In questo articolo Indice dei contenuti 2 sezioni
I software pubblicitari nascosti dentro le app che usiamo ogni giorno potrebbero spedire la nostra posizione geografica a chiunque, ben oltre i confini dell’applicazione che stiamo utilizzando. Chi apre un’app meteo, un navigatore o qualsiasi servizio legato al luogo in cui si trova difficilmente immagina che quei dati stiano viaggiando altrove. Eppure un report dell’Electronic Frontier Foundation, la nota EFF, mette nero su bianco un fenomeno che riguarda alcune delle app più diffuse e apparentemente sopra ogni sospetto.
C’è però una precisazione doverosa. Non si parla per forza di comportamenti malevoli architettati a tavolino da chi sviluppa le app. Il vero responsabile, stando all’indagine, è spesso un elemento invisibile, ossia i software pubblicitari di terze parti che finiscono integrati dentro le applicazioni quasi senza che nessuno ci faccia troppo caso.
Come funziona il meccanismo degli SDK
Per capire come stanno le cose bisogna partire da una pratica diffusissima nello sviluppo, cioè l’uso dei cosiddetti SDK, sigla che sta per software development kit. Sono pacchetti di codice già pronti che gli sviluppatori inseriscono nelle proprie app per aggiungere funzioni senza doverle scrivere da zero, risparmiando tempo e denaro. Comodo, senza dubbio.
Tra i più utilizzati ci sono proprio quelli dedicati alla pubblicità, strumenti che permettono di mostrare annunci agli utenti e, allo stesso tempo, danno a chi sviluppa gli strumenti per monitorare le campagne e monetizzare. Praticamente qualsiasi app che mostra pubblicità si appoggia a soluzioni di questo tipo.
Il punto dolente arriva qui. Secondo l’EFF, numerosi SDK pubblicitari sono stati beccati mentre raccoglievano e condividevano la posizione precisa degli utenti. E con chi finiscono questi dati? Con un’intera rete di aziende pubblicitarie e con i sistemi che alimentano i cosiddetti data broker, ovvero le società specializzate nel tracciare le persone attraverso le loro informazioni.
Non è un rischio campato in aria. In passato, dati sulla posizione ottenuti proprio dall’industria pubblicitaria sono stati usati per rintracciare personale militare statunitense, per indagini dell’agenzia federale ICE e perfino per strumenti di spionaggio. Un precedente che rende tutto più inquietante.
Un solo permesso, troppe mani a usarlo
Il nocciolo della vicenda sta nel modo in cui funzionano i permessi sulle app. Una volta concesso l’accesso alla posizione, quel dato non resta confinato all’uso per cui era stato autorizzato. Prendiamo un’app meteo. Si concede l’accesso alla posizione precisa per avere previsioni accurate sulla propria zona. Sembra una transazione pulita tra utente e app, ma dentro quello scambio si infila silenziosamente una terza parte invisibile.
La stessa posizione precisa viene condivisa anche con gli SDK di terze parti integrati nell’applicazione, quasi sempre senza che l’utente ne abbia la minima idea. È qui che i confini dei permessi diventano labili. Si autorizza la condivisione per ottenere una funzione utile e finisce che è il software incorporato a raccogliere quei dati, spesso solo per una disattenzione di chi ha costruito l’app.
Qualche margine per intervenire, comunque, esiste. Gli sviluppatori possono agire concretamente per evitare la raccolta indiscriminata dei dati di localizzazione. Prima di integrare un SDK nella propria app è possibile esaminarne le impostazioni e disattivare le funzioni di raccolta non strettamente necessarie.
Il guaio è che queste impostazioni non saltano subito all’occhio e richiedono una ricerca attiva da parte di chi sviluppa. Ed è proprio questa mancanza di trasparenza il fulcro del problema. Gli sviluppatori che non analizzano a fondo gli SDK finiscono, senza volerlo, per aprire le porte alla raccolta e alla diffusione di dati sensibili come la posizione geografica.
