Android uygulamalarındaki üçüncü taraf SDK'lar konum verinizi reklamverenlere nasıl sızdırıyor?

Electronic Frontier Foundation'ın (EFF) yakın tarihli bir TechCrunch haberinde aktarılan araştırması, birçok Android uygulamasının konum verilerini reklamverenlerle istemeden paylaştığını buluyor; bunun nedeni uygulama geliştiricilerinin ürünlerine kasıtlı olarak takip özelliği eklemesi değil, uygulamanın içine gömülü üçüncü taraf yazılım geliştirme kitlerinin (SDK), kullanıcı uygulamaya konum izni verdikten sonra kendi amaçları için konum verisi toplayıp iletmesi. Bunun nasıl gerçekleştiğini anlamak, modern uygulama geliştirmenin nasıl işlediğini anlamayı gerektiriyor, çünkü çok az uygulama tamamen bir ekibin kendi koduyla inşa ediliyor.

Yazılım geliştirme kiti, bir mobil geliştiricinin belirli bir özelliği sıfırdan yazmadan uygulamasına eklemek için kullandığı önceden hazırlanmış bir kod paketidir -analitik, çökme raporlama, uygulama içi reklam ve push bildirimleri en yaygın kategoriler. Bir SDK'yı entegre etmek genellikle birkaç satır kod eklemek ve ona ana uygulamanın zaten sahip olduğu izinleri vermek anlamına geldiğinden, gelir için bir reklam SDK'sı bağlayan bir geliştirici, o SDK'nın uygulamanın kendi temel özelliği için istediği konum izniyle tam olarak ne yaptığını denetlemeyebilir.

Android'in izin modeli, kullanıcıdan konum erişimini uygulama düzeyinde onaylamasını ister, o uygulama içinde çalışan her bir kod parçası düzeyinde değil. Bir kullanıcı bir hava durumu uygulaması veya bir fitness takipçisi için "izin ver"e dokunduğunda, o uygulamanın içine gömülü her SDK, kullanıcının uygulamanın bütününe verdiği aynı konum erişimini devralır; belirli bir reklam ağının veya analitik sağlayıcısının da bu veriyi alacağını açıklayan ayrı bir uyarı olmadan.

EFF'nin araştırması özellikle sadece kullanıcıları değil, geliştiricileri de uyarıyor: dahil ettikleri bazı üçüncü taraf kodların, hiç paylaşmayı amaçlamadıkları -ve bazı durumlarda açıkça paylaşmayı kabul etmedikleri- konum verilerini toplayıp ilettiği olabiliyor; çünkü SDK'nın hizmet şartları, çoğu ekibin kolay reklam geliri veya ücretsiz analitik vaat eden bir kütüphaneyi entegre etmeden önce satır satır okumadığı geliştirici belgelerinin arasına gömülü.

Reklamverenler ve veri komisyoncuları için bu düzenleme değerli, çünkü tam olarak binlerce ilgisiz uygulama arasında konum sinyallerini bir arada topluyor. Bir alışveriş uygulamasına, bir oyuna ve bir haber okuyucusuna gömülü tek bir reklam SDK'sı, iznini veren kişiye tek bir uygulamanın konum izninin işaret edeceğinden çok daha zengin bir telefon hareket örüntüsü resmi oluşturabilir; çünkü o kişi tek bir uygulamaya izin verdi, tüm bunlarda sessizce çalışan SDK sağlayıcısına değil.

Google, yıllar içinde Play Store politikasını sıkılaştırarak uygulamaların veri toplama uygulamalarını standartlaştırılmış bir "Veri güvenliği" etiketinde açıklamasını ve arka plan konum erişimini ön plan erişiminden daha görünür, ayrı bir izin uyarısının arkasına kısıtlamasını gerektirdi. Bu değişiklikler, toptan ve görünmez SDK düzeyinde toplamayı bir zamanlar olduğundan daha zor kıldı; ama hâlâ büyük ölçüde geliştiricilerin gömülü her SDK'nın gerçekte ne yaptığını doğru şekilde beyan etmesine bağlı ve EFF'nin bulguları bunun her zaman gerçekleşmediğini öne sürüyor.

Düzenleyici baskı da aynı yönde ilerledi. Avrupa'nın GDPR'ı ve çeşitli ABD eyalet gizlilik yasaları, ayrıntılı konum verisini giderek açık onay ve tanımlı saklama sınırları gerektiren hassas bilgi olarak ele alıyor ve düzenleyiciler, şirketleri özellikle uygulamanın kendi birinci taraf özellikleri yerine gömülü SDK'lar üzerinden toplanan konum verisi nedeniyle cezalandırdı; bu da SDK sağlayıcılarını, onları gömen uygulamalarla aynı hukuki riskin içine koyuyor.

Bu konuda kaygılı kullanıcılar için en doğrudan kontrol, işletim sisteminin kendi izin ayarları olmayı sürdürüyor: hangi uygulamaların "her zaman" ya da "uygulama kullanılırken" konum erişimine sahip olduğunu incelemek, önemli olmayan uygulamaları "her zaman sor"a çevirmek veya konumu tamamen reddetmek ve hangi uygulamaların uygulamanın gerçekte ne yapması gerektiğine kıyasla konum istediğini periyodik olarak denetlemek; çünkü bir not alma uygulaması veya basit bir oyunun, telefonun tam konumunu bilmesi için nadiren meşru bir nedeni var.

Uygulama geliştiricileri için EFF'nin mesajı, suçlamadan çok gerekli özenin çağrısına denk geliyor: bir SDK'yı entegre etmeden önce gerçek veri işleme belgelerini okumak, SDK'nın hangi veriyi nereye gönderdiğini doğrulamak için ağ trafiği analiz araçları kullanmak ve gömülü üçüncü taraf veri akışlarını, geliştiricinin kendi verilerini açıkladığı kadar şeffaf biçimde kullanıcılara açıklamak; çünkü mağaza politikası ve düzenleyiciler, geliştiricileri kendileri yazmasalar da gömülü kodun ne yaptığından giderek daha çok sorumlu tutuyor.

EFF'nin araştırmasının işaret ettiği daha geniş örüntü, uygulama izin sisteminin nasıl tasarlandığı -uygulama başına bir izin- ile modern uygulamaların gerçekte nasıl inşa edildiği arasındaki bir uyumsuzluk: birinci taraf kod ile kendi veri toplama iş teşvikleri olan üçüncü taraf bileşenlerin bir yamalı bütünü. Bu boşluğu kapatmak, hem daha iyi platform düzeyinde şeffaflık araçlarını hem de kullanıcı "izin ver"e dokunduktan sonra ne olduğu konusunda geliştiricileri ve SDK sağlayıcılarını hesap verebilir kılan sürekli dış araştırmayı gerektirecek gibi görünüyor.