211service.com
Il Pure Software Act del 2006
Lo spyware è la piaga del desktop computing. Sì, worm e virus causano miliardi di dollari di danni ogni anno. Ma i programmi spyware che registrano le tue azioni per un successivo recupero o che segnalano automaticamente le tue azioni su Internet combinano il commercio e l'inganno in modi che la maggior parte di noi trova moralmente ripugnanti.
Worm e virus ovviamente non hanno nulla di buono: questi programmi sono scritti da miscredenti e rilasciati allo stato brado con il solo scopo di creare scompiglio. Ma la maggior parte dello spyware è creata da società rispettose della legge, che inducono le persone a installare i programmi sui propri computer. Alcuni spyware vengono venduti anche con l'esplicito scopo di aiutare i coniugi a spiare i propri partner, i genitori a spiare i propri figli e i datori di lavoro a spiare i propri dipendenti. Tali programmi fanno sì che i computer tradiscano la fiducia dei loro utenti.
Finora, l'industria dei computer si è concentrata sui mezzi tecnici per controllare la piaga dello spyware. I programmi di ricerca e distruzione come Ad-Aware scansionano il tuo computer alla ricerca di spyware noti, cookie di tracciamento e altri elementi che potrebbero compromettere la tua privacy. Una volta identificati, gli oggetti incriminati possono essere messi in quarantena o distrutti. I programmi firewall come ZoneAlarm adottano un approccio diverso: non impediscono allo spyware di raccogliere dati, ma impediscono ai programmi di trasmettere le tue informazioni personali su Internet.
Ma c'è un altro modo per combattere lo spyware: un approccio che funzionerebbe perché gli autori sono organizzazioni legittime. Il Congresso potrebbe approvare una legislazione che richieda che il software distribuito negli Stati Uniti venga fornito con etichette dei prodotti che rivelino ai consumatori funzioni specifiche integrate nei programmi. Tale legislazione avrebbe probabilmente lo stesso tipo di risultati pro-consumatori del Pure Food and Drug Act del 1906, la legislazione responsabile delle odierne etichette su alimenti e farmaci.
L'arte dell'inganno
L'etichettatura obbligatoria del software è una buona idea perché il problema fondamentale con lo spyware non è la raccolta dei dati in sé, ma l'atto di inganno. In effetti, molte delle cose che fa lo spyware vengono eseguite anche da programmi non spyware. La barra degli strumenti di Google per Internet Explorer, ad esempio, segnala a Google quale sito Web stai guardando in modo che la barra degli strumenti possa visualizzare il page rank del sito. Ma Google fa di tutto per divulgare questa funzione: quando installi il programma, Google ti fa decidere se vuoi che i tuoi dati vengano restituiti o meno. Si prega di leggere attentamente, dice il contratto di licenza di Toolbar, non è il solito yada yada.
Lo spyware, d'altra parte, fa di tutto per nascondere il suo vero scopo. Un programma spyware afferma di impostare automaticamente l'orologio del computer dall'orologio atomico gestito dall'Osservatorio navale degli Stati Uniti. Un altro programma visualizza i bollettini meteorologici personalizzati per la tua zona. Purtroppo, entrambi questi programmi visualizzano anche annunci pubblicitari pop-up quando visiti determinati siti Web. (Alcuni fornitori di software insistono sul fatto che i programmi che visualizzano solo annunci pubblicitari non sono spyware, di per sé, ma piuttosto qualcosa chiamato adware, perché visualizzano annunci pubblicitari. La maggior parte degli utenti non si preoccupa di questa distinzione.)
Alcuni di questi programmi si nascondono non visualizzando le icone quando vengono eseguiti e persino rimuovendosi dall'elenco dei programmi in esecuzione sul computer. Ho sentito parlare di programmi che si elencano nel pannello di controllo Aggiungi/Rimuovi di Microsoft Windows, ma quando vai a rimuoverli, in realtà non si rimuovono da soli, si rendono semplicemente invisibili. Subdolo.
Eppure, nonostante questa doppiezza, la maggior parte dei programmi spyware e adware non viola alcuna legge statunitense. Questo perché molti di questi programmi rivelano ciò che fanno e quindi ottengono il consenso esplicito dell'utente. Lo fanno con qualcosa che si chiama contratto di licenza click-wrap, una di quelle scatole piene di mumbo-jumbo legali che appaiono quando si installa un programma o lo si esegue per la prima volta. Il testo spiega più o meno tutti i trucchi segreti che questi programmi ostili potrebbero giocare sul tuo sistema. Naturalmente, quasi nessuno legge questi accordi. Tuttavia, gli accordi proteggono efficacemente dalla responsabilità i fornitori di spyware e adware. Dopotutto, non puoi affermare che lo spyware stava monitorando le tue azioni senza la tua autorizzazione se hai dato l'autorizzazione al programma facendo clic sul pulsante Accetto.
Standard uniformi per l'etichettatura del software non sostituirebbero la necessità di accordi di licenza, ma renderebbero più difficile per le aziende seppellire le funzioni di un programma. Tale legislazione, chiamata Pure Software Act del 2006, richiederebbe alla Federal Trade Commission di stabilire standard per l'etichettatura obbligatoria di tutti i programmi per computer distribuiti negli Stati Uniti. Un requisito di etichettatura costringerebbe i produttori di spyware a rivelare le funzionalità nascoste del loro programma.
Il precedente storico
Come ho accennato sopra, abbiamo già percorso questa strada. Il Pure Food and Drug Act del 1906 fu approvato dal Congresso per affrontare un insieme notevolmente simile di pratiche commerciali ingannevoli. Il problema nel 1906 erano gli alimenti e i farmaci venduti con etichette fuorvianti, o addirittura senza etichette.
La legge del 1906 richiedeva che ogni farmaco venduto negli Stati Uniti fosse consegnato al consumatore in un pacchetto che indicasse la forza, la qualità e la purezza del farmaco se differivano dagli standard accettati. La dose del farmaco doveva essere chiaramente stampata all'esterno della confezione. Anche un certo numero di ingredienti che tendevano ad accompagnare i farmaci brevettati del XIX secolo - sostanze come alcol, codeina e cannabis - dovevano essere chiaramente divulgati.
Nel caso del cibo, la legge richiedeva che le etichette menzionassero esplicitamente qualsiasi colore e sapore artificiale: dopo il 1906, non si poteva vendere qualcosa chiamato aranciata a meno che non avesse un aroma proveniente da arance genuine. Altrimenti vendevi imitazione o aranciata artificiale. E ogni bottiglia, scatola e sacchetto di cibo doveva indicare chiaramente il peso preciso del cibo che era all'interno del contenitore.
Il Pure Food and Drug Act ha avuto successo per molte ragioni. Forzare i produttori a rivelare cosa c'era nei loro prodotti ha permesso ai consumatori di evitare prodotti che contenevano cose che non volevano ingerire. Ad esempio, molti dei tonici all'olio di serpente distribuiti alla fine del diciannovesimo secolo contenevano dosi significative di droghe che creano dipendenza come la codeina o la cocaina. Forzare la divulgazione di questi farmaci sull'etichetta del prodotto, insieme a un avvertimento che potrebbe creare assuefazione, ha permesso ai consumatori di prendere decisioni informate. L'etichettatura ha anche consentito agli scienziati e, infine, ai gruppi di consumatori di verificare le affermazioni dei produttori. L'etichettatura obbligatoria ha messo sotto pressione i produttori per rimuovere gli ingredienti più discutibili, un processo che continua ancora oggi. Infine, le etichette hanno fornito ulteriori prove ai legislatori che sono state utilizzate per giustificare l'elaborazione di ulteriori normative.
I paralleli tra i prodotti alimentari adulterati del diciannovesimo secolo e il software adulterato del ventunesimo secolo sono inquietanti. Proprio come alcuni tonici affermavano di fare una cosa (come far crescere i capelli) quando in realtà ne facevano un'altra (rendevano l'utente intossicato e chimicamente dipendente dalla codeina), oggi abbiamo un software che afferma di fare una cosa (impostare l'ora del tuo PC) e in realtà fa un'altra cosa (visualizza annunci quando visiti particolari siti web).
Quindi come sarebbe un Pure Software Act? A giudicare dalla legislazione del 1906, è probabile che i migliori risultati vengano dalla richiesta di etichette che affrontino direttamente il problema dell'inganno. La nuova legge richiederebbe quindi che il software si identifichi come tale: niente più programmi nascosti che si installano silenziosamente e poi girano senza alcuna prova visibile. Il Pure Software Act renderebbe illegale l'esecuzione di programmi senza rivelarsi attraverso i mezzi standard utilizzati dal sistema operativo host. E la legge richiederebbe che i programmi abbiano una funzione di disinstallazione, altrimenti renderebbe molto chiaro che non lo fanno.
Documentare l'installazione di un programma e provvedere alla sua rimozione è solo l'inizio. Il Pure Software Act richiederebbe che la Federal Trade Commission identifichi pratiche specifiche di software che dovrebbero essere esplicitamente rivelate quando i programmi vengono distribuiti ed eseguiti. Invece di permettere alle aziende di nascondere le funzionalità del loro software con un legalese scritto oscuramente sepolto in accordi di licenza click-through, la legislazione richiederebbe che la divulgazione sia effettuata sotto forma di icone di facile comprensione su cui è possibile fare clic per ulteriori informazioni. Facendo clic sull'icona si aprirà un ulteriore testo esplicativo, forse da un sito Web gestito dalla Federal Trade Commission. Le icone potrebbero essere visualizzate anche in altri luoghi. In Windows, ad esempio, il Task Manager e il pannello di controllo Aggiungi/Rimuovi potrebbero visualizzare entrambi le icone dei comportamenti obbligatori accanto all'icona dell'applicazione del programma.
Una proposta modesta
Per rendere la mia proposta più concreta, ho creato un elenco di comportamenti del programma che dovrebbero essere divulgati e alcune icone rappresentative. Queste icone (create dal graphic designer senior di TechnologyReview.com Matthew Bouchard) sono solo esempi per illustrare il concetto. Le icone vere e proprie del governo sarebbero state sviluppate da un team di professionisti con esperienza nell'interfaccia uomo-computer, testate su focus group e presentate per un commento pubblico. Ma queste icone sono utili per trasmettere l'idea generale e per avviare la discussione.
Hook: viene eseguito all'avvio
Alcuni programmi si collegano al sistema operativo del tuo computer in modo che vengano eseguiti automaticamente ogni volta che il computer viene riavviato o un utente effettua l'accesso. Altri programmi no. Oggi non c'è modo di dirlo se non eseguendo un'analisi dettagliata dei file di configurazione del computer prima e dopo l'installazione del programma e annotando le modifiche. Qualsiasi programma che si installa da solo in modo che venga eseguito automaticamente dovrebbe visualizzare questa icona Hook.
Componi: effettua una telefonata
Una truffa comune dello spyware coinvolge programmi che fanno sì che il tuo computer chiami numeri di telefono che ti costano denaro. Ad esempio, alcuni anni fa alcuni siti web pornografici distribuivano un programma chiamato david.exe che faceva sì che il computer della vittima effettuasse una telefonata interurbana a un provider di servizi Internet nell'Europa orientale; la compagnia del porno è riuscita a mantenere la metà delle entrate (esorbitanti) a lunga distanza. Altri tipi di software truffa potrebbero comporre 900 numeri o persino utilizzare il computer per inviare fax spazzatura a tua insaputa. Documentare che il software ha un codice che potrebbe far comporre il tuo telefono sarebbe un buon modo per risolvere questo problema.
Modifica: altera il sistema operativo del computer
Alcuni programmi fanno molto di più che installarsi da soli per essere eseguiti all'avvio: alterano il sistema operativo del computer. Vedere questa icona ti darebbe un motivo per fare domande. Più probabilmente, forzare questo tipo di divulgazione porrebbe semplicemente fine alla pratica da parte degli sviluppatori.
Monitor: tiene traccia di ciò che stai facendo
La maggior parte dei programmi si fa gli affari propri. Tuttavia, alcuni software controllano i tasti premuti e controllano le pagine Web visualizzate anche se altri programmi vengono eseguiti in primo piano. I programmi possono guardare mentre crei file, fare copie di ogni documento stampato o semplicemente notare quando il tuo computer è inattivo e quando è in uso. La chiave qui è che le informazioni personali vengono catturate da un programma quando pensi che non stia ascoltando. Forse questa icona potrebbe incorporare un fulmine per indicare che le informazioni monitorate vengono riportate su Internet a qualcun altro.
Visualizza pop-up
Un programma ben educato parla solo quando gli si parla. Alcuni programmi, invece, richiedono la tua attenzione. Sono rimasto sbalordito l'altro giorno quando Microsoft Word 2003 ha aperto una finestra sul mio computer invitandomi a partecipare a una sorta di sondaggio. Alcuni anni fa ho notato che un programma di portafoglio elettronico chiamato Gator apriva finestre su siti Web concorrenti ogni volta che visitavo determinati commercianti online.
Telecomando: lascia che altri programmi prendano il controllo del tuo computer
In teoria, qualsiasi programma in esecuzione sul tuo computer può rilevarlo ed eseguire comandi da parte di altri. In pratica, solo pochissimi programmi hanno la capacità di offrire ad altri un simile controllo remoto. I programmi che lo fanno dovrebbero essere etichettati.
Aggiornamenti automatici: questo programma può cambiare il suo comportamento
Una delle tecniche più importanti per i fornitori di software per affrontare i problemi persistenti di sicurezza del computer è che i loro programmi si aggiornino automaticamente con il codice scaricato da Internet. I programmi che dispongono di questa funzionalità dovrebbero pubblicizzare tale funzionalità, poiché possono modificare il proprio comportamento senza alcun input da parte dell'utente.
Bloccato: non può essere disinstallato
Alcuni programmi, una volta installati nel computer, sono impossibili da rimuovere. Questi programmi sono in genere aggiornamenti del sistema operativo, ma è facile per un programmatore intelligente creare anche spyware disinstallabili. I consumatori dovrebbero essere informati che ci sono alcuni programmi per i quali non è possibile tornare indietro.
Regole d'ingaggio
Con le icone sarebbero arrivate le regole per il loro utilizzo. Ad esempio, molti dei contratti di licenza click-through odierni affermano che l'utente accetta implicitamente qualsiasi modifica al contratto di licenza, a meno che tali modifiche non siano sostanziali. Ma cosa c'è di sostanziale? Una volta in vigore un regime di etichettatura, un cambiamento sostanziale potrebbe essere legalmente definito come un cambiamento che si traduce in un cambiamento di icone, ad esempio, se un programma di autoaggiornamento ha scaricato una funzione di controllo remoto. La legge potrebbe quindi richiedere che questo tipo di cambiamento richieda un nuovo consenso da parte dell'utente.
Una tensione inerente a qualsiasi regime di etichettatura è nel decidere cosa viene messo sull'etichetta e cosa viene tralasciato. Maggiore è il numero di informazioni richieste sull'etichetta, maggiore sarà il costo della produzione e minore sarà la probabilità che i consumatori prestino effettivamente attenzione alle informazioni. Qualsiasi organismo di regolamentazione che implementi questa politica dovrà evitare il creep delle icone con 23 icone diverse su ciascun software non servirà alle esigenze dei consumatori, causerà solo confusione.
Personalmente, vorrei che le etichette del mio software distinguessero tra le informazioni raccolte e utilizzate in forma aggregata e le informazioni di identificazione personale immagazzinate in un grande magazzino di dati. Ma fondamentalmente non si tratta di ciò che fa il programma, ma di ciò che fa l'azienda dopo che il programma ha riportato le sue informazioni. Cioè, questa è una pratica commerciale che dovrebbe essere protetta dalla politica sulla privacy dell'azienda. Forse abbiamo bisogno di icone anche lì. (Anni fa, l'organizzazione commerciale TRUSTe ha cercato di avere tre icone per tre diversi tipi di politiche sulla privacy standard; TRUSTe ha rinunciato quando le sue aziende associate si sono tirate indietro.)
Un'altra tensione è tra l'etichettatura volontaria e quella obbligatoria. Penso che l'obbligatorietà sia la strada da percorrere. Oggi viviamo in un regime volontario: Google ha fatto un ottimo lavoro spiegando cosa fa Google Toolbar, ma altre aziende non sono così disponibili. Quasi 100 anni di esperienza con il Pure Food and Drug Act del 1906 mostrano che i requisiti di etichettatura non devono essere onerosi, ma devono essere obbligatori, altrimenti l'etichetta delle buone compagnie e le cattive compagnie no. Quello che serve ora è estendere questo principio al mondo del software.
Ringraziamenti
Ho discusso questa proposta per l'etichettatura del software per diversi mesi con i soci a Cambridge. Alla Harvard Law School, Jonathan Zittrain ha offerto commenti molto utili; al Computer Science and Artificial Intelligence Laboratory del MIT, ho avuto discussioni e commenti utili con i miei relatori di tesi, Rob Miller e David Clark, e con il mio compagno di studi, Steven Bauer.