211service.com
In che modo gli sviluppatori di app lasciano la porta aperta alla sorveglianza della NSA
La notizia che la National Security Agency ha raccolto per anni dati personali trapelati da app mobili come Angry Birds ha scatenato ieri una nuova ondata di chiacchiere sull'estensione della portata della NSA. Tuttavia, la NSA e il suo equivalente nel Regno Unito, GCHQ, non hanno dovuto fare molto per recuperare quei dati. Poche app mobili implementano la tecnologia di crittografia per proteggere i dati che inviano su Internet, quindi le agenzie potrebbero raccogliere e decodificare banalmente quei dati utilizzando il loro accesso esistente alle reti Internet.
Documenti visionati e pubblicati da New York Times e Custode i giornali mostrano che l'NSA e il GCHQ possono raccogliere informazioni come l'età, la posizione e l'orientamento sessuale di una persona dai dati inviati su Internet dalle app. Tali dettagli personali sono contenuti nei dati che le app inviano alle società che li mantengono e li supportano. Ciò include i dati inviati alle aziende che pubblicano e indirizzano gli annunci nelle app mobili.
Questa è la prova di livelli negligenti di insicurezza da parte delle aziende di app, afferma Peter Eckersly , direttore dei progetti tecnologici per la Electronic Frontier Foundation. Eckersly afferma che i suoi sforzi per convincere le aziende a traffico Web sicuro mostra un diffuso disprezzo per i rischi di inviare i dati delle persone su Internet senza protezioni contro le intercettazioni. La maggior parte delle aziende non ha motivi legittimi per non proteggere tali dati, afferma Eckersly. Spesso la sicurezza e la privacy dei loro utenti sono così in fondo alla lista delle priorità che non hanno nemmeno pensato di farlo.
A studio 2012 di 13.500 app Android da parte di ricercatori in Germania ha scoperto che solo lo 0,8 percento utilizza esclusivamente connessioni crittografate e che il 43 percento non utilizza alcuna crittografia. La scorsa settimana la società di sicurezza delle app mobili MetaIntell segnalato che il 92 percento delle 500 applicazioni Android più popolari comunicava alcuni dati in modo non sicuro.
Spesso è difficile stabilire se un'app utilizza la crittografia o meno per trasmettere i dati. I browser Web mostrano un'icona a forma di lucchetto accanto all'indirizzo Web di un sito se utilizza la crittografia, ma non esiste un equivalente per le app mobili. Il controllo manuale se un'app mobile protegge i trasferimenti di dati comporta l'ispezione dei registri di rete per esaminare come un'app si connette ai server.
I documenti pubblicati lunedì individuano in Google Maps la perdita di dati particolarmente utili ai fini della sorveglianza. I documenti sia della NSA che del GCHQ notano come le query di ricerca intercettate da questa app possano rivelare i movimenti di una persona. Un documento del 2008 di GCHQ afferma che un sistema impostato per intercettare quei dati significa effettivamente che chiunque utilizzi Google Maps su uno smartphone sta lavorando a supporto di un G.C.H.Q. sistema.
Google ha reso la crittografia l'impostazione predefinita per la sua ricerca Web lo scorso settembre, ma non pubblicizza quale delle sue app mobili utilizza la crittografia. Lo ha detto un portavoce dell'azienda Revisione della tecnologia del MIT che le versioni attuali dell'app Google Maps utilizzano la crittografia per proteggere i dati inviati ai server dell'azienda. Ciò suggerisce che le agenzie di intelligence non possono più vedere i luoghi che le persone stanno cercando intercettando il traffico Internet.
I documenti trapelati evidenziano anche come la tecnologia di targeting degli annunci integrata in molte app possa far trapelare informazioni personali. Molte società di app utilizzano la tecnologia di società pubblicitarie di terze parti che raccolgono e trasmettono dati di monitoraggio e targeting degli annunci (vedi Le società pubblicitarie mobili cercano nuovi modi per tracciarti e prepararsi per gli annunci che ti seguono da un dispositivo all'altro ).
Tali dati contengono spesso dati di profilo su una persona, come sesso, età approssimativa e posizione. Un rapporto del GCHQ del 2012 descrive in dettaglio la tecnologia progettata per estrarre tali profili dai dati trasmessi dal gioco Angry Birds. L'analisi di MetaIntell dell'attuale versione Android di quell'app ha scoperto che invia dati non crittografati ad AdMob, la società di annunci per dispositivi mobili di proprietà di Google. Il rapporto 2012 individua anche un'azienda pubblicitaria Del Millennio , che compila profili che possono includere anche l'etnia, lo stato civile e l'orientamento sessuale di una persona. Lo ha detto un portavoce di Millennial Revisione della tecnologia del MIT che l'azienda vede solo i dati che i suoi partner hanno il permesso di raccogliere dai propri utenti e che gli annunci non sono mirati in base all'orientamento sessuale.
Le aziende di tecnologia pubblicitaria come Millennial hanno meno incentivi a dedicare tempo alla protezione dei dati che trasmettono rispetto ai produttori di app perché lavorano dietro le quinte. Le società pubblicitarie sembrano particolarmente improbabile che utilizzino la crittografia, afferma un ricercatore indipendente Ashkan Soltani . Ha contribuito ad a Sondaggio 2010 della privacy e della sicurezza delle app mobili da parte di giornale di Wall Street che ha scoperto che la maggior parte dei dati inviati dalle app non era protetta dalla crittografia. La maggior parte delle piattaforme pubblicitarie non lo supporta.
Marc Rogers, principale ricercatore di sicurezza presso la società di sicurezza mobile Attenzione , dice che le notizie di lunedì potrebbero aiutare a cambiare le cose. In quanto settore, gli sviluppatori di app mobili e in particolare gli inserzionisti mobili dovranno spostare la loro comprensione di ciò che dovrebbe essere considerato sensibile per includere qualsiasi informazione personale inviata tramite filo, afferma.
Se ciò non accadrà, non sarà dovuto agli oneri tecnici e finanziari. Con lo stato della tecnologia odierno, nessuna app mobile dovrebbe essere autorizzata a implementare una crittografia adeguata, afferma Rogers.