Studie: Mobilapper viser private data mer enn nødvendig

Mobilappene får tilgang til brukernes private data og overfører dem til eksterne servere langt mer enn det som er strengt nødvendig, mens brukere har utilstrekkelige verktøy for å overvåke eller kontrollere slik tilgang, ifølge en ny studie fra to franske myndigheter.

Den franske nasjonale kommisjonen for databehandling og frihet (CNIL) studerte oppførselen til 189 apps på seks iPhones utstyrt med overvåkingsprogramvare og analyseverktøy utviklet av Fransk institutt for forskning innen datavitenskap og kontroll (INRIA). Målet var å forbedre generell forståelse av måten apps bruker private data på, for ikke å peke på bestemte utviklere, sa CNILs president Isabelle Falque-Pierrotin på tirsdag på en pressekonferanse for å presentere forskningen.

I stedet for å studere apps i laboratoriet forholdene, tok CNIL en real-world-tilnærming, og spurte seks frivillige om å sette sine egne SIM-kort i telefonene og bruke dem som de ville sine egne mellom midten av oktober og midten av januar. En frivillig lastet ned nesten 100 apper, og en lagde bare fem til de som ble installert av Apple.

[Videre lesing: De beste Android-telefonene for hvert budsjett.]

En av tolv av appene har tilgang til adresseboken, og nesten en av tre tilgangsinformasjon. I gjennomsnitt hadde brukerne sporet 76 ganger daglig i løpet av studien. Foursquare og Apples egen Maps app forespurt plasseringsinformasjon oftest - kanskje forståelig med tanke på deres formål - med AroundMe og Apples kamera-app nært.

iPhone-navnet ble åpnet av en app i seks, noe forskerne syntes uforklarlig fordi den serverer nesten ingen hensikt og langt fra en unik identifikator, men siden det ofte inneholder brukerens navn, kan det betraktes som personlig identifiserbar informasjon.

Facebooks app viste tilsynelatende lite forsøk på å få tilgang til slik privat informasjon, men da sa forskerne

Forskere ved to franske myndigheter, CNIL og INRIA, vil gi brukere av Apples IOS ekstra kontroll over hvordan apps får tilgang til sin private informasjon, slik at de kan se gjennom og endre tilgangen når som helst.

Dataene som ble åpnet mest i studien, var iPhone's Universal Device Identifier (UDID), et serienummer permanent tly assosiert med en bestemt telefon. Nesten halvparten av appene fikk tilgang til det, og en av tre av dem sendte den over Internett ukryptert. Appen til en daglig avis åpnet UDID 1.989 ganger under studien, og sendte den 614 ganger til sin utgiver.

CNILs talsmann Stéphane Petitcolas demonstrerte hvordan brukere kan få kontroll med et nytt innstillingsverktøy for å begrense hvordan apper får tilgang til alle slags private informasjon, mye som Apple tillater brukerne å kontrollere tilgang til plasseringsinformasjon i dag. Apple har ikke sett verktøyet ennå, men INRIA vil vurdere å dele koden hvis selskapet var interessert, sa Claude Castelluccia, direktør for forskningsgruppen.

Kjøpere av iPhone-apps har liten ide om hvilken informasjon eller funksjoner som deres apper vil få tilgang til. Googles Play-butikk viser hvilken informasjon og funksjoner en app vil få tilgang til, men valget er alt eller ingenting. Eldre versjoner av BlackBerry OS ga brukerne mer frihet til å velge hvilke APIer (programmeringsgrensesnitt) de ville tillate en app å få tilgang til, med risiko for å bryte appen, men i BlackBerry 10 er den granulære kontrollen bare tilgjengelig for innfødte apps: For Android apps valget er igjen å ta det eller la det gå.

Apple tar babystrinn mot å gi brukerne den slags kontroll. I IOS 5 kan de forhindre at enkelte apper får tilgang til deres plassering, og i iOS 6 vil de ha et annet alternativ ettersom Apple har til hensikt å spekulere utviklere av å bruke UDID til å identifisere brukere og målrette annonsering.

I stedet vil Apple utviklere bruke annonseringsidentifikatoren det introduseres i iOS 6. Dette er ikke permanent knyttet til en telefon eller en person, og brukere som ikke vil bli sporet, kan endre det når de ønsker det - så lenge de tenker se i Innstillinger / Generelt / Om / Reklame i stedet for de mer åpenbare Innstillinger / Personvern.

Dette alternativet var ikke tilgjengelig for deltakerne i CNIL-INRIA-studien, men av tekniske årsaker ble det utført iOS 5. Den neste fase av forskningen vil bruke iOS 6, nå som INRIA har oppdatert sin overvåkingsapp for å bruke den nye versjonen.

For å overvåke hvordan appene fikk tilgang til privat informasjon, måtte INRIA jailbreak iPhones og installere en spesiell app for å fange Apple APIer der apper ber om tilgang til privat informasjon, sa INRIA-forsker Vincent Roca. Forskerne valgte å jobbe på iPhone fordi de allerede hadde erfaring med å utvikle seg for iOS. De utvikler nå en app med lignende muligheter for Android-telefoner, som de må rote for å kunne installere den.

INRIAs overvåkingsapp registrerte hver oppfanget forespørsel i en database på telefonen, sammen med den ønskede private informasjonen, slik at det kunne identifisere det i utgående nettverkstrafikk. IOS 5-appen kan bare overvåke ukryptert nettverkstrafikk, men versjonen for iOS 6 kan nå koble nettverks-APIene før trafikken er kryptert, sa Roca.

Appen videresendte også avlyste forespørsler til en sentral server for studien - uten Den relaterte private informasjonen, som selv eksperimentelle fag har rett til privatlivet, understreket forskerne.

INRIA og CNIL begynner bare å analysere dataene de samlet fra de seks iPhones: Det er 9 gigabyte av det, og dekker 7 millioner personvern hendelser over tre måneders perioden.

En ting studien har allerede avslørt er at noen tilgang til private data er tilfeldig. En app for å identifisere det nærmeste paris-svømmebassenget (byen har 38 innen en radius på ca 5 kilometer), har tilgang til lokaliseringsinformasjon langt mer enn nødvendig for å utføre sin funksjon, tilsynelatende på grunn av en programmeringsfeil, sa CNILs Petitcolas.