- Un raport EFF arată că SDK-urile integrate de dezvoltatori pot colecta și transmite locația utilizatorilor către advertiseri, fără consimțământ explicit.
Dezvoltatorii de aplicații Android ar putea transmite, fără să-și dea seama, datele de locație ale utilizatorilor către rețele de publicitate. Un raport recent al Electronic Frontier Foundation (EFF) atrage atenția asupra riscurilor pe care le implică integrarea unor biblioteci terțe (SDK-uri) în aplicații. Deși dezvoltatorii cred că obțin doar funcționalități utile, unele SDK-uri colectează și trimit mai departe informații sensibile.
Ce au descoperit cercetătorii EFF
EFF a analizat mai multe SDK-uri populare folosite în aplicațiile Android și a constatat că acestea pot accesa datele de locație atunci când utilizatorul acordă permisiunea aplicației. Problema nu este neapărat că SDK-urile sunt rău intenționate, ci că funcționalitatea lor depășește ceea ce dezvoltatorul inițial a intenționat. Astfel, informațiile de localizare pot ajunge la terțe părți, inclusiv la platforme de advertising, fără ca dezvoltatorul sau utilizatorul să fie pe deplin conștienți.
Cercetarea vine ca un avertisment pentru comunitatea de dezvoltatori: trebuie să fie mult mai atenți la ce cod terț include în aplicațiile lor. Chiar dacă SDK-ul respectiv promite anumite funcții, el poate conține și module de urmărire care colectează date despre locație, încălcând astfel așteptările utilizatorilor.
Cum se întâmplă scurgerea datelor
Atunci când un utilizator acordă unei aplicații permisiunea de acces la locație, sistemul de operare permite aplicației să citească datele GPS. SDK-urile integrate în acea aplicație pot moșteni această permisiune, deoarece rulează în același proces. Astfel, un SDK de analytics sau de publicitate poate colecta locația și o poate transmite către serverele sale, fără ca dezvoltatorul principal să controleze acest flux.
EFF subliniază că problema este sistemică: multe SDK-uri sunt open-source sau au documentație vagă, iar dezvoltatorii nu au timpul sau resursele să verifice fiecare linie de cod. Mai mult, unele SDK-uri actualizează comportamentul după integrare, ceea ce face și mai greu de depistat scurgerile de date.
Ce pot face dezvoltatorii
Specialiștii recomandă o analiză atentă a permisiunilor solicitate de SDK-uri și testarea aplicației într-un mediu controlat pentru a observa ce date sunt transmise efectiv. De asemenea, dezvoltatorii ar trebui să citească politicile de confidențialitate ale SDK-urilor și să prefere soluții cu reputație solidă, care respectă reglementările GDPR și alte norme de protecție a datelor.
Un alt pas util este limitarea accesului la locație doar în momentele în care este strict necesar pentru funcționalitatea aplicației. Android oferă opțiuni precum „doar în timpul utilizării” sau permisiuni temporare, care pot reduce riscul de colectare abuzivă. De asemenea, instrumentele de analiză statică pot ajuta la identificarea codului suspect din bibliotecile terțe.
Ce înseamnă pentru tine
- Dacă ești dezvoltator Android, revizuiește SDk-urile integrate și verifică ce permisiuni solicită; folosește instrumente de monitorizare a traficului de date pentru a depista eventualele scurgeri.
- Dacă ești utilizator, fii atent la permisiunile acordate aplicațiilor – acordă acces la locație doar atunci când este absolut necesar și folosește opțiunea „setări de confidențialitate” pentru a limita urmărirea.
- Susține aplicațiile care sunt transparente în privința colectării datelor și evită aplicațiile cu politici de confidențialitate vagi.