EFF. Android-ի գովազդային SDK-ները լռելյայն արտահոսում են օգտատերերի գտնվելու վայրը

Electronic Frontier Foundation-ը (EFF) հրապարակել է նոր հետազոտություն, որը բացահայտում է, որ Android հավելվածների մշակողները ակամայից կիսվում են միլիոնավոր օգտատերերի ճշգրիտ տեղորոշման տվյալներով գովազդատուների և տվյալների բրոքերների հետ՝ ներկառուցված երրորդ կողմի ծրագրային ապահովման մշակման գործիքների (SDK) միջոցով, ինչը նոր մտահոգություններ է առաջացնում բջջային գովազդի էկոհամակարգում առկա տվյալների թաքնված խողովակների վերաբերյալ:

Ինչպես են SDK-ները շահագործում հավելվածների թույլտվությունները

EFF-ի զեկույցը, որը հրապարակվել է այս շաբաթ, պարզել է, որ Android հավելվածներում ինտեգրված գովազդային SDK-ները կարող են լռելյայն ժառանգել հյուրընկալող հավելվածի տեղորոշման թույլտվությունները՝ հավաքելով օգտատերերի ճշգրիտ աշխարհագրական տվյալները առանց առանձին համաձայնության: Եթե մշակողները ակտիվորեն չեն անջատում հավաքագրումը, այս կոդային գրադարանները սկսում են տեղորոշման տեղեկատվությունը կորզել այն պահից, երբ օգտատերը հավելվածին մուտքի թույլտվություն է տալիս:techcrunch+2

«Միայն հավելվածի մակարդակի տեղորոշման թույլտվությունները չեն կարող ապահովել իմաստալից համաձայնություն երրորդ կողմի գովազդային SDK-ների կողմից տվյալների հավաքագրման և փոխանակման համար», — գրել է EFF-ը իր զեկույցում: «Գովազդային SDK-ները չպետք է անձնական տվյալների փոխանակումը դարձնեն լռելյայն, հատկապես այնպիսի զգայուն տվյալների համար, ինչպիսին մարդու ճշգրիտ գտնվելու վայրն է»:mezha+2

Այն հավելվածների թվում, որոնք, ըստ EFF-ի, գաղտնի կիսվում էին տեղորոշման տվյալներով, կային երկուսը, որոնք ունեին ընդհանուր առմամբ 60 միլիոն ներբեռնում, հայտնում է TechCrunch-ը: Կազմակերպությունը իր թեստերն անցկացրել է հավելվածների ցանցային տրաֆիկը վերլուծելու միջոցով՝ պարզելու համար, թե որ ծառայություններն են ստանում օգտատերերի տեղորոշման տվյալները:techcrunch+1

Google-ի գաղտնիության վերահսկողության բացը

Հետազոտությունը ընդգծում է Google-ի Alphabet Inc. ↗ 0.08% Android-ի թույլտվությունների շրջանակի կառուցվածքային թուլությունը: Թեև Android-ը պահանջում է օգտատիրոջ հստակ համաձայնությունը, նախքան հավելվածը կստանա տեղորոշման տվյալների հասանելիություն, EFF-ը նշել է, որ «չկան SDK-ի համար հատուկ տեղորոշման թույլտվություններ»: Հենց օգտատերը հավելվածին տալիս է տեղորոշման հասանելիություն, դրա մեջ ներկառուցված յուրաքանչյուր երրորդ կողմի գրադարան կարող է օգտվել նույն տվյալների հոսքից՝ ստեղծելով այն, ինչ գաղտնիության պաշտպանները անվանում են համաձայնության բաց:mezha+1

Այդ SDK-ներն առաջարկող կազմակերպությունները «ընդհանուր առմամբ առևտրային շահագրգռվածություն ունեն ստիպելու իրենց հաճախորդներին հավաքել ավելի շատ տվյալներ», հայտնում է TechCrunch-ը: Այս ալիքներով հավաքված տեղորոշման պատմությունները հայտնվում են տվյալների բրոքերների մոտ, որոնք տեղեկատվությունը վաճառում են գովազդատուներին, մանրածախ առևտրականներին և պետական գործակալություններին, ներառյալ FBI-ին և ռազմական հետախուզությանը:techcrunch+1

Աճող կարգավորող ճնշում

Բացահայտումները տեղի են ունենում կարգավորող ճնշման աճի ֆոնին: Վիրջինիան դարձավ ԱՄՆ երրորդ նահանգը, որն արգելեց աշխարհագրական տվյալների վաճառքը 2026 թվականի ապրիլին, և գաղտնիության շրջանակները, ներառյալ եվրոպական GDPR-ը և կալիֆորնիական CCPA-ն, տեղորոշման տվյալները դասում են անձնական տեղեկատվության ամենազգայուն կատեգորիաների շարքին:techbuzz+1

EFF-ը կոչ է արել մշակողներին աուդիտի ենթարկել իրենց SDK-ների ինտեգրումը և անջատել տվյալների ոչ անհրաժեշտ հավաքագրումը: Գաղտնիության պաշտպանները պնդում են նոր տեխնիկական ստանդարտներ, որոնք կպահանջեն SDK-ներից հայտարարագրել իրենց տվյալների պրակտիկան մեքենայական ընթեռնելի ձևաչափերով, ինչը հնարավորություն կտա ավտոմատացված աուդիտներ իրականացնել հավելվածների խանութների և մշակողների գործիքների կողմից: Առայժմ բեռը հիմնականում ընկնում է մշակողների վրա, որոնցից շատերը չունեն ռեսուրսներ՝ մանրակրկիտ ուսումնասիրելու երրորդ կողմի կոդը, որից կախված է իրենց հավելվածների դրամայնացումը:techcrunch+2