Опрез са дозволама за мобилне апликације

Када из продавнице апликација скидају нову игру или програм за четовање, корисници смартфона углавном без много размишљања притисну плочицу „прихватам”. На тај начин дају низ овлашћења власницима апликације, и упркос томе што све лепо пише на српском, ретко ко се удубљује у садржај овог документа.

Истраживачки тим Фондације „Шер” бавио се анализом дозвола које дајемо власницима апликација, а део резултата извештаја „Невидљиве инфраструктуре: дозволе на мобилним уређајима” представљен је јуче на дискусији „Мобилно, а безбедно у Србији”. Скуп је организовала фондација „Регистар националног интернет домена Србије” (РНИДС), у оквиру „Европског месеца сајбер-безбедности” који у октобру спроводи агенција ЕУ за безбедност мрежа и података.

Просечан број инсталираних апликација по андроид телефону је 95, а текст једне политике приватности у просеку има 2.518 речи. Иза компликованих правила стоји заправо прича о личним подацима који су постали нова монетарна јединица, наводи се у извештају. „Гугл” претрага, на пример, захтева дозволу да самостално извршава више од 40 операција на уређају.

– Пре него што инсталирате неку апликацију, погледајте која се овлашћења траже и размислите о пословном моделу компаније која вреди милијарде долара. Закључићете да ту постоји анализа понашања и података на основу којих се праве профили корисника и продају у маркетиншке сврхе – рекао је Владан Јолер, директор фондације „Шер”.

Проблем је и то што када купујемо телефон код оператера у њему су преинсталиране апликације за које корисник није претходно дао одобрење о прикупљању података. Поменуто је да су неки телефони садржали апликацију листа „Курир” која је имала овлашћења да чита осетљиве податке о позивима и другим активностима корисника.

Ако желе да виде која су овлашћења већ дали, корисници могу да инсталирају апликацију „ОWАSP Seraphimdroid”, али да се спреме на непријатна изненађења, рекао је Драган Плескоњић, стручњак за безбедност информација компаније ИГТ.

Као посебан проблем је поменуто чување метаподатака код оператера мобилне телефоније (позиви, трајање разговора, локација) којима државни органи могу да приступе уз судски налог, али и преко посебних софтвера којима су неки оператери олакшали приступ службама. На то је у свом извештају указао и повереник за заштиту података, наводећи пример једног оператера чијим су базама службе приступале више од 200.000 пута иако је постојало само 6.000 налога суда. Ово није проблем само за кориснике смартфона, јер метаподатке генеришу и уређаји старије генерације.

Јанез Крижан, стручњак за безбедност словеначког „Си мобила”, који припада истој групацији као „Вип”, посведочио је да су прописи у Словенији много строжи за легално пресретање.

Од мера које сами корисници могу да предузму ради безбедности података, Крижан је препоручио да се не искључује ПИН код за откључавање СИМ картице и да се користи бар неки облик закључавања уређаја, а да то не буде 1111. Приликом инсталирања апликација треба се руководити здравим разумом, а то значи да треба бити сумњичав према апликацијама које траже шире дозволе од онога што је неопходно за њихово функционисање. Нема логике да обичан снимач звука тражи приступ локацији и садржини снимака, каже Крижан, мада признаје да нису сви корисници довољно образовани и вољни да се упусте у овакву аналитику. Решење види у обуци корисника са више страна.

– Они који продају мобилне телефоне требало би да обезбеде минималну литературу како да се безбедно користе мобилни уређаји, што ми већ радимо. Имамо и часове за старије, где их учимо и како да користе апликације. Други део приче је да држава треба да има програм обуке – закључује представник словеначког мобилног оператера.

Шта траже апликације

Читај ес-ем-ес: Ово одобрење омогућава апликацијама приступ порукама и као такво представља озбиљно угрожавање приватности.

Искључи позадинске процесе: Прилично рискантно овлашћење ако се користи за онеспособљавање антивируса или сличних апликација. 

Прави телефонске позиве: Ово дозвољава апликацији да позива телефонске бројеве о трошку корисника, иако се најчешће не користи на тај начин. Апликација може да активира позивни екран и да упише број, али је потребно да корисник притисне дугме за позив

Шаљи ес-ем-ес или ем-ем-ес: Ово омогућава апликацији да шаље ес-ем-ес или ем-ем-ес поруке у име корисника, такође о његовом трошку.