desejável pelos usuários, redes de anúncios ou editores envolvidos. (A operadora do serviço disse que ele poderia colocar anúncios nas páginas do Facebook; o Facebook afirmou que não conseguiu encontrar nenhum registro dele ou de seus anúncios.)

Os mesmos conflitos que impulsionaram as guerras de bloqueio de anúncios tornam improvável que os modelos de negócios por trás dos aplicativos móveis forneçam mais transparência, tornando a pesquisa por trás do ReCon e do Lumen ainda mais importante. Como explica Choffnes, a maioria dos avanços nessa área vem da academia; essas são coisas que são um claro bem público e não sairiam da comunidade empresarial, porque seus incentivos estão alinhados para promover esse comportamento em vez da privacidade do consumidor.

[ Correção, publicada em 31/05/17: Uma versão anterior desta história relatou incorretamente a afiliação acadêmica de Dave Choffnes.]