Se c’è una lezione che possiamo trarre dalla bagarre che sta montando attorno all’app cinese TikTok – da alcuni mesi nel mirino dell’amministrazione Usa, accusata di essere una minaccia per la sicurezza nazionale, di fare arrivare dati in Cina (anche il social smentisce) – è che tutti dovremmo fare attenzione ai dati che cediamo alle app che scarichiamo e alle componenti dei nostri dispositivi – rubrica, galleria, posizione, microfono – a cui forniamo consensualmente accesso. A prescindere dalla nazionalità dell’azienda che fornisce il servizio.
Come minimizzare i dati utilizzati da app
C’è da dire che l’utente medio “non ci pensa due volte” a dare alle app in suo possesso l’accesso permanente alle informazioni disponibili sul proprio dispositivo. Quindi il dibattito su TikTok ricorda che è necessario stare attenti ai dati che si condividono con tutte le app – siano esse di un’azienda americana (es. Facebook) o cinese – prendendo al contempo l’abitudine di negare le loro richieste d’accesso ai propri dati personali.
Veniamo ora all’atto pratico, ossia a come provvedere concretamente alla minimizzazione dei dati personali utilizzati dalle APP e dai dispositivi.
È risaputo da chiunque che quando si apre un’APP appena installata sul dispositivo compare un pannello di notifiche che chiedono il “permesso” di accedere a determinate componenti del dispositivo. Ne sono un esempio l’autorizzazione per l’accesso a sensori e dati come la fotocamera, la galleria (dove sono presenti foto e video), la posizione GPS e la rubrica.
Gps e altre domande da farsi
In questo caso è utile porsi quantomeno queste domande:
- Quest’app ha bisogno di accedere ai dati presenti nel dispositivo, ovvero ad uno o più sensori, per funzionare correttamente?
- L’app in questione ha bisogno dell’accesso ai sensori e/o ai dati per tutto il tempo o solo temporaneamente?
- L’azienda che sta dietro a quest’app è affidabile?
A volte ha perfettamente senso concedere l’accesso ad uno o più sensori nonché ai dati personali. Un’app come Google Maps, per esempio, ha bisogno di conoscere la posizione dell’utente in modo da poter comprendere dove si trovi e procedere a dare indicazioni stradali puntuali.
Tuttavia, in altri casi la necessità è meno chiara.
GasBuddy, un’app che aiuta a trovare le stazioni di servizio vicine con i prezzi più bassi, chiede il permesso di conoscere la posizione precisa dell’utente. Quest’ultimo potrebbe concedere all’app l’accesso alla sua posizione precisa, oppure… potrebbe limitarsi ad inserire il codice di avviamento postale della città o del luogo che gli interessa, in modo da concedere all’app informazioni molto meno precise sulla propria posizione. Se si pensa che da un’indagine del 2018 del New York Times venne fuori che GasBuddy compariva tra alcune decine di APP che condividevano i dati di localizzazione degli utenti con soggetti terzi… si fa subito a scegliere tra le due diverse soluzioni.
Poi c’è la questione dell’app che chiede l’accesso permanente ai dati e ai sensori, con una possibilità perpetua di accedere ad esempio alle informazioni circa la posizione GPS, la galleria, il Bluetooth e quant’altro, anche se non si sta utilizzando affatto l’app. Tra queste, TikTok chiede di default l’accesso permanente a fotocamera e microfono del dispositivo.
Ma a cosa serve una tale autorizzazione se, per esempio, l’utente è mero “spettatore” di video di cucina o di sport? Chiaramente è sempre presente la possibilità di revocare tali autorizzazioni dal dispositivo (senza inficiare l’utilizzo dell’APP), ma non è intuitivo e alla portata di tutti. Anche se concedere tali autorizzazioni rende la vita “più facile”, può valere la pena sopportare qualche fastidio se non ci si fida appieno dell’azienda.
Sinan Eren di Fyde utilizza il servizio di messaggistica WhatsApp di proprietà di Facebook, pur dichiarando alla stampa di non fidarsi più di tale azienda dopo una serie di situazioni che hanno interessato i dati personali di molti utenti. Quindi, per evitare di condividere la sua rubrica con Facebook, ha aggiunto manualmente i suoi contatti a WhatsApp.
L’app tracking, come limitarla: Fyde e altre app
Molte app “estraggono” costantemente informazioni dai dispositivi, come ad esempio il modello del telefono e la versione del sistema operativo mobile che utilizza, condividendo al contempo questi dati con soggetti terzi. Gli operatori di marketing che hanno accesso a queste informazioni possono quindi creare un profilo sull’utente e indirizzarlo verso determinati annunci pubblicitari. Tale pratica prende il nome di “app Tracking”. Per limitare questa raccolta di dati “invisibili”, è consigliabile utilizzare i cosiddetti “tracker blocker”. Ad esempio, l’app Fyde, che è gratuita per i dispositivi iOS e Android, blocca automaticamente tali tracker. Mentre Disconnect offre anche app come Privacy Pro e Disconnect Premium, per iPhone e i dispositivi Android. Tuttavia Fyde – stando ai test del New York Times – pur essendo costantemente in funzione, consuma meno batteria rispetto alle APP “dell’universo” Disconnect. Apple ha affermato che in iOS 14, alle app sarebbe richiesto di chiedere agli utenti il permesso di eseguire il tracking.
Inoltre, è necessario un ultimo passo, meno tecnico: informarsi e rimanere informati. Se ci si chiede come un’azienda riesca a offrire e sponsorizzare l’utilizzo della sua APP, è necessario fare qualche ricerca sul suo business. Esaminare il suo sito web e inviare le domande all’azienda è cruciale per avere una comprensione di base di ciò che accade con i dati, nonché quali passi fare per ridurre al minimo la condivisione di tali dati. Se si tratta di un’app gratuita che si basa sugli annunci quali “fonti economiche”, di solito si può presumere che i dati dell’utente siano parte della “transazione”. Basta solo tenere a mente che si è dinanzi ad un “prelievo” di dati continuo, “goccia a goccia” nel corso dei giorni, dei mesi e degli anni. “Ed una volta che il cavallo è uscito dalla stalla, è difficile riportarlo dentro”.[1]
Buone notizie in arrivo da Apple e Google
In conclusione per fortuna ci sono “buone notizie” per gli utenti desiderosi di una protezione di default contro app spione.
Apple e Google stanno rendendo più facile ridurre la quantità di dati che vengono condivisi con le app. Ad esempio, nella prossima versione del sistema operativo mobile di Apple, iOS 14, che uscirà quest’autunno, le app che faranno richiesta della posizione GPS offriranno la possibilità di condividere solo una posizione approssimativa. Questo potrebbe essere utile se si sta cercando un ristorante su Yelp e non si vuole condividere la propria posizione “precisa”.
La nuova versione di iOS chiederà a tutti gli utenti, dopo l’update, se acconsentano al tracking pubblicitario delle app. C’è da scommettersi che molti diranno di no (alcuni di questi forse mai si erano posti il problema), con il risultato che le aziende avranno meno dati su di noi e la pubblicità sarà meno personalizzata.
Google invece ha dichiarato che in Android 11, il suo prossimo sistema operativo mobile che uscirà entro la fine di quest’anno, le APP che richiedono la posizione dovranno presentare agli utenti la scelta di concedere l’accesso solo una volta, il che impedirebbe la condivisione costante della posizione. Cosa che Apple offre già da circa un anno. Google ha anche affermato che se una qualsiasi app non venisse utilizzata per un lungo periodo dopo aver ottenuto l’accesso ai sensori e ai dati, Android 11 la reimposterebbe obbligandola a chiedere nuovamente l’autorizzazione all’accesso a dati e/o sensori.
Usa vs TikTok: esperti divisi
Com’è ormai risaputo, da alcuni mesi il popolare social network cinese TikTok è nel mirino dell’amministrazione Trump: il presidente USA ha affermato di voler vietare all’app cinese di operare negli Stati Uniti. Ma gli esperti di sicurezza sono alquanto esitanti nel trarre facili conclusioni. Anche se non vi sono prove dirette che TikTok abbia fatto qualcosa di illecito con i dati personali dei cittadini statunitensi (ma anche di altri paesi), condividere le informazioni con la società cinese potrebbe essere fondamentalmente meno sicuro in quanto il governo di Pechino potrebbe facilmente “intercettarle” e utilizzarle per più finalità.
Il New York Times, che ha condotto un’indagine sul tema, ha chiesto a due aziende USA di sicurezza informatica (anche per il mondo mobile) di esaminare l’app di TikTok e scoprire quale “campana” abbia ragione. I risultati sono stati diversi.
Da un lato abbiamo la società di sicurezza informatica di San Francisco Disconnect, che ha analizzato il codice dell’app per Ios (Apple). A luglio, il codice conteneva riferimenti ai server in Cina. Nella terza settimana di agosto Disconnect ha esaminato l’ultima versione dell’app e ha visto che le linee di codice che si riferiscono ai server cinesi erano state rimosse. Patrick Jackson, il Chief Technology Officer di Disconnect, ha dichiarato che, pur non essendo stato testimone di alcuna trasmissione di dati da parte dell’app ai server cinesi, ha ritenuto sospetta l’esistenza e la successiva rimozione del codice.
Dall’altro lato abbiamo Fyde. La società di Palo Alto (California), capitanata dal CEO Sinan Eren, si è detta non allarmata dai riferimenti ai server in Cina. Infatti, a detta di Eren, molte app hanno motivi legittimi per fare affidamento su alcuni server cinesi, come nel caso in cui – in presenza di clienti asiatici – nasca la necessità di trasmettere i video in streaming in modo rapido ed economico. Inoltre, chiosa Eren, non è realistico che qualcuno dica che non userà mai server cinesi.
La risposta di TikTok
Tuttavia, la risposta della società cinese non si è fatta attendere. TikTok ha affermato che il codice scoperto da Disconnect era obsoleto, provvedendo al contempo ad aggiornare la sua app come parte di un continuo sforzo per eliminare le funzionalità inutilizzate.
Inoltre, la società di Pechino ha dichiarato di non aver condiviso dati con il governo cinese. Aggiungendo che, qualora quest’ultimo chiedesse qualcosa di questo tipo, non verrebbe “soddisfatto” in tal senso. All’incirca due settimane fa, dopo che il New York Times contattò TikTok a proposito del codice “sospetto”, TikTok pubblicava un post sul blog intitolato “Providing peace of mind“, affermando che stava lavorando per ripulire il codice inattivo nell’app, riducendo al contempo tutti i potenziali rischi annessi e connessi. Che il codice di TikTok stesse o meno facendo qualcosa di illecito non è ben chiaro.
*************************************************************************************************
- The Lesson We’re Learning From TikTok? It’s All About Our Data. The New York Times. https://www.nytimes.com/2020/08/26/technology/personaltech/tiktok-data-apps.html ↑
