تحقیقات نشان می‌دهد چگونه اعلان‌های فشاری آیفون اطلاعات کاربر را درز می‌کند

محقق امنیتی تامی مایسک این را نشان داده است آیفون اعلان های فشاری توسط برنامه های محبوب برای ارسال مخفیانه داده های مربوط به کاربر استفاده می شود.

در یک ویدیوی جدید که این تمرین را تشریح می‌کند، Mysk نشان داد که چگونه برخی از برنامه‌های iOS از ویژگی معرفی‌شده در iOS 10 استفاده می‌کنند که به برنامه‌ها اجازه می‌دهد اعلان‌های فشار را سفارشی کنند. این ویژگی که در ابتدا برای فعال کردن برنامه‌ها برای غنی‌سازی اعلان‌ها با محتوای اضافی یا رمزگشایی پیام‌های رمزگذاری‌شده در نظر گرفته شده بود، ظاهراً توسط برخی از توسعه‌دهندگان برای فعالیت‌های مخفیانه‌تر تغییر کاربری داده شده است. بر اساس یافته‌های Mysk، برنامه‌های مختلف محبوب، از جمله TikTok، Facebook، Twitter، LinkedIn و Bing، از زمان اجرای پس‌زمینه کوتاهی که برای سفارشی‌سازی اعلان‌ها برای ارسال اطلاعات تحلیلی اعطا شده است، استفاده می‌کنند.

این عمل به ویژه نگران کننده است زیرا محدودیت های معمول اعمال شده توسط iOS در فعالیت های برنامه های پس زمینه را دور می زند. اپل برای محافظت از حریم خصوصی کاربر و اطمینان از عملکرد بهینه دستگاه، همیشه کنترل دقیقی بر برنامه های در حال اجرا در پس زمینه داشته است. با این حال، به نظر می رسد که ویژگی push notification به طور ناخواسته یک درب پشتی برای برنامه ها برای انتقال داده های پس زمینه ایجاد کرده است.

نوع داده ارسالی شامل سیگنال های دستگاه منحصر به فردی است که می تواند برای انگشت نگاری و ردیابی کاربران در برنامه های مختلف استفاده شود. اثر انگشت روشی برای جمع آوری اطلاعات خاص در مورد یک دستگاه، مانند تنظیمات سخت افزاری و نرم افزاری آن، برای ایجاد یک شناسه منحصر به فرد برای کاربر است. سپس می توان از این شناسه برای ردیابی فعالیت های کاربر در برنامه های مختلف استفاده کرد، که سپس می تواند برای فعالیت های مختلف مانند تبلیغات هدفمند استفاده شود.

اپل اجازه انگشت نگاری را نمی دهد و به زودی از توسعه دهندگان می خواهد که به صراحت دلیل نیاز برنامه هایشان به API هایی را که اغلب برای اثر انگشت استفاده می شوند، اعلام کنند. این حرکت در راستای تلاش‌های اپل برای تقویت حریم خصوصی کاربران است، مانند معرفی شفاف‌سازی ردیابی برنامه در iOS 14.5، که برنامه‌ها را ملزم می‌کند تا قبل از ردیابی فعالیت‌های خود در برنامه‌ها و وب‌سایت‌های شرکت‌های دیگر، مجوز کاربر را دریافت کنند.