La verità sulle app per smartphone che si collegano segretamente al monitoraggio degli utenti e ai siti di annunci

Esistono essenzialmente due ambienti nettamente diversi in cui scaricare app. Il primo è l'App Store di Apple, che controlla attentamente le app prima di consentire la visualizzazione solo di quelle ritenute idonee. Il secondo è il Google Play Store, che è più aperto perché Google esercita un tocco più leggero nel vetting delle app, escludendo solo quelle ovviamente dannose.

Ma poiché Google Play è più aperto, le app che offre coprono una gamma di qualità molto più ampia. Molti si connettono a siti relativi a pubblicità e siti di monitoraggio, mentre altri si connettono a siti molto più dubbi associati a malware.

Ma ecco il problema: questa attività spesso si svolge senza che il proprietario sia consapevole di cosa sta succedendo. È qualcosa che la maggior parte degli utenti di smartphone rimarrebbe sconvolta nello scoprire, se solo fossero in grado di farlo.

Oggi Luigi Vigneri e gli amici di Eurecom in Francia hanno una soluzione. Questi ragazzi hanno escogitato un modo automatizzato per controllare le app in Google Play e monitorare i siti a cui si connettono. E i loro risultati rivelano la straordinaria portata di connessioni segrete che molte app creano senza che i loro proprietari siano più saggi.

Vigneri e co hanno iniziato scaricando oltre 2.000 app gratuite di tutte le 25 categorie sul Google Play Store. Hanno quindi lanciato ogni app su un Samsung Galaxy SIII con Android versione 4.1.2 configurato per incanalare tutto il traffico attraverso il server del team. Questo ha registrato tutti gli URL che ciascuna app ha tentato di contattare.

Successivamente hanno confrontato gli URL con un elenco di siti noti relativi agli annunci da un database chiamato EasyList e un database di siti di monitoraggio degli utenti chiamato EasyPrivacy, entrambi compilati per il progetto open source AdBlock Plus. Infine, hanno contato il numero di corrispondenze in ogni elenco per ogni app

I risultati costituiscono una lettura interessante. In totale, le app si connettono a 250.000 URL diversi da capogiro su quasi 2.000 domini di primo livello. E mentre la maggior parte tenta di connettersi solo a una manciata di siti di annunci e monitoraggio, alcuni sono molto più prolifici.

Vigneri e co citano ad esempio Music Volume Eq, un'app progettata per controllare il volume, un'attività che non richiede una connessione ad alcun URL esterno. Eppure l'app crea molte connessioni. Troviamo che l'app Music Volume EQ si connetta a quasi 2.000 URL distinti, dicono.

E non è solo nei suoi eccessi. Il team afferma che circa il 10% delle app testate si connette a più di 500 URL diversi. E nove su 10 dei domini relativi agli annunci di contatto più frequenti sono gestiti da Google.

I siti di monitoraggio degli utenti a cui si connettono le app sono meno pervasivi. Oltre il 70% delle app non si connette a nessun sito di monitoraggio degli utenti. Ma quelli che lo fanno possono essere stravaganti, alcuni si connettono a più di 800 siti di monitoraggio degli utenti. Inoltre, molti di questi sono creati da organizzazioni che Google ha designato con lo stato di sviluppatore principale. Il peggiore trasgressore è un'app chiamata Eurosport Player che si collega a 810 diversi siti di monitoraggio degli utenti.

Una piccola parte delle app sembra persino progettata per connettersi a siti sospetti collegati a malware.

La maggior parte degli utenti di queste app avrà poca o nessuna conoscenza di questo tipo di comportamento. Quindi Vigneri e co hanno sviluppato la propria app che monitora il comportamento degli altri sullo smartphone di un utente e rivela esattamente a quali siti esterni queste app stanno tentando di connettersi.

Chiamano la loro nuova app NoSuchApp o NSA in breve in onore di un'agenzia di monitoraggio con l'acronimo simile.

Ciò dovrebbe dare agli utenti Android fiducia nelle app che utilizzano. Con questa applicazione, il nostro obiettivo è fornire un meccanismo per consentire agli utenti finali di essere consapevoli dell'attività di rete delle loro applicazioni Android installate, affermano Vigneri e co.

Il team prevede di rendere l'app disponibile pubblicamente su Google Play nel prossimo futuro.

Rif: arxiv.org/abs/1504.06093 : Domare l'AppStore Android: caratterizzazione leggera delle applicazioni Android

nascondere