Του Γιώργου Μπακάλη,
Φόβοι και υποψίες γύρω από το χειρισμό των προσωπικών δεδομένων από εφαρμογές και ιστοσελίδες είναι βάσιμα και λογικά. Αποτελούν θέμα συζήτησης για χρόνια και o GDPR στην Ευρώπη και ο FTC στις ΗΠΑ ελέγχουν τη συναλλαγή δεδομένων και τους κανόνες με τους οποίους αυτή πραγματοποιείται, όχι μόνο ανάμεσα σε προγραμματιστές και χρήστες, αλλά και μεταξύ εταιρειών. Και γι’ αυτό ακριβώς είναι άξιο απορίας: γιατί τώρα και γιατί το FaceApp;
Το FaceApp είναι μια εφαρμογή που έχει λανσαριστεί από το 2017 και πρόσφατα παρουσίασε τεράστια έκρηξη λόγω της δυνατότητάς της να μας μεταφέρει – ομολογουμένως με εκπληκτική επιτυχία – στο 2077. Ο χρήστης ανεβάζοντας μία φωτογραφία του στην εφαρμογή αποκτά την δυνατότητα να εφαρμόσει ποικίλα φίλτρα, μεταξύ άλλων αυτό και της γήρανσης. Μαζί με αυτήν την απότομη ανάδειξη της εφαρμογής, όμως, ανεπτύχθη και ένα ευρύ κύμα προβληματισμού για τον τρόπο με τον οποίο το FaceApp αποθηκεύει και χειρίζεται τις φωτογραφίες, σε συνδυασμό με άλλα δεδομένα των χρηστών.
Πώς μία εφαρμογή αποκτά πρόσβαση σε προσωπικά δεδομένα;
Σύμφωνοι. Ανησυχούμε ότι κάποιος κακόβουλος θα υποκλέψει δεδομένα και θα τα χρησιμοποιήσει εναντίον μας. Ας δούμε τους τρόπους με τους οποίους μία εφαρμογή έχει πρόσβαση σε ευαίσθητα δεδομένα:
- Με την πρώτη χρήση της, κάθε εφαρμογή ζητά τις απαιτούμενες άδειες για να επιτελέσει τις λειτουργίες που υπόσχεται. Ο χρήστης ερωτάται για κάθε άδεια ξεχωριστά (φωτογραφίες, τοποθεσία, εξωτερικό αποθηκευτικό χώρο κ.ό.κ.) και αποφασίζει αν θα εκχωρήσει ή όχι την εκάστοτε άδεια. Μόνο αν ο χρήστης αποδεχθεί μία άδεια, η εφαρμογή μπορεί να προβάλει συγκεκριμένα δεδομένα. Φαινομενικά, γιατί υπάρχουν και πλάγιοι τρόποι:
- «Side channels»: ο όρος αναφέρεται σε διαδρομές που εκμεταλλεύεται μία εφαρμογή για να λάβει έμμεσα δεδομένα στα οποία δεν έχει πρόσβαση. Αυτό μπορεί να γίνει με τη χρήση άλλων αδειών που έχει η εφαρμογή και μπορεί να αξιοποιήσει για να δημιουργήσει υποκατάστατα δεδομένα με σχετική ακρίβεια, όπως την ταυτοποίηση WiFi σημείων πρόσβασης για την εκμαίευση της φυσικής τοποθεσίας, τη χρήση κάμερας για να βρεθεί το φύλο του χρήστη μιας συσκευής, την ανάγνωση μεταδεδομένων των φωτογραφιών που μαρτυρούν την τοποθεσία τη στιγμή της λήψης της φωτογραφίας ή και πιο περίπλοκους αλγοριθμικούς τρόπους για ιδιαίτερα ευαίσθητα (και κρυπτογραφημένα) δεδομένα.
- «Covert channels»: στην περίπτωση αυτή, δύο (τουλάχιστον) εφαρμογές συνεργάζονται, ώστε η πρώτη εφαρμογή, που έχει πρόσβαση σε συγκεκριμένα δεδομένα, να δώσει πρόσβαση στη δεύτερη, η οποία δεν έχει. Αυτό μπορεί να γίνει, για παράδειγμα, με την πρώτη εφαρμογή να δημιουργεί εναλλαγή του φόρτου του επεξεργαστή ανάμεσα σε χαμηλό και υψηλό επίπεδο, δημιουργώντας και μεταφέροντας έμμεσα ένα δυαδικό μήνυμα στη δεύτερη, η οποία παρακολουθεί τον επεξεργαστή της συσκευής. Ή, μία εφαρμογή μπορεί να δημιουργήσει ένα αρχείο με δεδομένα σε μονοπάτι αναγνώσιμο από δεύτερη εφαρμογή, διαμοιράζοντας έτσι πληροφορία που δεν θα έπρεπε να είναι προσβάσιμη από άλλες εφαρμογές. Τα covert channels δεν περιορίζονται στις περιπτώσεις που μόλις αναφέρθηκαν.
Ποιοι χρησιμοποιούν side channels και covert channels;
Δυστυχώς, πολλές εφαρμογές, και αυτό δεν είναι κάτι που ο απλός χρήστης μπορεί να γνωρίζει. Σε πολύ πρόσφατη έρευνα με τίτλο “50 Ways to Leak Your Data: An Exploration of Apps’ Circumvention of the Android Permissions System”, μία ομάδα ερευνητών ανέλυσε 88,113 εφαρμογές παρατηρώντας τις ροές δεδομένων και την πρόσβαση σε πόρους κατά την ελεγχόμενη εκτέλεσή τους, μία προς μία. Παρόλο που ο ακριβής συνολικός αριθμός παραβιάσεων δεν αναφέρεται ρητά στα πορίσματα, ανά κατηγορία παραβίασης πρόσβασης μετρήθηκε τουλάχιστον τριψήφιος αριθμός εφαρμογών κάθε φορά, με το σύνολο να ξεπερνά μάλλον τις χίλιες εφαρμογές που παραχωρούσαν, λάμβαναν ή συμμετείχαν ως ενδιάμεσοι φορείς στη μεταφορά δεδομένων χωρίς σχετική άδεια (στέλνοντας στοιχεία σε servers σε αναγνώσιμη μορφή).
Διαφορετικές εφαρμογές χρησιμοποιούν κοινά SDKs (δηλαδή πακέτα εργαλείων που χρησιμοποιούν οι προγραμματιστές για να αναπτύξουν ευκολότερα εφαρμογές λογισμικού). Αυτά τα πακέτα ενδέχεται να περιέχουν κομμάτια κώδικα που δημιουργούν και παρέχουν πρόσβαση σε ένα αρχείο κοινά αναγνώσιμο από κάθε εφαρμογή που χρησιμοποιεί το εν λόγω SDK, στο οποίο αποθηκεύονται δεδομένα από εφαρμογές που έχουν πρόσβαση σε μία ομάδα δεδομένων για εφαρμογές που δεν έχουν την ίδια άδεια.
Αυτό σημαίνει ότι μία εφαρμογή μπορεί ακόμη και άθελά της να παρέχει δεδομένα σε τρίτες εφαρμογές, απλά και μόνο επειδή υλοποιεί πρωτόκολλα που το SDK εσωτερικά εφαρμόζει!
Τι ρόλο έχει ο χρήστης στην προστασία των δεδομένων του;
Όπως είπαμε, κάθε εφαρμογή ζητά ρητά τις άδειες που επιθυμεί να της εκχωρηθούν από το χρήστη. Ο χρήστης θα πρέπει να εξοικειωθεί με τις έννοιες της κάθε άδειας, ώστε να είναι σε θέση να κρίνει αν μία εφαρμογή εύλογα ζητά μία άδεια ή όχι. Αυτό βοηθά, στο χαμηλότερο δυνατό επίπεδο, να προληφθεί άσκοπη διαρροή δεδομένων. Για παράδειγμα, μία εφαρμογή με συνταγές μαγειρικής δεν έχει κανένα λόγο να ζητήσει πρόσβαση στην τοποθεσία της συσκευής. Ο κάθε χρήστης θα πρέπει να είναι σε θέση να κατανοήσει ότι αυτόματα ένα τέτοιο αίτημα για άδεια είναι επιθυμητό να απορριφθεί.
Αναφορικά με τα μεταδεδομένα φωτογραφιών, εύκολα μπορεί να περιοριστεί η πρόσβαση στην τοποθεσία των φωτογραφιών, μέσω των ρυθμίσεων της εφαρμογής φωτογραφιών που η κάθε συσκευή περιέχει (συχνά αναφέρεται στα ελληνικά ως «Κατάργηση γεωγραφικής τοποθεσίας»).
Όμως, μας είπες ότι και χωρίς την άδεια μπορούν να αποκτήσουν πρόσβαση σε προσωπικά δεδομένα.
Τόσο η Google με το Android Q, όσο και η Apple με το iOS 13 φέρνουν αλλαγές που θα προστατεύσουν τους χρήστες από τέτοιες κρυφές συναλλαγές μεταξύ εφαρμογών, ενισχύοντας το πλαίσιο εκχώρησης αδειών, φιλτράροντας την προβολή αρχείων μίας εφαρμογής που έχουν αποθηκευτεί από κάποια άλλη, εμποδίζοντας τις εφαρμογές να έχουν πρόσβαση στην τοποθεσία της συσκευής μέσω του WiFi ή του Bluetooth κ.ό.κ. Επομένως, σε ένα σημαντικό βαθμό, ο χρήστης καλείται απλώς να εκχωρεί τις απαραίτητες και μόνο άδειες σε κάθε εφαρμογή που κατεβάζει.
Τελικά γιατί το FaceApp; Πώς χρησιμοποιούνται τα δεδομένα μου; Θα πρέπει να ανησυχώ;
Παραδόξως, υποψίες έχει εγείρει το γεγονός ότι το FaceApp είναι μια εφαρμογή που έχει αναπτυχθεί από ρωσική εταιρεία. Μεγάλο μέρος του φόβου που έχει προκληθεί (αν όχι ολόκληρος) είναι άμεσα συσχετισμένος με έναν σύγχρονο Ψυχρό Πόλεμο, ανάμεσα σε δύο μεγάλες δυνάμεις, ΗΠΑ και Ρωσία. Η εταιρεία έχει ξεκαθαρίσει ότι τα δεδομένα βρίσκονται αποθηκευμένα σε servers της Amazon και της Google (στην Αμερική, ως επί το πλείστον). Επίσης, μέσω τεχνικών αναλύσεων έχει προκύψει ότι, πράγματι, η εφαρμογή αποθηκεύει στο cloud μόνον όσες φωτογραφίες έχει ο ίδιος ο χρήστης επιλέξει να ανεβάσει για να επεξεργαστεί· καμία άλλη.
Όπως συμβαίνει και με τις περισσότερες εφαρμογές, φωτογραφίες χρησιμοποιούνται κατά πάσα πιθανότητα για να «προπονήσουν» συστήματα AI (τεχνητή νοημοσύνη) ή για καλύτερη στόχευση διαφημίσεων μέσω εξαγωγής βιομετρικών στοιχείων και όχι για να παραβιάσουν σκοπίμως την ιδιωτικότητα των χρηστών τους.
Σε καμία περίπτωση δεν υπονοώ ότι το FaceApp ή άλλες εφαρμογές αποκλείεται να χρησιμοποιήσουν με κακοπροαίρετο τρόπο τα δεδομένα μας. Ωστόσο, σκοπός είναι να κατανοήσουμε όλοι ότι συνήθως χρησιμοποιούνται απλούστατα για να ενδυναμώσουν την ήδη υπάρχουσα τεχνολογία (ή για να κερδίσουν οι διαφημιστές). Η ανησυχία θα πρέπει να είναι γενικευμένη και εποικοδομητική, όχι με γνώμονα τη διάχυτη τρομολαγνεία, αλλά με στόχο να εξοπλιστούμε, ως χρήστες, καλύτερα, απέναντι σε παράλογα αιτήματα εφαρμογών να αποκτήσουν πρόσβαση σε προσωπικά μας δεδομένα.
Εν πάση περιπτώσει, θα δούμε κατά πόσο το πρόστιμο $5 δισ. του FTC στην Facebook για τη διαρροή στην υπόθεση Cambridge Analytica θα λειτουργήσει παραδειγματικά προς όλες τις εταιρείες που διαχειρίζονται δεδομένα χρηστών με οποιονδήποτε τρόπο.
Γεννηθείς το 1999 στη Ρόδο, είναι φοιτητής του τμήματος Διοικητικής Επιστήμης και Τεχνολογίας του Οικονομικού Πανεπιστημίου Αθηνών. Έχει διατελέσει IT Manager σε Οργανισμό για τη στήριξη της γυναικείας επιχειρηματικότητας και βουλευτής στην ΚΑ’ Σύνοδο της Βουλής των Εφήβων, έχει συμμετάσχει και τιμηθεί σε προσομοιώσεις πολιτικών θεσμών, ενώ έχει κερδίσει με την ομάδα του τον Εθνικό Τελικό του Παγκόσμιου Φοιτητικού Διαγωνισμού Κοινωνικής Επιχειρηματικότητας «Hult Prize». Είναι, επίσης, πιανίστας και συνθέτης μινιμαλιστικής μουσικής.
