Hvordan apps i hemmelighed spionerer på dig med tredjepartssporere

I det øjeblik du installerer en app, begynder den at opfange og plage dig for dine data. Den anmoder om tilladelser til at bruge din telefons interne dele, beder dig om at registrere en håndfuld personlige oplysninger - du kender øvelsen.

Men uanset hvor nøjsom og årvågen du er ved hvert trin, er der stadig én måde, hvorpå de fleste apps ender med at mine dine data skjult.

Hver app leveres pakket med en række af det, der teknisk kaldes Software Development Kits (SDK). For at forstå disse bedre, tænk på en app som et Lego-hus - hvor hver blok fungerer som et enkelt nøglemodul.

Udviklere programmerer de blokke, der er unikke for deres apps, såsom dets design og funktioner. Men komponenter som annoncering og analyser bygges normalt ikke internt. Til det henvender de sig til tredjeparter, der allerede tilbyder disse tjenester. Det eneste, udviklere skal gøre, er at tilslutte dem i deres apps.

SDK'er blev designet, som du kan antage, for at fremskynde udviklingen og eliminere overflødig indsats. Men på det seneste har disse små enheder udviklet sig som kritiske smuthuller i vores søgen efter privatliv, da virksomheder har misbrugt dem til at suge personlige brugerdata op, selv når det ikke er meningen, de skal.

Skade på privatlivets fred

An Oxford University undersøgelse fandt ud af, at næsten en tredjedel af alle apps i Play Butik var knyttet til mindst 10 tredjeparts-SDK'er og en i fem delte brugerdata med så mange som 20 SDK'er. Det tal stiger eksponentielt på gratis apps i stor skala. For eksempel som pr MightySignal, et mobilt efterretningsfirma, Tinder er forbundet til svimlende 51 SDK'er, Airbnb har 41, og ESPN har 40.

Størstedelen af ​​SDK'er indsamler data, som du normalt ikke ville tro er af nogen betydning. De sporer, hvad du trykker på inde i en app, områder, hvor du bruger det meste af din tid, hvilke annoncer du interagerer med og meget mere. Men denne tilsyneladende harmløse praksis kan være kritisk skadelig for dit privatliv, når du ser på, hvordan alle disse data passer ind i det bredere billede.

Oxford-undersøgelsen afslørede også, at 88 % af de undersøgte apps kunne sende data til virksomheder, der i sidste ende ejes af Alphabet (Googles moderselskab) og 43 % til Facebook-ejede tjenester.

Virksomheder kan lide Facebook og Google ved allerede en del om dig, og ved at bruge hundredtusindvis af apps gennem SDK'er er de i stand til at finjustere din digitale profil i deres database og betjene dig målrettet annoncer. For eksempel, hvis du venter og har installeret en graviditetsrelateret app, kan Google eller Facebook potentielt begynde at vise dig annoncer for babyprodukter baseret på disse nye oplysninger.

Personlige data udvundet

Udviklere har en tendens til at retfærdiggøre alle disse SDK'er ved at hævde, at data holdes anonyme, og at personlige oplysninger som dit telefonnummer aldrig deles.

Men i virkeligheden har store virksomheder mulighed for at binde selv den mindste smule data til din digitale profil. Appen fortæller muligvis ikke en SDK dit navn eller din e-mailadresse, men teknologivirksomheder kan finde ud af det på egen hånd ved at krydsbehandle det med deres eksisterende viden.

Apps deler ikke altid kun anonymiserede data med SDK'er. Kaspersky Lab-forsker Roman Unuchek fundet 4 mio Android apps sendte ukrypterede brugerprofildata - inklusive navne, indkomster, telefonnumre, e-mail-adresser og i et eksempel GPS-koordinater - til annoncørernes servere.

Et par uger siden, en undersøgelse af Electronic Frontier Foundation (EFF). opdagede, at fire analyse- og marketingvirksomheder akkumulerede information såsom navne, private IP-adresser, mobilnetværksudbydere, vedvarende identifikatorer og sensordata fra Amazonas Ring app.

To af de fremhævede SDK'er EFF - Appsflyer og Facebook Graph - kan findes i et væld af apps, og eksperter siger, at det er sandsynligt, at de også samler et lignende sæt data fra andre apps.

I en erklæring sagde en Appsflyer-talsmand, at virksomheden ikke er en datamægler og "bygger ikke målretning profiler, sælger ikke data og bruger ikke på anden måde nogen appbrugeres personlige data til sine egne formål."

"Nogle analysevirksomheder giver app-udviklerne fin kontrol over, hvilken information der bliver leveret, men det virker som en god antagelse, at andre apps vil give en lignende mængde følsomme data, hvis de inkluderer de samme biblioteker, siger William Budington, forfatter til EFF-undersøgelsen, til Digital Trends.

En flok SDK'er, der i øjeblikket spiller en uundværlig rolle i app-udvikling, angiver ikke ofte klart, hvordan de håndterer brugerdata. I nogle tilfælde overser udviklere og springer over at tjekke, hvordan en SDK fungerer, hvilket sætter brugersikkerheden i fare.

"Desværre ved de fleste udviklere måske ikke... hvor påtrængende en given SDK kan være, når de bygger deres egen software, mens brugerne er fuldstændig uvidende om det faktum, at når du kører en mobilapp, kan der være snesevis af andre organisationer, der potentielt indsamler følsomme og personlige data," sagde Narseo Vallina-Rodriguez, en forsker ved International Computer Science Institutes netværks- og sikkerhedsafdeling og medlem af holdet, der udviklede sig Lumen, en app, der skærme hvilke SDK'er din telefon sender data til.

Nøgleoplysninger begravet

En anden flaskehals, der har gjort det muligt for SDK'er at løbe amok er, at deres samtykke generelt er begravet dybt nede i en apps privatlivspolitik, og mange gange undlader udviklere eksplicit at understrege, hvad brugerne giver op. Desuden gælder appens sikkerhedsindstillinger ikke for tredjeparts-SDK'er, hvilket efterlader folk lidt eller intet valg.

"Faktisk er der beviser, der viser, at hvad mange apps rapporterer om deres privatlivspolitikker tilbyder et ufuldstændigt billede af deres faktiske runtime og dataindsamlingsadfærd,” tilføjede Narseo Vallina-Rodriguez.

Indtil Android 10, SDK'er kunne endda dele tilladelser mellem to ikke-relaterede apps. Sig derfor, at app A har placeringstilladelsen, og B ikke har, og begge er udstyret med det samme SDK, er der en anstændig chance for, at B kan fodre med A's placeringstilladelse og indsamle dine GPS-data.

I modsætning til browsere kan du heller ikke blot blokere app-trackere. Din eneste mulighed er at gå gennem en apps indstillinger og sørge for at fjerne markeringen af Indsaml data til analysen boks, hvis der er en.

Du kan også begynde at bruge webapps på din telefon via din browser, som giver dig mulighed for at blokere trackere med browserens indbyggede værktøjer. De fleste førende apps som Instagram og Tinder tilbyder sammenlignelige webapps, der stort set opfører sig som almindelige mobilapps. I processen sparer du også masser af lagerplads og vædder.

Dit privatliv er kun så stærkt som det svageste led i hele app-kæden, og på telefoner er det link et SDK. Og du kan desværre ikke gøre andet ved det end at skifte til apps, der lover mere sikkerhed for dine data. Forhåbentlig vil Google og Apple i fremtidige versioner af Android og iOS introducere bedre beskyttelse mod tredjeparts trackere.

Redaktørernes anbefalinger

• Denne luskede fup-app beviser, at Mac'er ikke er skudsikre
• Apples M1-chip har en fejl, men du skal ikke bekymre dig
• Disse apps bruger A.I. at automatisere dit liv og spare dig tid
• Microsoft opgraderer sine Outlook-apps for forbedret arbejde efter arbejdstid
• Microsofts nye Office-app antyder Surface Duos potentiale