Come rilevare le app che perdono i tuoi dati

Uno dei motivi per cui gli smartphone e le app per smartphone sono così utili è che possono integrarsi intimamente con le nostre vite personali. Ma ciò mette a rischio anche i nostri dati personali.

Un nuovo servizio chiamato Mobilescope spera di cambiare la situazione consentendo a un utente di smartphone di esaminare tutti i dati trasferiti dalle app e avvisandolo quando vengono trasferite informazioni sensibili, come il suo nome o indirizzo e-mail.

È uno strumento di intercettazione indipendente dalla piattaforma che puoi utilizzare sul tuo dispositivo Android, iOS, Blackberry o Windows, afferma Ashkan Soltani , un ricercatore indipendente sulla privacy che ha creato Mobilescope con i colleghi ricercatori David Campbell e Aldo Cortesi .

La loro prima prova di concetto ha vinto un premio per la migliore app creata durante un concorso di programmazione incentrato sulla privacy, o codeathon, organizzato da giornale di Wall Street nell'aprile di quest'anno; il trio ora lo ha lucidato abbastanza per aprire un periodo di prova beta. L'accesso viene costantemente esteso alle due migliaia di persone che hanno già iscritto , dice Soltan.

Una volta che una persona si è iscritta al servizio, si accede a Mobilescope tramite un sito Web, non come un'app installata su un dispositivo. Un utente può utilizzare il sito per visualizzare i log dei dati trasferiti dalle app sul proprio dispositivo. Possono anche specificare canarini, informazioni sensibili come un numero di telefono, un'e-mail o un nome che attivano un avviso se vengono inviati da un'app.

Mobilescope può rilevare app che fanno cose come copiare la rubrica di una persona su un server remoto, come è stato scoperto che Path e molte altre app mobili hanno fatto all'inizio di quest'anno. Soltani afferma che il servizio ha lo scopo di livellare il campo di gioco tra le app mobili e le persone che le utilizzano, fornendo agli utenti maggiori informazioni su ciò che fanno queste app. Come è diventato chiaro quando diverse app popolari sono state sorprese a copiare silenziosamente i dati di contatto degli utenti all'inizio di quest'anno, né i sistemi operativi mobili di Apple né quelli di Google offrono attualmente alle persone molte informazioni o controllo su quali app stanno condividendo (vedi Apple Ignored Warning on Address-Book Access) .

Il nostro obiettivo è rendere davvero semplice il processo di intercettazione, afferma Soltani. Se non sei un utente avanzato, puoi comunque ottenere questi dati utilizzando Mobilescope.

Quando una persona si iscrive a Mobilescope, un file di configurazione viene inviato al suo dispositivo. Una volta installato, questo file fa in modo che tutto il traffico Internet futuro venga instradato attraverso un server Mobilescope in modo che possa analizzare i dati che vanno e vengono al dispositivo e alle sue app. Questa disposizione è possibile grazie al modo in cui gli smartphone sono progettati per essere compatibili con VPN o reti private virtuali, comunicazioni crittografate che alcune aziende utilizzano per mantenere privati ​​i dati aziendali. Quel design non aggiunge molto ritardo alla connessione di una persona, afferma Soltani, in parte perché gli utenti sono collegati a un server il più vicino possibile geograficamente.

Mobilescope può persino esaminare i dati inviati tramite i più comuni tipi di connessione sicura utilizzati dalle app, simili a quelli utilizzati dai siti Web bancari, intercettando i certificati coinvolti. Il servizio non può decrittografare altri dati, ma Soltani afferma che poche app si preoccupano di utilizzare la crittografia. I dati raccolti da Mobilescope vengono eliminati dopo ogni sessione di utilizzo e vengono memorizzati solo sul dispositivo di una persona.

Soltani afferma di non immaginare che Mobilescope avrà il fascino di massa di qualcosa come Angry Birds, ma spera che incoraggerà giornalisti, attivisti e normali proprietari di smartphone a esaminare cosa fanno le app e aiuterà a esercitare maggiore pressione sugli sviluppatori di app per rispettare la privacy. Una maggiore trasparenza per tutti (sviluppatori di app, utenti, autorità di regolamentazione) aiuterà l'intero ecosistema mobile.

Una versione precedente di Mobilescope dava agli utenti la possibilità di inviare dati falsi a determinate app, ad esempio inviando una posizione falsa. Abbiamo dovuto rimuoverlo perché l'ecosistema non è pronto per questo, afferma Soltani, che afferma che questo ha rotto alcune app, a volte in modi che potrebbero danneggiare altri utenti. Un progetto separato rende questa tattica disponibile agli utenti Android disposti a utilizzare una versione modificata del loro sistema operativo (vedi Usa la loro app, Conserva i tuoi dati ).

In Aprile, Xuxian Jiang , professore associato presso la North Carolina State University, ha pubblicato uno studio che mostra che i sistemi pubblicitari inclusi in molte app Android mettono in pericolo la privacy degli utenti. Circa la metà di questi sistemi monitora la posizione GPS di un utente e alcuni raccolgono anche i registri delle chiamate e altri dati sensibili (vedi Annunci Android potrebbero attaccare, Studio avverte ).

Jiang, che ha scoperto altri difetti di sicurezza e privacy con le app mobili, ha affermato che Mobilescope sarà un nuovo strumento interessante per tenere sotto controllo le app. Tuttavia, aggiunge che non può essere garantito che catturi tutto e afferma che la privacy mobile può essere migliorata solo con una maggiore trasparenza da parte degli sviluppatori, dichiarazioni sulla privacy migliorate e azioni da parte dei creatori di sistemi operativi mobili. [Abbiamo] bisogno di meccanismi per consentire agli utenti di controllare effettivamente l'accesso delle app a varie informazioni personali, afferma.

Justin Brookman , che dirige l'attività sulla privacy dei consumatori presso il Center for Democracy and Technology, afferma che ciò richiederà modifiche alla legge, che attualmente incoraggia semplicemente le aziende a scrivere politiche sulla privacy molto ampie per evitare le sanzioni per chi scrive false.

Le divulgazioni dettagliate sono in realtà scoraggiate dalla legge, dice. Il CDT sta cercando di introdurre una legislazione che richiede invece alle aziende di dire esplicitamente ai consumatori cosa sta succedendo ai loro dati e di fornire loro un maggiore controllo su di essi.

nascondere