Akıllı telefonunuzdaki bir hava durumu uygulamasına ya da koşu parkurunuzu takip eden bir fitness uygulamasına konum erişimi izni verdiğinizde, aslında ne kadar geniş bir veri paylaşım zincirine dahil olduğunuzu muhtemelen bilmiyorsunuz. Electronic Frontier Foundation'ın (EFF) yeni bulgularına göre, pek çok Android uygulaması kullanıcıların konum verilerini yalnızca uygulamanın kendisiyle değil, uygulamanın içine gömülü üçüncü taraf yazılım geliştirme kitleri (SDK) aracılığıyla reklamcılar ve veri komisyoncularıyla da paylaşıyor. Dahası, bu paylaşımın çoğu zaman uygulama geliştiricinin bile haberi olmadan gerçekleşiyor.
SDK'lar Nedir ve Sorun Neden Kaynaklanıyor?
Yazılım geliştirme kitleri, yani SDK'lar, uygulama geliştiricilerin kendi uygulamalarına kolayca işlevsellik eklemek için kullandıkları hazır kod parçacıklarıdır. Reklam SDK'ları özellikle geliştiricilere uygulamalarını para kazanmanın bir yolu olarak sunulmaktadır. Ancak EFF'nin araştırması, bu SDK'ların kritik bir özelliğine dikkat çekiyor: Bir kullanıcı uygulamaya konum erişimi izni verdiğinde, uygulama içine gömülü SDK'lar da bu izni otomatik olarak devralıyor. Başka bir deyişle, SDK'lara özgü ayrı bir konum izni mekanizması bulunmuyor.
EFF'ye göre asıl sorun, bu veri toplama ayarının varsayılan olarak açık gelmesinde yatıyor. Geliştirici SDK'yı uygulamasına entegre ettiğinde, veri toplamayı devre dışı bırakmak için aktif bir adım atmazsa, SDK kullanıcının hassas konum verilerini toplamaya ve üçüncü taraflarla paylaşmaya başlıyor. EFF, pek çok geliştiricinin bu durumun farkında olmadığını ve kullanıcılarının konum verilerini üçüncü taraflarla varsayılan olarak paylaştıklarını bilmeyebileceklerini vurguluyor.
EFF Araştırmayı Nasıl Yürüttü?
EFF, testlerini uygulamaların ağ trafiğini analiz ederek gerçekleştirdi. Hangi servislerin kullanıcıların konum verilerini aldığını bu yöntemle tespit etti. EFF'de kıdemli teknik uzman olarak görev yapan Bill Budington, TechCrunch'a yaptığı açıklamada, inceledikleri SDK'ların daha geniş reklam ekosisteminin küçük bir bölümünü oluşturduğunu, ancak bu SDK'ların on binlerce uygulama üzerinden milyarlarca kullanıcıya ulaştığını iddia ettiğini belirtti. Bu rakamlar, söz konusu konum verisi toplamanın boyutları hakkında fikir vermesi açısından önemli.
Araştırma kapsamında EFF, sessiz sedasız kullanıcı konum verisi paylaşan Android uygulamaları tespit etti. Belirlenen uygulamalar arasında bugüne kadar toplam 60 milyon kez indirilen iki uygulama da yer alıyor.
Veriler Nereye Gidiyor?
Reklam SDK'ları aracılığıyla toplanan konum geçmişleri, veri komisyoncularına aktarılıyor. Bu komisyoncular söz konusu bilgileri paraya çeviriyor; veriler ise ordu, hükümetler ve FBI gibi istihbarat ajanslarına satılıyor. EFF'nin raporunda bu bilgi akışı açıkça belgeleniyor.
Bunun yanı sıra konum verileri, saldırıya uğrama ya da çalınma durumunda ciddi bir güvenlik ve gizlilik riski oluşturuyor. Bazı veri komisyoncularının bu tür siber saldırılara maruz kaldığı da biliniyor. Yani söz konusu risk yalnızca teorik değil; geçmişte yaşanan somut ihlaller bu tehlikenin gerçekliğini ortaya koyuyor.
İzin Vermek Onay Vermek Anlamına Gelmiyor
EFF'nin raporunun belki de en çarpıcı saptaması, kullanıcı izninin gerçek anlamda bir onay mekanizması işlevi görmediğine dair. Rapora göre uygulama düzeyindeki konum izinleri, üçüncü taraf reklam SDK'larının konum verisi toplaması ve paylaşması için anlamlı bir onay sinyali olamaz. Başka bir deyişle, kullanıcı yalnızca uygulamaya izin verdiğini düşünürken aslında çok daha geniş bir veri paylaşım zincirine onay vermiş oluyor; ancak bunu bilmiyor.
SDK'ları sunan şirketlerin ticari açıdan daha fazla veri toplamaya yönelme güdüsüne sahip olduğuna da dikkat çekilen raporda şu ifadeye yer veriliyor: "Reklam SDK'ları, kişisel verilerin paylaşılmasını varsayılan ayar haline getirmemeli; özellikle bir kişinin konumu kadar hassas veriler söz konusu olduğunda."
Geliştiricilere Çağrı: Gereksiz Veri Toplamayı Devre Dışı Bırakın
EFF'nin bu araştırmayı kamuoyuyla paylaşmasının temel amacı, uygulama geliştiricilerini uyarmak. Kuruluş, uygulama yapımcılarını mümkün olan her durumda gereksiz veri toplamayı devre dışı bırakmaya davet ediyor. SDK sağlayıcılarının ticari çıkarları doğrultusunda veri toplamayı varsayılan olarak açık tuttuğu bir ortamda, geliştiricilerin bu ayarları bilinçli biçimde gözden geçirmesi büyük önem taşıyor.
Sonuç olarak EFF'nin bulguları, akıllı telefon kullanıcılarının konum gizliliğine ilişkin daha geniş bir soruna ışık tutuyor. Kullanıcılar bir uygulamaya izin verirken aslında o uygulamanın içine gömülü onlarca farklı kod parçacığına da izin vermiş olabiliyor. Bu durum, hem kullanıcıların hem de geliştiricilerin SDK'ların veri toplama davranışları konusunda çok daha dikkatli olması gerektiğini gösteriyor.
Sıkça Sorulan Sorular
SDK nedir ve konum verisiyle ilişkisi nedir?
SDK (Yazılım Geliştirme Kiti), uygulama geliştiricilerin kendi uygulamalarına işlevsellik eklemek için kullandıkları hazır kod parçacıklarıdır. EFF'nin bulgularına göre, bir kullanıcı uygulamaya konum izni verdiğinde, uygulamanın içindeki SDK'lar da bu izni otomatik olarak devralıyor ve kullanıcının hassas konum verilerini toplayabiliyor.
Uygulama geliştiriciler bu veri paylaşımından haberdar mı?
EFF, pek çok geliştiricinin bu durumun farkında olmayabileceğini belirtiyor. Veri toplama ayarı SDK'larda varsayılan olarak açık geldiğinden, geliştirici bunu aktif biçimde kapatmazsa kullanıcı verileri üçüncü taraflarla paylaşılmaya başlıyor; ancak geliştirici bunun farkında olmayabilir.
Toplanan konum verileri kime satılıyor?
EFF'nin raporuna göre, reklam SDK'ları aracılığıyla toplanan konum geçmişleri veri komisyoncularına aktarılıyor. Bu komisyoncular verileri paraya çeviriyor ve FBI dahil ordu, hükümetler ile istihbarat ajanslarına satıyor.
EFF bu sorunu nasıl tespit etti?
EFF, testlerini uygulamaların ağ trafiğini analiz ederek gerçekleştirdi. Hangi servislerin kullanıcıların konum verilerini aldığını bu yöntemle belirledi. EFF'de kıdemli teknik uzman Bill Budington, incelenen SDK'ların on binlerce uygulama üzerinden milyarlarca kullanıcıya ulaştığını ifade etti.
Bu duruma karşı ne yapılabilir?
EFF, uygulama geliştiricilerini mümkün olan her durumda gereksiz veri toplamayı devre dışı bırakmaya çağırıyor. Kuruluş ayrıca reklam SDK'larının kişisel verilerin paylaşılmasını varsayılan ayar olarak sunmaması gerektiğini, özellikle konum gibi hassas veriler söz konusu olduğunda bu ilkenin daha da önem kazandığını vurguluyor.
