Stačí otevřít aplikaci s předpovědí počasí, navigaci nebo jinou službu, která potřebuje znát vaši aktuální polohu. Udělíte jí oprávnění k přístupu k lokaci a očekáváte, že jej využije pouze pro svou hlavní funkci. Nové zjištění ale ukazuje, že realita může být mnohem složitější. Přesná poloha uživatele totiž nemusí končit jen u samotné aplikace, ale může putovat i k celé síti reklamních společností.
Na první pohled přitom nejde o úmyslné chování vývojářů. Ve většině případů za vše mohou reklamní SDK, tedy softwarové balíčky třetích stran, které vývojáři do aplikací přidávají kvůli zobrazování reklam a měření jejich výkonu. Jenže jejich vliv sahá dál, než nám může být milé.
Mohlo by vás zajímat
Reklamy sledují naši polohy
SDK (Software Development Kit) představují běžnou součást moderních mobilních aplikací. Vývojářům šetří čas, protože nemusí všechny funkce vytvářet od začátku. Kromě platebních systémů, analytických nástrojů nebo přihlašování přes sociální sítě se velmi často využívají také reklamní knihovny.
Právě ty se nyní dostávají do centra pozornosti. Některé z nich totiž mají ve výchozím nastavení zapnutý sběr přesné polohy uživatele. Pokud vývojář toto nastavení aktivně nezmění, mohou být data automaticky předávána dalším reklamním partnerům a datovým brokerům, aniž by si toho byl vědom samotný autor aplikace. A netuší to ani majitel daného telefonu.
Uživatel nic nezmění
Celý problém spočívá v tom, že Android uděluje oprávnění aplikaci jako celku. Jakmile například aplikaci Počasí dovolíte přístup k přesné poloze, získají k těmto údajům potenciálně přístup i některé integrované knihovny třetích stran.
Pro běžného uživatele je prakticky nemožné zjistit, jaká data aplikace skutečně sdílí a s kým. Z pohledu systému vše probíhá v rámci jediné aplikace, přestože na pozadí může komunikovat hned několik různých služeb. To výrazně komplikuje ochranu soukromí. Ani pečlivý výběr důvěryhodných aplikací totiž nemusí znamenat, že osobní údaje zůstávají pouze mezi uživatelem a vývojářem.
Fotogalerie
Přesná data o poloze přitom patří mezi nejcitlivější informace, které může chytrý telefon poskytovat. Historicky byla podobná data využívána nejen pro cílenou reklamu, ale také při sledování pohybu osob, bezpečnostních analýzách nebo různých vyšetřováních. Právě proto odborníci dlouhodobě upozorňují, že obchodování s lokalizačními daty představuje významné riziko pro soukromí.
V případech analyzovaných Electronic Frontier Foundation (EFF) byly mezi problematickými reklamními SDK zmíněny například:
- InMobi,
- BidMachine,
- HyBid,
- Huawei Petal Ads.
Co mohou udělat vývojáři i uživatelé
Odborníci upozorňují, že podobných řešení může být na trhu podstatně více. Dobrou zprávou ale je, že situace není neřešitelná. Vývojáři mohou při integraci reklamních SDK vypnout zbytečný sběr lokalizačních dat. Nevýhodou nicméně je, že tato nastavení nejsou příliš viditelná a vyžadují jejich aktivní kontrolu.
Uživatelé mají možnost omezit riziko především tím, že budou udělovat přístup k poloze pouze aplikacím, které jej skutečně potřebují. Android navíc umožňuje využívat přibližnou polohu nebo oprávnění pouze při používání aplikace, což může množství sdílených dat výrazně snížit.
Celá kauza zároveň připomíná, že ochrana soukromí v mobilních telefonech není jen otázkou samotného operačního systému. Velkou roli hraje i celý ekosystém aplikací a služeb třetích stran. Google v posledních letech zpřísňuje pravidla pro přístup k citlivým údajům v Androidu, přesto ale zůstává velká část odpovědnosti na vývojářích aplikací.
