Τα τελευταία χρόνια, οι τεχνολογικοί κολοσσοί, και άλλες εταιρείες, έχουν τεθεί υπό έλεγχο σχετικά με τον τρόπο συλλογής και χρήσης των δεδομένων χρηστών. Η ίδια η Google έχει επικεντρωθεί στη βελτίωση του απορρήτου στα προϊόντα και τις υπηρεσίες της – ως απάντηση.
Ωστόσο, φαίνεται ότι οι προσπάθειές της δεν πήγαν αρκετά καλά. Μια νέα ερευνητική εργασία αποκαλύπτει ότι οι εφαρμογές Messages και Dialer/Phone της Google συλλέγουν και στέλνουν δεδομένα χρήστη στους διακομιστές της – χωρίς να δείχνουν καμία ειδοποίηση ή να λαμβάνουν τη συγκατάθεση των χρηστών, παραβιάζοντας ενδεχομένως τον GDPR της Ευρωπαϊκής Ένωσης.
Ο Douglas Leith, καθηγητής επιστήμης υπολογιστών στο Trinity College του Δουβλίνου, ισχυρίζεται στην ερευνητική εργασία “What Data Do The Google Dialer and Messages Apps on Android Send to Google?”, ότι οι εφαρμογές Messages και Dialer της Google αποστέλλουν δεδομένα στους διακομιστές της εταιρείας χωρίς τη ρητή συγκατάθεση του χρήστη.
Πιο συγκεκριμένα, αυτές οι εφαρμογές συλλέγουν πληροφορίες σχετικά με τις επικοινωνίες των χρηστών, συμπεριλαμβανομένου ενός κατακερματισμού SHA256 των μηνυμάτων και της χρονικής τους σήμανσης, αριθμών τηλεφώνου, αρχείων καταγραφής εισερχόμενων και εξερχόμενων κλήσεων, και διάρκειας κλήσης.
Στη συνέχεια γίνεται κοινή χρήση με τους διακομιστές της Google χρησιμοποιώντας την υπηρεσία καταγραφής Clearcut των Google Play Services και την υπηρεσία Firebase Analytics. Τα δεδομένα βοηθούν την εταιρεία να συνδέσει τον αποστολέα και τον παραλήπτη του μηνύματος ή/και τις δύο συσκευές στην κλήση.
Ενώ μόνο μια τιμή 128-bit του κατακερματισμού μηνυμάτων κοινοποιείται στον διακομιστή της Google, ο Leith πιστεύει ότι για σύντομα κείμενα, είναι δυνατό να αντιστραφεί ο κατακερματισμός για να αποκαλυφθεί το περιεχόμενό του.
Ο Leith λέει ότι: “Ο κατακερματισμός περιλαμβάνει μια ωριαία χρονική σήμανση, επομένως θα συνεπαγόταν τη δημιουργία κατακερματισμών για όλους τους συνδυασμούς χρονικών σφραγίδων και μηνυμάτων – και τη σύγκριση αυτών με τον κατακερματισμό που παρατηρήθηκε για μια αντιστοίχιση”, και τονίζει ότι “είναι εφικτό για σύντομα μηνύματα με τη σύγχρονη υπολογιστική ισχύ.”
Το ερευνητικό έγγραφο υπογραμμίζει περαιτέρω ότι και οι δύο εφαρμογές της Google δεν διαθέτουν πολιτικές απορρήτου για να εξηγήσουν ποια δεδομένα συλλέγονται, τα οποία η ίδια η εταιρεία απαιτεί από εφαρμογές τρίτων στο Play Store.
Στην πραγματικότητα, οι πληροφορίες δεν διατίθενται καν για λήψη όταν κάποιος χρησιμοποιεί την Google Takeout για να εξάγει τα δεδομένα που σχετίζονται με τον λογαριασμό του.
Οι Google Play Services ενημερώνουν τους χρήστες ότι ορισμένα δεδομένα συλλέγονται για λόγους ασφάλειας και αποτροπής απάτης, αλλά δεν υπάρχει εξήγηση για το γιατί συλλέγεται ακριβώς το περιεχόμενο των μηνυμάτων και οι πληροφορίες κλήσεων.
Η εφαρμογή Google Messages είναι εγκατεστημένη σε εκατομμύρια συσκευές Android παγκοσμίως, συμπεριλαμβανομένης της σειράς Samsung Galaxy S22. Η εφαρμογή Phone είναι επίσης η προεπιλεγμένη εφαρμογή κλήσης σε smartphone από κατασκευαστές όπως η Xiaomi, η Realme και η Motorola, επομένως αυτή είναι μια σημαντική παράβλεψη απορρήτου.
Ωστόσο, σύμφωνα με το προηγούμενο ιστορικό της Google, η εταιρεία θα μπορούσε σκόπιμα να αποφύγει τη συναίνεση των χρηστών και να αποκρύψει πληροφορίες σχετικά με τα δεδομένα που συνέλεγε.
Ο Leith παρουσίασε για πρώτη φορά τα ευρήματά του στην Google τον Νοέμβριο του περασμένου έτους, γι’ αυτό και αναγκάστηκε να καθυστερήσει τη δημόσια ανάρτηση της εργασίας του.
Συνέστησε τις ακόλουθες αλλαγές στην Google, από τις οποίες οι έξι έχουν ήδη εφαρμοστεί:
1. Τα συγκεκριμένα δεδομένα που συλλέγονται από τις εφαρμογές Dialer και Messages, και οι συγκεκριμένοι σκοποί για τους οποίους συλλέγονται, θα πρέπει να αναφέρονται με σαφήνεια στις πολιτικές απορρήτου της εφαρμογής.
2. Η πολιτική απορρήτου της εφαρμογής θα πρέπει να είναι εύκολα προσβάσιμη στους χρήστες και να είναι ορατή χωρίς να χρειάζεται πρώτα να συμφωνήσετε με άλλους όρους και προϋποθέσεις (π.χ. αυτούς του Google Chrome). Η προβολή της πολιτικής απορρήτου δεν θα πρέπει να καταγράφεται/παρακολουθείται πριν από τη συγκατάθεση για τη συλλογή δεδομένων.
3. Τα δεδομένα σχετικά με τις αλληλεπιδράσεις των χρηστών με μια εφαρμογή, π.χ. προβολή οθονών εφαρμογών, κλικ σε κουμπιά/συνδέσμους, ενέργειες όπως αποστολή/λήψη/προβολή μηνυμάτων και τηλεφωνικών κλήσεων, διαφέρουν σε είδος από την τηλεμετρία εφαρμογών, όπως χρήση μπαταρίας, χρήση μνήμης, αργή λειτουργία του UI. Οι χρήστες θα πρέπει να μπορούν να εξαιρεθούν από τη συλλογή των δεδομένων αλληλεπίδρασής τους.
4. Τα δεδομένα αλληλεπίδρασης χρηστών που συλλέγονται από την Google θα πρέπει να διατίθενται στους χρήστες στην πύλη https://takeout.google.com/ της Google (όπου μπορούν ήδη να ληφθούν άλλα δεδομένα που σχετίζονται με τον λογαριασμό Google ενός χρήστη).
5. Κατά τη συλλογή τηλεμετρίας εφαρμογών, όπως η χρήση μπαταρίας, η χρήση μνήμης κ.λπ., τα δεδομένα πρέπει να επισημαίνονται μόνο με αναγνωριστικά περιόδου σύνδεσης μικρής διάρκειας και όχι με μόνιμα αναγνωριστικά συσκευής/χρήστη, όπως το αναγνωριστικό Android.
6. Κατά τη συλλογή δεδομένων, θα πρέπει να χρησιμοποιούνται μόνο χονδρικές χρονικές σημάνσεις, π.χ. στρογγυλοποιημένες στην πλησιέστερη ώρα. Η τρέχουσα προσέγγιση της χρήσης χρονικών σφραγίδων με ακρίβεια χιλιοστού του δευτερολέπτου κινδυνεύει να είναι πολύ αποκαλυπτική. Ακόμα καλύτερα, χρησιμοποιήστε δεδομένα ιστογράμματος αντί για δεδομένα συμβάντων με χρονική σήμανση, π.χ. ένα ιστόγραμμα του χρόνου σύνδεσης δικτύου κατά την έναρξη μιας τηλεφωνικής κλήσης φαίνεται επαρκές για τον εντοπισμό προβλημάτων δικτύου.
7. Διακόψτε τη συλλογή του αριθμού τηλεφώνου του αποστολέα μέσω της πηγής καταγραφής CARRIER_SERVICES κατά τη λήψη ενός μηνύματος και διακόψτε τη συλλογή της κάρτας SIM ICCID από το Google Messages όταν εισάγεται μια κάρτα SIM. Διακόψτε τη συλλογή ενός κατακερματισμού του απεσταλμένου/ληφθέντος κειμένου μηνύματος.
8. Η τρέχουσα υπηρεσία εντοπισμού/προστασίας ανεπιθύμητων μηνυμάτων μεταδίδει εισερχόμενους αριθμούς τηλεφώνου στους διακομιστές της Google. Αυτό θα πρέπει να αντικατασταθεί από μια προσέγγιση διατήρησης του απορρήτου περισσότερο, π.χ., παρόμοια με αυτή που χρησιμοποιείται από την υπηρεσία κατά του ηλεκτρονικού ψαρέματος της ασφαλούς περιήγησης της Google, η οποία ανεβάζει μόνο μερικούς κατακερματισμούς στους διακομιστές της.
9. Η επιλογή ενός χρήστη να εξαιρεθεί από τη συλλογή δεδομένων “Χρήση και διαγνωστικά” θα πρέπει να γίνεται πλήρως σεβαστή, δηλαδή να έχει ως αποτέλεσμα τη διακοπή κάθε συλλογής δεδομένων χρήσης εφαρμογών και τηλεμετρίας.
Η Google έχει παράσχει μια εξήγηση για ορισμένες από τις πρακτικές συλλογής δεδομένων της:
1. Ο κατακερματισμός μηνυμάτων συλλέγεται για τον εντοπισμό σφαλμάτων αλληλουχίας μηνυμάτων.
2. Οι αριθμοί τηλεφώνου συλλέγονται για τη βελτίωση της αντιστοίχισης μοτίβων regex για αυτόματη αναγνώριση κωδικών πρόσβασης μίας χρήσης που αποστέλλονται μέσω RCS. Τα μηνύματα αναγνωρίζουν αυτόματα τους εισερχόμενους κωδικούς OTP για να μην χρειάζεται να τους συμπληρώσει ο χρήστης. Αυτό μπορεί να είναι συχνό σημείο αποτυχίας και τα δεδομένα αριθμού τηλεφώνου χρησιμοποιούνται για τη βελτίωση της αναγνώρισης παρέχοντας βασική εξακρίβωση με βάση τον γνωστό αποστολέα OTP.
3. Τα δεδομένα ICCID χρησιμοποιούνται για την υποστήριξη του Google Fi.
4. Η καταγραφή συμβάντων του Firebase Analytics (χωρίς τους αριθμούς τηλεφώνου) χρησιμοποιείται για τη μέτρηση της αποτελεσματικότητας των προωθήσεων λήψης εφαρμογών (ειδικά για τα Messages και Dialer). Δηλαδή, για να μετρήσετε όχι μόνο εάν έγινε λήψη της εφαρμογής, αλλά και εάν χρησιμοποιήθηκε μετά τη λήψη.
Δεν υπάρχει ακόμη σαφήνεια σχετικά με το εάν οι εφαρμογές Google (Messages και Dialer/Phone) συμμορφώνονται με τον GDPR ή εάν τον παραβιάζουν, μέχρι στιγμής. Είναι πιθανό ότι η εταιρεία θα υποβληθεί τώρα σε έρευνα και θα επιβληθεί πρόστιμο εάν διαπιστωθεί ότι οι εφαρμογές παραβιάζουν τον GDPR.
Ακολουθήστε το Techmaniacs.gr στο Google News για να διαβάζετε πρώτοι όλα τα τεχνολογικά νέα. Ένας ακόμα τρόπος να μαθαίνετε τα πάντα πρώτοι είναι να προσθέσετε το Techmaniacs.gr στον RSS feeder σας χρησιμοποιώντας τον σύνδεσμο: https://techmaniacs.gr/feed/.
Ακολουθήστε το Techmaniacs.gr στο Google News για να διαβάζετε πρώτοι όλα τα τεχνολογικά νέα. Ένας ακόμα τρόπος να μαθαίνετε τα πάντα πρώτοι είναι να προσθέσετε το Techmaniacs.gr στον RSS feeder σας χρησιμοποιώντας τον σύνδεσμο: https://techmaniacs.gr/feed/.
