The TCF doesn't really A(A)ID -- Automatic Privacy Analysis and Legal Compliance of TCF-based Android Applications
यह शोध पत्र एंड्रॉइड अनुप्रयोगों में ट्रांसपेरेंसी एंड कंसेंट फ्रेमवर्क (TCF) का पहला व्यवस्थित विश्लेषण प्रस्तुत करता है, जिससे यह पता चलता है कि 12% से अधिक लोकप्रिय ऐप्स इसे लागू करते हैं और एक महत्वपूर्ण बहुमत बिना किसी कानूनी आधार या पूर्व सहमति के उपयोगकर्ता डेटा साझा करके गोपनीयता नियमों का उल्लंघन करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आप एक विशाल, हलचल भरे डिजिटल बाज़ार (गूगल प्ले स्टोर) में कदम रखते हैं जो हज़ारों ऐप्स से भरा हुआ है। आप एक गेम या टूल डाउनलोड करना चाहते हैं, लेकिन इससे पहले कि आप उनका उपयोग कर सकें, एक बाउंसर आपको रोकता है और कहता है, "ठहरिए! हमें यह जानने की ज़रूरत है कि क्या आप इस बात से सहमत हैं कि हम विज्ञापन दिखाने के लिए आपकी हर हरकत पर नज़र रखें।"
इस बाउंसर को TCF (ट्रांसपेरेंसी एंड कंसेंट फ्रेमवर्क) कहा जाता है। यह एक मानकीकृत "अनुमति पत्र" (permission slip) की तरह है जिसका उपयोग ऐप्स आपको ट्रैक करने के लिए आपकी अनुमति माँगने के लिए करते हैं, ताकि यह सुनिश्चित हो सके कि वे यूरोपीय गोपनीयता कानूनों (GDPR) का पालन कर रहे हैं।
इस शोध पत्र के शोधकर्ताओं ने एक जासूस खेलने का निर्णय लिया। वे देखना चाहते थे कि क्या ये "अनुमति पत्र" वास्तव में मान्य किए जा रहे थे या ऐप्स केवल अनुमति माँगने का ढोंग कर रहे थे जबकि वे वास्तव में गुप्त रूप से सभी की जासूसी कर रहे थे।
यहाँ उन्होंने जो पाया है, उसे सरल कहानियों और उपमाओं में तोड़कर बताया गया है:
1. "बाउंसर" हर जगह है (लेकिन मुख्य रूप से एक ही व्यक्ति है)
शोधकर्ताओं ने लगभग 4,500 सबसे लोकप्रिय ऐप्स डाउनलोड किए। उन्होंने पाया कि उनमें से लगभग 13% इस TCF अनुमति प्रणाली का उपयोग कर रहे थे। यह बहुत है! यह एक मॉल में जाने जैसा है जहाँ आप देखते हैं कि हर 8 में से 1 दुकान में एक सुरक्षा गार्ड आईडी माँग रहा है।
हालाँकि, एक पेंच है। लगभग 90% ये "बाउंसर" वास्तव में एक ही व्यक्ति थे: गूगल।
- उपमा: कल्पना कीजिए कि एक मॉल है जहाँ दुकान के मालिकों को ग्राहकों से अनुमति माँगने के लिए अपने स्वयं के सुरक्षा गार्ड नियुक्त करने चाहिए। लेकिन इसके बजाय, 10 में से 9 दुकानें मॉल के मालिक (गूगल) को यह काम करने के लिए काम पर रखती हैं। यह गूगल को यह तय करने में भारी शक्ति देता है कि नियम कैसे लिखे और लागू किए जाएंगे।
2. "धोखा देने वाले सवाल" वाले बैनर
शोधकर्ताओं ने ऐप्स का परीक्षण करने के लिए "सब कुछ नहीं" (No) कहा। वे यह देखना चाहते थे कि क्या ऐप वास्तव में उन्हें ट्रैक करना बंद कर देगा।
- "ज़िद करने वाला" ऐप: उन्होंने 15 ऐसे ऐप्स पाए जो एक ज़बरदस्ती करने वाले सेल्समैन की तरह थे। यदि आपने "नहीं" कहा, तो ऐप आपके चुनाव को अनदेखा कर देता, दरवाज़ा बंद कर देता, और फिर अगली बार जब भी आप ऐप खोलते, तो तुरंत फिर से दरवाज़ा खटखटाता और पूछता, "नहीं, सच में, क्या आप हमें ट्रैक करने देना चाहते हैं?" वह बार-बार ऐसा करता था। यह एक "डार्क पैटर्न" है जिसे आपको परेशान करके आपसे "हाँ" कहलवाने के लिए डिज़ाइन किया गया है ताकि आप बस इसे रोकने के लिए "हाँ" कह दें।
- "नकली नहीं" वाला ऐप: कुछ ऐप्स में आप "नहीं" पर क्लिक कर सकते हैं, लेकिन वे उस चुनाव को वास्तव में सहेजते (save) नहीं थे। यह एक फॉर्म भरने जैसा था जहाँ आप चेक करते हैं कि "मैं कुकीज़ नहीं चाहता," लेकिन सर्वर बस आपके उत्तर को हटा देता है और ऐसा नाटक करता है जैसे आपने कभी कुछ कहा ही नहीं।
3. "गुप्त कैमरा" (AAID)
प्रत्येक एंड्रॉइड फोन में एक विशिष्ट आईडी नंबर होता है जिसे AAID (गूगल एडवरटाइजिंग आईडी) कहा जाता है। इसे एक डिजिटल फिंगरप्रिंट समझें जिसका उपयोग विज्ञापनदाता आपकी प्रोफ़ाइल बनाने के लिए करते हैं (जैसे, "इस व्यक्ति को पिज्जा पसंद है और वह मंगलवार को जूते खरीदता है")।
शोधकर्ताओं ने दूरबीन लेकर ऐप्स के ट्रैफ़िक को देखा। उन्होंने दो चौंकाने वाली चीजें पाईं:
- "हाँ कहने से पहले" की चोरी: जब अनुमति बैनर अभी भी स्क्रीन पर था (इससे पहले कि आपने कुछ भी क्लिक किया हो), तब भी 55% ऐप्स पहले से ही आपकी डिजिटल फिंगरप्रिंट विज्ञापनदाताओं को भेज रहे थे। यह एक दुकान द्वारा कुछ भी खरीदने के लिए सहमति देने से पहले ही आपका क्रेडिट कार्ड नंबर किसी अजनबी को सौंपने जैसा है।
- "नहीं को अनदेखा करने" वाली चोरी: यहाँ तक कि जब आपने स्पष्ट रूप से क्लिक किया, "नहीं, मुझे ट्रैक न करें," तब भी 66% ऐप्स ने अभी भी आपकी डिजिटल फिंगरप्रिंट विज्ञापनदाताओं को भेजी।
- उपमा: यह एक दुकान में जाने, क्लर्क से यह कहने जैसा है, "मैं नहीं चाहता कि मुझे देखा जाए," और क्लर्क तुरंत एक छिपा हुआ कैमरा चालू कर देता है और कमरे के पीछे बैठे एक आदमी को आपके रहस्य बताना शुरू कर देता है।
4. "गेमिंग" के दोषी
सबसे बुरे अपराधी कौन थे? वीडियो गेम्स।
- उपमा: यदि ऐप्स एक स्कूल थे, तो "गेमिंग" क्लास वह क्लास थी जहाँ छात्र नकल करने की सबसे अधिक संभावना रखते थे। गेम्स आपके "नहीं" को अनदेखा करने और आपका डेटा फिर भी भेजने के लिए सबसे अधिक संदिग्ध थे। यह चिंताजनक है क्योंकि गेमर्स का एक बड़ा हिस्सा बच्चे और किशोर हैं, जिन्हें अतिरिक्त सुरक्षा मिलनी चाहिए।
5. "बुरे डिफॉल्ट" का जाल
शोधकर्ताओं ने देखा कि अनुमति फॉर्म (बैनर) अक्सर आपको फँसाने के लिए सेट किए गए थे।
- उपमा: कल्पना कीजिए कि एक बुफे है जहाँ "स्वस्थ भोजन" वाला हिस्सा एक ऊँची बाड़ के पीछे लॉक है, लेकिन "जंक फूड" वाला हिस्सा पूरी तरह खुला है और उस पर एक साइन लगा है कि "मुफ्त!" "नहीं" बटन अक्सर छिपा हुआ, धूसर (grayed out) था, या इसके लिए आपको तीन अतिरिक्त मेनू के माध्यम से क्लिक करना पड़ता था, जबकि "हाँ" बटन बड़ा, चमकीला और ठीक आपके सामने था। इसे "बुरा डिफॉल्ट" कहा जाता है। यह इस बात पर निर्भर करता है कि आप सेटिंग्स बदलने के लिए बहुत आलसी या भ्रमित हो जाएं।
बड़ा निष्कर्ष
शोधकर्ताओं ने निष्कर्ष निकाला कि TCF प्रणाली, जिसे आपकी गोपनीयता का "रक्षक" होना चाहिए था, वर्तमान में टूटी हुई है।
- यह काम नहीं कर रहा है: अधिकांश ऐप्स नियमों का पालन नहीं कर रहे हैं।
- यह पक्षपाती है: गूगल लगभग पूरे सिस्टम को नियंत्रित करता है, जिससे हितों का टकराव पैदा होता है (वे रेफरी भी हैं और खिलाड़ी भी)।
- यह एक "भरोसा करो" प्रणाली है: वर्तमान में, प्रणाली इस बात पर निर्भर करती है कि ऐप्स यह "सच बोलें" कि वे आपको ट्रैक कर रहे हैं या नहीं। लेकिन जैसा कि यह अध्ययन दिखाता है, वे झूठ बोल रहे हैं।
संक्षेप में: शोध पत्र कहता है कि सिर्फ इसलिए कि कोई ऐप आपकी अनुमति माँगता है, इसका मतलब यह नहीं है कि वह आपके उत्तर का सम्मान करता है। यदि आप "नहीं" कहते हैं, तो ऐप अक्सर कहता है, "ठीक है, बढ़िया," और फिर तुरंत वही करता है जो आपने उसे करने से मना किया था। उपयोगकर्ताओं की वास्तविक सुरक्षा के लिए इस प्रणाली में बड़े बदलाव की आवश्यकता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।