Hoe apps u in het geheim bespioneren met trackers van derden

Op het moment dat u een app installeert, begint deze u te beroven en lastig te vallen voor uw gegevens. Het vraagt ​​toestemming om toegang te krijgen tot de interne functies van uw telefoon, vraagt ​​u om een ​​handvol persoonlijke gegevens te registreren – u kent het wel.

Hoe zuinig en waakzaam u ook bent bij elke stap, er is nog steeds een manier waarop de meeste apps heimelijk uw gegevens kunnen ontginnen.

Elke app wordt geleverd met een reeks zogenaamde Software Development Kits (SDK). Om deze beter te begrijpen, kun je een app beschouwen als een Lego-huis, waarbij elk blok als een enkele sleutelmodule fungeert.

Ontwikkelaars programmeren de blokken die uniek zijn voor hun apps, zoals het ontwerp en de functies. Maar componenten zoals adverteren en analyses worden meestal niet intern gebouwd. Daarvoor wenden ze zich tot derde partijen die deze diensten al aanbieden. Het enige dat ontwikkelaars hoeven te doen, is ze in hun apps aansluiten.

SDK's zijn, zoals u mag aannemen, ontworpen om de ontwikkeling te versnellen en overbodige inspanningen te elimineren. Maar de laatste tijd zijn deze kleine entiteiten geëvolueerd als cruciale mazen in onze zoektocht naar privacy, omdat bedrijven ze hebben misbruikt om persoonlijke gebruikersgegevens over te hevelen, zelfs als dat niet de bedoeling was.

Aantasting van de privacy

Een Studie van de Universiteit van Oxford ontdekte dat bijna een derde van alle apps in de Play Store was gekoppeld aan ten minste tien SDK's van derden en één op de vijf deelden gebruikersgegevens met maar liefst twintig SDK's. Dat cijfer stijgt exponentieel bij grootschalige gratis apps. Bijvoorbeeld, volgens Machtig signaal, een mobiel inlichtingenbedrijf, is Tinder verbonden met maar liefst 51 SDK’s, Airbnb heeft er 41 en ESPN heeft er 40.

De meeste SDK's verzamelen gegevens waarvan u normaal gesproken niet zou denken dat deze van enig belang zijn. Ze houden bij waar u in een app op tikt, waar u het grootste deel van uw tijd doorbrengt, met welke advertenties u communiceert, en meer. Maar deze ogenschijnlijk onschuldige praktijk kan ernstige schade toebrengen aan uw privacy als u kijkt naar hoe al die gegevens in het bredere plaatje passen.

Uit het Oxford-onderzoek bleek ook dat 88% van de onderzochte apps gegevens konden doorgeven aan bedrijven die uiteindelijk eigendom zijn van Alphabet (het moederbedrijf van Google) en 43% aan diensten van Facebook.

Bedrijven vinden het leuk Facebook en Google weten al heel wat over u, en door gebruik te maken van honderdduizenden apps via SDK's kunnen zij uw digitale profiel in hun database verfijnen en u gericht van dienst zijn advertenties. Als u bijvoorbeeld een zwangerschapsgerelateerde app verwacht en heeft geïnstalleerd, kan Google of Facebook u mogelijk advertenties voor babyproducten gaan tonen op basis van deze nieuwe informatie.

Persoonlijke gegevens gedolven

Ontwikkelaars hebben de neiging al deze SDK's te rechtvaardigen door te beweren dat de gegevens anoniem worden gehouden en dat persoonlijke gegevens zoals uw telefoonnummer nooit worden gedeeld.

Maar in werkelijkheid hebben grote bedrijven de mogelijkheid om zelfs het kleinste stukje gegevens aan uw digitale profiel te koppelen. De app vertelt een SDK misschien niet uw naam of e-mailadres, maar technologiebedrijven kunnen dit zelf uitzoeken door het te kruisen met hun bestaande kennis.

Apps delen niet altijd alleen geanonimiseerde gegevens met SDK's. Kaspersky Lab-onderzoeker Roman Unuchek 4 miljoen gevonden Android apps stuurden niet-versleutelde gebruikersprofielgegevens – inclusief namen, inkomens, telefoonnummers, e-mailadressen en, in één voorbeeld, GPS-coördinaten – naar de servers van de adverteerders.

Een paar weken geleden, een onderzoek van de Electronic Frontier Foundation (EFF). ontdekte dat vier analyse- en marketingbedrijven informatie verzamelden zoals namen, privé-IP-adressen, mobiele netwerkaanbieders, persistente identificatiegegevens en sensorgegevens van de Amazone Ring-app.

Twee van de door EFF benadrukte SDK’s – Appsflyer en Facebook Graph – zijn te vinden in een groot aantal apps, en experts zeggen dat het waarschijnlijk is dat ze ook een vergelijkbare set gegevens van andere apps verzamelen.

In een verklaring zei een woordvoerder van Appsflyer dat het bedrijf geen datamakelaar is en “geen targeting bouwt profielen, verkoopt geen gegevens en gebruikt op geen enkele andere manier persoonlijke gegevens van app-gebruikers voor eigen doeleinden.

“Sommige analysebedrijven geven de app-ontwikkelaars fijne controle over welke informatie wordt geleverd, maar het lijkt een goede veronderstelling dat andere apps dat ook doen zullen een vergelijkbare hoeveelheid gevoelige gegevens opleveren als ze dezelfde bibliotheken bevatten”, vertelde William Budington, auteur van het EFF-onderzoek, aan Digital Trends.

Een aantal SDK's die momenteel een onmisbare rol spelen bij de ontwikkeling van apps, geven vaak niet duidelijk aan hoe ze met gebruikersgegevens omgaan. In sommige gevallen zien ontwikkelaars de werking van een SDK over het hoofd en slaan ze deze over, waardoor de veiligheid van de gebruiker in gevaar komt.

“Helaas weten de meeste ontwikkelaars misschien niet… hoe indringend een bepaalde SDK kan zijn bij het bouwen van hun eigen software, terwijl gebruikers zich daar totaal niet van bewust zijn het feit dat er bij het gebruik van een mobiele app tientallen andere organisaties kunnen zijn die mogelijk gevoelige en persoonlijke gegevens verzamelen”, aldus Narseo Vallina-Rodriguez, onderzoekswetenschapper bij de Networking and Security-divisie van het International Computer Science Institute en lid van het team dat ontwikkeld Lumen, een app die monitoren naar welke SDK's uw telefoon gegevens verzendt.

Belangrijke informatie begraven

Een ander knelpunt waardoor SDK’s amok kunnen maken, is dat hun toestemming doorgaans diep verborgen ligt het privacybeleid van een app en vaak slagen ontwikkelaars er niet in om expliciet te onderstrepen wat gebruikers geven omhoog. Bovendien zijn de beveiligingsinstellingen van de app niet van toepassing op SDK’s van derden, waardoor mensen weinig tot geen keus hebben.

“Er is feitelijk bewijs dat aantoont dat wat veel apps over hun privacybeleid rapporteren, biedt een onvolledig beeld geven van hun daadwerkelijke runtime- en gegevensverzamelingsgedrag”, aldus Narseo Vallina-Rodriguez.

Tot Android 10, SDK's kunnen zelfs machtigingen delen tussen twee niet-gerelateerde apps. Stel dat app A de locatietoestemming heeft en B niet en beide zijn uitgerust met dezelfde SDK, dan is de kans groot dat B de locatietoestemming van A kan gebruiken en uw GPS-gegevens kan verzamelen.

In tegenstelling tot browsers kun je app-trackers ook niet zomaar blokkeren. Uw enige optie is om de instellingen van een app te doorlopen en ervoor te zorgen dat u het vinkje weghaalt Verzamel gegevens voor de analyses doos als die er is.

U kunt ook via uw browser webapps op uw telefoon gaan gebruiken, waarmee u trackers kunt blokkeren met de ingebouwde tools van de browser. De meeste toonaangevende apps zoals Instagram en Tinder bieden vergelijkbare webapps die zich grotendeels gedragen als reguliere mobiele apps. Daarbij bespaart u ook een hoop opslagruimte en RAM.

Je privacy is zo sterk als de zwakste schakel in de hele app-keten, en op telefoons is die link een SDK. En helaas kun je er niets anders aan doen dan overstappen naar apps die meer veiligheid voor je gegevens beloven. Hopelijk zullen Google en Apple in de toekomstige versies van Android en iOS betere bescherming tegen trackers van derden introduceren.

Aanbevelingen van de redactie

• Deze slinkse oplichtingsapp bewijst dat Macs niet kogelvrij zijn
• De M1-chip van Apple heeft een fout, maar je hoeft je geen zorgen te maken
• Deze apps maken gebruik van A.I. om uw leven te automatiseren en u tijd te besparen
• Microsoft upgradet zijn Outlook-apps voor verbeterd werken buiten kantooruren
• De nieuwe Office-app van Microsoft verwijst naar het potentieel van de Surface Duo