The TCF doesn't really A(A)ID -- Automatic Privacy Analysis and Legal Compliance of TCF-based Android Applications
تقدم هذه الورقة أول تحليل منهجي لإطار الشفافية والموافقة (TCF) في تطبيقات أندرويد، كاشفةً أن أكثر من 12% من التطبيقات الشهيرة تطبقه، وأن أغلبية كبيرة تنتهك لوائح الخصوصية عبر مشاركة بيانات المستخدم دون أساس قانوني أو موافقة مسبقة.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تدخل سوقاً رقمياً ضخماً يعج بالحركة (متجر جوجل بلاي) مليئاً بآلاف التطبيقات. تريد تحميل لعبة أو أداة، ولكن قبل أن تتمكن من استخدامها، يوقفك حارس بوابة ويقول: "مهلاً! نحتاج أن نعرف ما إذا كنت موافقاً على أن نراقب كل تحركاتك لنعرض لك الإعلانات".
هذا الحارس يسمى إطار الشفافية والموافقة (TCF). ومن المفترض أن يكون بمثابة "ورقة إذن" موحدة تستخدمها التطبيقات لطلب إذنك لتتبعك، مما يضمن التزامها بقوانين الخصوصية الأوروبية (GDPR).
قرر الباحثون في هذه الورقة لعب دور المحقق. أرادوا معرفة ما إذا كانت "أوراق الإذن" هذه يتم احترامها بالفعل، أم أن التطبيقات كانت تتظاهر بطلب الإذن بينما تتجسس سراً على الجميع على أي حال.
إليك ما وجدوه، مقسماً إلى قصص وتشبيهات بسيطة:
1. "الحارس" موجود في كل مكان (ولكنه في الغالب شخص واحد)
قام الباحثون بتحميل ما يقرب من 4,500 من أكثر التطبيقات شعبية. ووجدوا أن حوالي 13% منها كانت تستخدم نظام إذن TCF هذا. هذا عدد كبير! الأمر يشبه دخولك إلى مركز تجاري ورؤية حارس أمن واحد من بين كل 8 متاجر يطلب بطاقة الهوية.
ومع ذلك، هناك خدعة. ما يقرب من 90% من هؤلاء "الحراس" كانوا في الواقع نفس الشخص: جوجل.
- التشبيه: تخيل مركزاً تجارياً يُفترض أن يقوم أصحاب المتاجر فيه بتوظيف حراس أمن خاصين بهم لسؤال الزبائن عن إذنهم. ولكن بدلاً من ذلك، يقوم 9 من كل 10 متاجر بتوظيف مالك المركز التجاري (جوجل) للقيام بذلك. هذا يمنح جوجل قوة هائلة لتقرير كيف تُكتب القواعد وكيف تُنفذ.
2. لافتات "الأسئلة المخادعة"
اختبر الباحثون التطبيقات عبر قول "لا" لكل شيء. أرادوا معرفة ما إذا كان التطبيق سيتوقف فعلياً عن تتبعهم.
- التطبيق "المُلحّ": وجدوا 15 تطبيقاً تشبه البائع المتجول الملحّ. إذا قلت "لا"، يتجاهل التطبيق اختيارك، ويغلق الباب، ثم يطرق عليه فوراً في المرة التالية التي تفتح فيها التطبيق، سائلاً: "لا، حقاً، هل تريد أن تسمح لنا بتتبعك؟" مراراً وتكراراً. هذا "نمط مظلم" مصمم لإزعاجك حتى تستسلم وتقول "نعم" فقط لتجعله يتوقف.
- تطبيق "الـ لا المزيفة": سمحت بعض التطبيقات لك بالنقر على "لا"، لكنها لم تحفظ هذا الخيار فعلياً. كان الأمر يشبه ملء استمارة تضع فيها علامة "لا أريد ملفات تعريف الارتباط"، لكن الخادم (Server) يقوم ببساطة بحذف إجابتك ويتظاهر بأنك لم تقل شيئاً على الإطلاق.
3. "الكاميرا السرية" (الـ AAID)
كل هاتف أندرويد لديه رقم تعريف فريد يسمى AAID (معرف إعلانات جوجل). فكر في هذا كبصمة رقمية يستخدمها المعلنون لبناء ملف تعريفي عنك (مثلاً: "هذا الشخص يحب البيتزا ويشتري الأحذية أيام الثلاثاء").
راقب الباحثون حركة مرور التطبيقات مثل جواسيس يستخدمون المناظير. ووجدوا أمرين صادمين:
- التسلل "قبل أن تقول نعم": حتى بينما كانت لافتة الإذن لا تزال معروضة على الشاشة (قبل أن تنقر على أي شيء)، كان 55% من التطبيقات يرسلون بالفعل بصمتك الرقمية إلى المعلنين. إنه يشبه متجراً يسلم رقم بطاقتك الائتمانية لشخص غريب قبل أن توافق حتى على شراء أي شيء.
- التسلل "تجاهل الـ لا": حتى بعد أن نقرت صراحةً على "لا، لا تتتبعني"، قام 66% من التطبيقات بالاستمرار في إرسال بصمتك الرقمية إلى المعلنين.
- التشبيه: الأمر يشبه دخولك إلى متجر، وإخبار الموظف: "لا أريد أن يتم مراقبتي"، فيقوم الموظف فوراً بتشغيل كاميرا مخفية ويبدأ في الهمس بأسرارك لرجل في الغرفة الخلفية.
4. الجناة "اللاعبون"
من هم أسوأ المخالفين؟ ألعاب الفيديو.
- التشبيه: إذا كانت التطبيقات فصلاً دراسياً، فإن "فصل الألعاب" هو الفصل الذي من المرجح أن يغش فيه الطلاب أكثر من غيرهم. كانت الألعاب هي الأكثر عرضة لتجاهل كلمة "لا" الخاصة بك وإرسال بياناتك على أي حال. وهذا أمر مقلق لأن جزءاً كبيراً من اللاعبين هم من الأطفال والمراهقين، الذين يُفترض توفير حماية إضافية لهم.
5. فخ "الإعدادات الافتراضية السيئة"
لاحظ الباحثون أن نماذج الإذن (اللافتات) غالباً ما تكون معدة لخداعك.
- التشبيه: تخيل بوفيه حيث قسم "الطعام الصحي" مغلق خلف سياج عالٍ، بينما قسم "الأكل غير الصحي" مفتوح على مصراعيه مع لافتة تقول "مجاني!". كان زر "لا" غالباً ما يكون مخفياً، أو باهتاً، أو يتطلب منك النقر عبر ثلاثة قوائم إضافية، بينما كان زر "نعم" كبيراً، ومشرقاً، وأمامك مباشرة. هذا يسمى "نمطاً مظلماً" أو "إعداداً افتراضياً سيئاً". إنه يعتمد على كونك كسولاً أو مرتبكاً لكي لا تغير الإعدادات.
الخلاصة الكبرى
خلص الباحثون إلى أن نظام TCF، الذي كان من المفترض أن يكون "الحارس" لخصوصيتك، معطل حالياً.
- إنه لا يعمل: معظم التطبيقات لا تتبع القواعد.
- إنه منحاز: تسيطر جوجل على النظام بالكامل تقريباً، مما يخلق تضارباً في المصالح (فهي الحكم واللاعب في آن واحد).
- إنه نظام "صدقني": في الوقت الحالي، يعتمد النظام على "قول الحقيقة" من قبل التطبيقات حول ما إذا كانت تتتبعك أم لا. ولكن كما تظهر هذه الدراسة، فإنهم يكذبون.
باخت-اختصار: تقول الورقة البحثية إن مجرد طلب التطبيق لإذنك لا يعني أنه يحترم إجابتك. إذا قلت "لا"، فإن التطبيق غالباً ما يقول "حسناً، رائع"، ثم يقوم فوراً بما أخبرته ألا يفعله بالضبط. النظام يحتاج إلى إصلاح شامل ليتمكن فعلياً من حماية المستخدمين.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.