Разработчики Apple подчиняются новым требованиям API, чтобы исключить сбор отпечатков пальцев пользователей

iOS 17 в настоящее время находится в стадии бета-тестирования и, как ожидается, будет доступна для широкой публики примерно через месяц, и когда это произойдет, разработчики Apple будут рассматривать новые ограничения на использование определенных API. Речь идет о API, которые потенциально могут быть использованы не по назначению для снятия отпечатков пальцев пользователей, что является распространенным обходом правил конфиденциальности Apple, регулирующих сбор данных для целевой рекламы.

Новые правила также будут применяться к новым версиям tvOS, VisionOS, watchOS и будущей операционной системы Mac Sonoma. Разработчики Apple, которые хотят использовать определенные API, должны будут предоставить объяснение, почему они необходимы для функционирования программы, и ограничить приложения использованием их только для этой заявленной функции.

Программа Apple «Прозрачность отслеживания приложений» (ATT) была полностью развернута с выпуском iOS 14.5 в середине 2021 года. Она требует от разработчиков раскрывать любой сбор личной информации для целевой рекламы и получать положительное согласие пользователя во время установки или обновления приложения. Если пользователи не дают согласия, разработчики приложений не получают доступа к уникальному идентификатору устройства, который облегчает персонализированную рекламу. Это оказало немедленное и существенное влияние на доходы от рекламы, и некоторые из менее щепетильных разработчиков Apple перешли на снятие отпечатков пальцев пользователей в качестве альтернативы (несмотря на то, что это также объявлено незаконным согласно правилам ATT).

Хотя снятие отпечатков пальцев пользователей не разрешено (и в случае обнаружения может привести к бану разработчиков Apple), оно, тем не менее, часто используется, поскольку его очень сложно обнаружить. Apple пытается решить проблему на уровне API с помощью своих новых требований. Разработчикам придется объяснять необходимость использования определенных категорий API, таких как активная клавиатура, дисковое пространство, временная метка файла, загрузка системы и пользовательские настройки по умолчанию. Все они обычно используются для сбора уникальных сигналов устройств, которые можно организовать в профиль, отслеживающий отдельных пользователей на разных веб-сайтах и ​​в приложениях.

Разработчикам Apple будет предоставлен льготный период примерно в шесть месяцев, чтобы указать причины использования любого из этих API в манифесте конфиденциальности приложения. Письма с напоминаниями начнут рассылаться разработчикам осенью, если приложение будет загружено без необходимых причин для затронутых API или если описание не будет добавлено в файл манифеста конфиденциальности. Новые правила вступят в силу весной 2024 года и могут привести к отклонению или исключению приложений из App Store, если они нарушаются.

Apple также позаботилась о том, чтобы отметить, что снятие отпечатков пальцев пользователей не становится законным, если пользователи соглашаются на отслеживание рекламы в приложении; любая учетная запись, участвующая в любом виде снятия отпечатков пальцев в любое время на устройстве Apple, будет подвергаться риску.

Хотя это изменение не гарантирует, что разработчики Apple прекратят использование отпечатков пальцев пользователей, оно, по крайней мере, предоставляет App Store еще один крайне необходимый инструмент контроля.

Столкнувшись с потенциальным ущербом для своих моделей доходов от рекламы из-за правил подписки ATT, некоторые разработчики Apple решили опробовать более скрытые формы снятия отпечатков пальцев пользователей. Одним из основных методов было спрятать методы снятия отпечатков пальцев в SDK, которые обмениваются данными между серверами, сохраняя их деятельность в «слепых зонах», о которых Apple не знает. В отчете о расследовании газеты Washington Post, опубликованном в конце 2021 года, был выявлен ряд популярных приложений, которые, судя по всему, занимаются снятием отпечатков пальцев пользователей, исходя из больших объемов данных, с которыми они «звонили домой», и некоторых конкретных данных, которые можно было идентифицировать. В отчете также отмечается, что Apple часто не реагирует на сторонних исследователей безопасности, которые выражают обеспокоенность по поводу данных, передаваемых некоторыми приложениями.

Уже есть опасения по поводу того, насколько жизнеспособной будет эта новая практика, поскольку она предполагает, что разработчики Apple сами точно сообщат, для чего используется API. Для проверки этого потребуется последующая полиция, и пока нет никаких подробностей о том, как это будет решено. Неспособность справиться с огромным количеством сторон, нарушающих правила, на сегодняшний день является одной из ключевых слабостей системы контроля за снятием отпечатков пальцев пользователей.