Jak Facebook śledzi nas na urządzeniach z Androidem (Wideo)

prywatność
Tagi: #<Tag:0x00007f14a5201ca8>

#1

Prezentacja (EN)

Dwóch ludzi przejrzało przekręty FB w 2018, pracownicy Facebook’a ich nienawidzą (Czytaj niżej)

Mój tytuł v2:
Nie potrzebujesz konta na Facebooku a i tak Cię mają…

https://media.ccc.de/v/35c3-9941-how_facebook_tracks_you_on_android

Moje notatki z prezentacji

Jest to streszczenie po Polsku tego co widać na powyższym wideo plus dodałem trochę kontrowersyjnego tekstu od siebie.

Badacze Christopher Weatherhead i Frederike Kaltheuner zainteresowali się co tak naprawdę przesyłają darmowe aplikacje na Androida do swoich twórców oraz zewnętrznych firm z naszych urządzeń.

Nie posiłkowali się obietnicami od firm które dostarczały aplikacje oraz ich zapewnieniom że dbają o prywatność swoich użytkowników. Chcieli sprawdzić co dzieję się naprawdę, bazując na badaniach innych naukowców. Badania te nie były zbyt obiecujące jeśli patrzeć na ochronę naszych danych…

42,55%

Tyle procent darmowych aplikacji na Google Play może dzielić się informacjami z Facebookiem wedle badania z uniwersytetu Oxford:

Cel badania

Korzystając z tamtej publikacji twórcy badania zawęzili poszukiwania tylko do samych danych wysyłanych do FB.

Głównym celem nie była krytyka twórców aplikacji lecz sprawdzenie co robi Facebook SDK przez nich tak namiętnie załączany do aplikacji.

SDK to zestaw gotowych do użycia elementów używanych przez programistów. W tym wypadku np. umożliwia to bardzo łatwe dodanie logowania przez Facebooka czy udostępnianie postów bez przeklejania linków. Dodanie takiej funkcji samemu, bez SDK to często konieczność poświęcenia kilku tygodni czy miesięcy pracy, korzystają z SDK często czas skraca się do powiedzmy kilku dni czy godzin. Czas to pieniądz więc deweloperzy często korzystają z ułatwień.

Narzędzia użyte do badania

Christopher i Frederike użyli narzędzi które pozwalają podsłuchać ruch sieciowy między routerem a urządzeniem w sieci, w tym przypadku telefonem z Androidem.
Jest to atak tzw. Man in the middle dzięki któremu mogli zobaczyć co tak naprawdę jest wysyłane w świat z urządzenia oraz co do niego trafia z sieci.

Śledzone aplikacje nie wiedziały też że są śledzone, wyniki więc były maksymalnie miarodajne.

Użyta platforma testowa:

  • Telefon Nexus 5 z Android 8.1.0
  • Wirtualna maszyna z Debianem 10 Buster na VirtualBox
  • MitMProxy 4.0.4
  • hostapd - tworzenie punktu dostępowego Wi-Fi z karty sieciowej komputera
  • dnsmasq - serwer DNS / DHCP
  • karta sieciowa Wi-Fi oparta o czip RTL8812AU

61%

Tyle aplikacji przesyła dane do FB zaraz po włączeniu aplikacji czy tego chcemy czy nie.

Jako pierwszy został opisany przypadek aplikacji Kayak która zaraz po włączeniu pierwsze połączenie to meldunek do FB. Od uczestników kongresu było słychać masę oklasków poprzedzonymi salwami śmiechu gdy ujrzeli pierwszy ekran startowy tej aplikacji mówiący:

Nie martw się, nigdy nie wyślemy niczego bez twojej zgody!

:crazy_face:

FB wie kiedy instalujesz aplikacje, kiedy z nich korzystasz i co w nich robisz

Na przykładzie Vkontakte który wydaje się korzystać z domyślnych ustawień Facebook SDK, przy każdym włączeniu i wyłączeniu aplikacji, FB dostaje cynk z Twoim unikalnym identyfikatorem oraz

  • nazwą aplikacji
  • wersją systemu
  • modelem telefonu
  • strefą czasową
  • językiem

W przypadku twórców którzy dodali niestandardowe śledzeni było gorzej, gdyż do FB trafiały dużo bardziej szczegółowe dane.

Na przykładzie appki Kayak, FB otrzymywało informacje o każdym wyszukiwaniu połączenia którego dokonaliśmy:

  • start podróży
  • koniec podróży
  • lotnisko docelowe
  • cena
  • ilość dorosłych
  • ilość dzieci

Dla aplikacji religijnych, FB otrzymywał informacje który werset pisma świętego aktualnie czytasz.

Idąc dalej, niczym specjalnym nie było też wysyłanie:

  • rozdzielczości ekranu
  • czy telefon jest podłączony do ładowarki
  • poziom naładowania akumulatora
  • ilość pamięci RAM
  • ilość wolnej pamięci RAM
  • czy telefon jest zrootowany
  • pozycja telefonu w przestrzeni (dane z akcelerometru)
  • informację czy jest się dzieckiem (mimo że aplikacja nigdy o to nie pytała) :thinking:

Te wszystkie informacje są wysyłanie niezależnie od tego czy:

  • mamy konto na Facebook
  • czy go nie mamy
  • nie mamy i nie chcemy mieć

Dlaczego to ma znaczenie?

Tak dokładne informacje o tym z czego korzystamy, kiedy oraz w jaki sposób mogą służyć do stwierdzenia kim jesteśmy oraz co robimy. Unikalny identyfikator każdej z aplikacji może być łatwo połączony z każdą inną aplikacją na telefonie dając kompletny profil naszego zachowania w czasie rzeczywistym.
Prawdopodobnie my sami nie wiemy o nas tyle co oni wiedzą :sweat:

Pewne sfery naszego życia powinny zostać tylko dla nas, nie chcemy się nimi dzielić z innymi.
Czy tatuaże na naszym wirtualnym czole w stylu:

  • jest w ciąży, będzie chciała kupować rzeczy dla dziecka wiec pokażemy jej reklamę X
  • jest chory na X, sprzedajmy mu Y
  • ma mniej niż 18 lat, pokażmy mu reklamę X oraz że Y już tego używa, to młodzież więc pewnie kupi to co mają już jego znajomi

Czy to jest dla Was ok i tak powinno zostać?

2 000 000 000 +

Sprawdzane w badaniu aplikacje zostały zainstalowane przez użytkowników ponad 2 miliardy razy.
To masa ludzi a co za tym idzie danych które uzyskują od nas.
Te działania odbywają się na ogromną skalę.
Dane te nie tylko mówią co robiliśmy, co aktualnie teraz robimy, pomagają też przewidywać im co będziemy robić w przyszłości.

Wszystko po to aby wyświetlać reklamy czyli sprzedać Ci coś czego nie potrzebujesz.
A co jeśli i tak nie chcesz kupić gdy widzisz te reklamy?
Nie szkodzi, znajdą na to sposób i będą manipulować Twoimi emocjami aby kupować.

Ale przecież to nie jest możliwe, nie zrobili by czegoś takiego, gadasz bzdury, przecież Mark Cukierberg mówi że prywatność i dobro użytkowników FB jest dla nich najważniejsza!
Same teorie spiskowe, zero dowodów. Ha! Szach-mat Systemeusz.

No niestety zmartwię Was trochę, już ich przyłapali na czymś podobnym :slightly_frowning_face:
Eksperymentowali na nas, bez naszej wiedzy:

Wszystko po to aby ich hajs się zgadzał, nikt nie zapyta nas co jest dla nas dobre i czego chcemy.
To jest koszt darmowości Facebook’a.

Dlaczego aplikacja przesyła tyle danych od razu po włączeniu?

Są dobre i złe powody.
Głównie to statystyki dla twórców oraz szybkie logowanie się przez konto FB.
Wygląda też na to że świadomość twórców aplikacji dotycząca tematów prywatności jest niska i ignorowana.

Może warto to naprawić?

Niestety wygląda na to że przy domyślnych ustawieniach FB SDK nie jest zgodne z GDPR (RODO).
Powinna być od nas uzyskana zgoda jeszcze przed wysyłaniem danych, tymczasem dane wysyłane są od razu po starcie aplikacji więc nie ma jak zapytać użytkownika o zgodę :face_with_raised_eyebrow:

Badacze skontaktowali się z twórcami aplikacji o problemach z prywatnością które zauważyli.
Otrzymali bardzo różne odpowiedzi.
Jedne firmy nie wiedziały że to ma miejsce i obiecały to naprawić, inne nie do końca rozumiały o co chodzi i co robi SDK jeszcze inne miały spory problem z określeniem prawnym co się dzieje i kto za to odpowiada.

Najbardziej wzorową reakcją można pochwalić Skyscanner gdzie twórcy w ciągu trzech dni zgłosili swoją aplikację już jako naprawioną :clap:

Co robić, jak żyć?

Tu dość ciężko o dobre rozwiązania gdyż są dość skomplikowane technicznie.
Skuteczne narzędzie na Androidzie są dostępne tylko dla zrootowanych urządzeń czyli z uzyskaniem do nich pełnego dostępu co niestety najczęściej wiąże się z utratą gwarancji producenta i nie jest łatwe lub możliwe. Wszystko to zależy już od konkretnego modelu urządzenia.

Można zablokować adres graph.facebook.com korzystając z narzędzi typu AFWall+ czy NetGuard na Android.
W swojej domowej sieci warto też rozważyć użycie PiHole czyli rozwiązania opartego o komputer jednopłytkowy Raspberry Pi. To niestety też trochę kosztuje i wymaga odrobiny czasu do konfiguracji.

Warto też zamiast aplikacji FB zainstalować aplikację od innego producenta spełniającą podobną rolę np. Friendly z Google Play. Jeśli FB używamy tylko jako komunikatora może od biedy być też Messenger Lite.

Od widowni padło kilka ciekawych pytań, np:

Co by się stało gdybyśmy podmienili te nasze prywatne dane wysyłane do serwera na gigabajty losowego i bezwartościowego tekstu? Łykną to?

Czy próbowaliście podmieniać wysyłany na ich serwery niepowtarzalny identyfikator do nas przypisany na coś losowego aby zrobić sieczkę z danych?
Wtedy np. moje prawidłowe dane mogłyby zostać przypisane do zupełnie innej osoby dając im fałszywe dane co czyni je bezwartościowymi

Ale czy powinniśmy w ogóle to robić?

Chyba wszyscy zgodzimy się z faktem że taka sytuacja nie powinna w ogóle mieć miejsca.

Dlaczego mamy omijać śledzenie czyli “opt-out” skoro prawnie firmy muszą mieć od nas zgodę czyli musi to być “opt-in”?
W tym wypadku potrzebne są zmiany w prawie oraz bardziej skuteczne egzekwowanie nowych praw które to regulują czyli RODO.

Głównie potrzebny jest zdrowy rozsądek, tego nie można kupić w sklepie.


#2

Mówią też o tym na Z3S: