EFF: حزم SDK الإعلانية تشارك موقع مستخدمي Android افتراضياً دون علمهم

لدى العديد من التطبيقات سبب مشروع لطلب الموقع الدقيق للجهاز؛ فتطبيق الطقس يحتاجه لتوقعات محلية، وتطبيق اللياقة البدنية يحتاجه لتتبع مسار الركض. لكن نتائج جديدة صادرة عن مؤسسة Electronic Frontier Foundation (EFF) تُظهر أن بعض التطبيقات تشارك أيضاً، دون قصد، بيانات الموقع تلك مع أطراف ثالثة، بما في ذلك المعلنون وسماسرة البيانات، لأن مطور التطبيق قد لا يدرك أن إعداد مشاركة البيانات مُفعّل افتراضياً.

يستهدف بحث EFF الشيفرة البرمجية التابعة لأطراف ثالثة -المعروفة بحزم تطوير البرمجيات، أو SDK- التي يدمجها المطورون في تطبيقاتهم لإضافة ميزات أو تحقيق الدخل من خلال الإعلانات. وبحسب EFF، ترث حزم SDK هذه أي إذن موقع يمنحه المستخدم للتطبيق المضيف، وستجمع بيانات الموقع تلك ما لم يقم المطور بتعطيلها بشكل فعّال. وتقول المنظمة إن العديد من المطورين قد لا يدركون أنهم يشاركون موقع مستخدميهم مع أطراف ثالثة افتراضياً، ودعت صانعي التطبيقات إلى تعطيل جمع البيانات غير الضروري كلما أمكن ذلك.

تُسوَّق حزم SDK الإعلانية للمطورين كأداة لتحقيق الدخل، لكن EFF تقول إن الثمن هو أن سجلات موقع المستخدمين تصل إلى سماسرة البيانات، الذين يعيدون بيع تلك المعلومات، بما في ذلك، بحسب EFF، لجهات عسكرية وحكومات ووكالات استخبارات مثل FBI. كما تحمل تلك البيانات مخاطر أمنية وخصوصية إذا تعرّض أحد السماسرة للاختراق أو سُرقت بياناته، وهو ما حدث بالفعل لبعض السماسرة. ومن بين تطبيقات Android التي حددتها EFF على أنها تشارك بيانات الموقع بهذه الطريقة تطبيقان تم تنزيلهما 60 مليون مرة إجمالاً.

أجرت EFF اختباراتها من خلال تحليل حركة بيانات الشبكة الخاصة بالتطبيقات لمعرفة الخدمات التي تتلقى بيانات موقع المستخدمين. وقال Bill Budington، وهو تقني أول في EFF، لـTechCrunch إن حزم SDK التي فُحصت تمثل نسبة صغيرة من منظومة الإعلانات الأوسع، لكنها مع ذلك تدّعي وصولها إلى مليارات المستخدمين عبر عشرات الآلاف من التطبيقات. وذكر تقرير EFF أنه “لا توجد أذونات موقع خاصة بحزم SDK”، أي أنه بمجرد سماح المستخدم لتطبيق ما بالوصول إلى موقعه، تُشارَك تلك البيانات أيضاً افتراضياً مع حزم SDK الإعلانية الخاصة بالتطبيق. وكتبت EFF: “لا يمكن أن تشير أذونات الموقع على مستوى التطبيق وحدها إلى موافقة ذات معنى على جمع بيانات الموقع ومشاركتها من قبل حزم SDK الإعلانية التابعة لأطراف ثالثة”، مضيفة أن هذه الحزم “لا ينبغي أن تجعل مشاركة البيانات الشخصية هي الخيار الافتراضي، خصوصاً بالنسبة لبيانات حساسة مثل موقع الشخص.”

لماذا يهم

الفجوة بين ما يعتقد المستخدمون أنهم وافقوا عليه وما تجمعه حزم SDK فعلياً تعني أن رسائل أذونات متاجر التطبيقات لا تؤدي الدور الذي يفترضه المنظمون، ما يضع ضغطاً على Google والمطورين -وليس المعلنين فقط- لسد ثغرة المشاركة الافتراضية التي تطال مليارات عمليات تثبيت التطبيقات.