ซื้อกลับบ้านที่สำคัญ
- นักวิจัยด้านความปลอดภัยได้แสดงให้เห็นว่าทั้งแอพ Facebook และ Instagram บน iOS ใส่รหัสที่กำหนดเองในขณะที่เปิดลิงก์ในเบราว์เซอร์ในแอป
- รหัสนี้หลบเลี่ยงการปกป้องความเป็นส่วนตัวของ Apple และอาจใช้เพื่อติดตามคุณในเว็บไซต์บุคคลที่สามได้เช่นกัน
- ผู้เชี่ยวชาญด้านความปลอดภัยรายอื่นๆ แนะนำให้หลีกเลี่ยงการใช้เบราว์เซอร์ในแอพ และคาดหวังให้ Apple ทำตามขั้นตอนเพื่อแก้ไขการแก้ปัญหาชั่วคราวนี้
การวิจัยใหม่แสดงให้เห็นว่าแอปส่วนใหญ่ไม่ได้ใช้เว็บเบราว์เซอร์เริ่มต้นของสมาร์ทโฟนเพื่อเปิดลิงก์ ซึ่งอาจหลีกเลี่ยงคุณลักษณะด้านความปลอดภัยและความเป็นส่วนตัวของระบบปฏิบัติการ
นักวิจัยด้านความปลอดภัย Felix Krause ได้แสดงให้เห็นว่าแอพ Instagram และ Facebook ของ Meta บน iOS เพิ่มโค้ด JavaScript บางส่วนไปยังเว็บไซต์บุคคลที่สาม เมื่อคุณเยี่ยมชมเว็บไซต์เหล่านั้นโดยใช้เบราว์เซอร์ในแอพที่กำหนดเองของแอพ เบราว์เซอร์ในแอปช่วยให้ผู้คนเข้าชมเว็บไซต์ได้โดยไม่ต้องออกจากแอป โค้ดที่แทรกช่วยให้แอปติดตามการโต้ตอบทั้งหมดของคุณกับเว็บไซต์ภายนอก โดยข้ามฟีเจอร์ความโปร่งใสในการติดตามแอป (ATT) ของ iOS Apple เพิ่ม ATT โดยเฉพาะเพื่อบังคับให้นักพัฒนาแอปขอความยินยอมจากผู้คนก่อนที่จะติดตามข้อมูลที่สร้างโดยบุคคลที่สาม
"วิธีแก้ปัญหาของ Instagram ไม่น่าแปลกใจเลย" Lior Yaari ซีอีโอและผู้ร่วมก่อตั้ง Grip Security สตาร์ทอัพด้านการรักษาความปลอดภัยทางไซเบอร์กล่าวกับ Lifewire ทางอีเมล "ข้อจำกัดของ Apple คุกคามรูปแบบธุรกิจของบริษัท ดังนั้นจึงเป็นเรื่องของการปรับตัว [เพื่อ] อยู่รอด"
ตีจนเจ็บ
Meta ยอมรับอย่างเปิดเผยว่าฟีเจอร์ ATT ทำรายได้โฆษณาประมาณ 10 พันล้านดอลลาร์ต่อปี
ในระหว่างการค้นคว้า Krause พบว่าเมื่อผู้ใช้ iOS ของแอพ Facebook และ Instagram คลิกลิงก์ภายในเครือข่ายโซเชียลเหล่านี้ พวกเขาจะถูกเปิดในเบราว์เซอร์ในแอพ
อย่างน้อย ผู้คนไม่ควรใช้เบราว์เซอร์ในแอปเพื่อป้อนข้อมูลที่ละเอียดอ่อนหรือเป็นความลับ
เขาเตือนว่าโค้ด JavaScript แบบกำหนดเองที่เบราว์เซอร์ในแอปใส่เข้าไปช่วยให้ทั้งสองแอปสามารถติดตามทุกการโต้ตอบกับเว็บไซต์ภายนอก ซึ่งรวมถึงทุกสิ่งที่คุณพิมพ์ลงในกล่องข้อความ เช่น รหัสผ่านและที่อยู่
"ด้วยผู้ใช้ Instagram ที่ใช้งานอยู่ 1 พันล้านคน จำนวนข้อมูลที่ Instagram สามารถรวบรวมได้โดยการฉีดโค้ดติดตามลงในเว็บไซต์บุคคลที่สามทุกแห่งที่เปิดจากแอพ Instagram และ Facebook นั้นมีจำนวนมหาศาล" Krause เขียน
การค้นพบนี้ไม่น่าแปลกใจ George Gerchow หัวหน้าเจ้าหน้าที่รักษาความปลอดภัยและรองประธานอาวุโสฝ่ายไอทีที่ Sumo Logic
พูดคุยกับ Lifewire ทางอีเมล Gerchow กล่าวว่าเครือข่ายโซเชียลมีเดียมีปัญญาประดิษฐ์และอัลกอริธึมการเรียนรู้ของเครื่องที่ทรงพลังที่สุดในโลก ซึ่งเมื่อรวมกับความพยายามอันเป็นนิรันดร์ในการดึงดูดผู้คนให้อยู่บนแพลตฟอร์มของพวกเขา จะกลายเป็น อันตรายที่แท้จริง
"ฉันเชื่ออย่างยิ่งว่า Apple รู้เรื่องนี้แต่ไม่ต้องการเผยแพร่" Gerchow กล่าวพร้อมเสริมว่า "[Apple's] Safari ก็ไม่ใช่เบราว์เซอร์ที่ปลอดภัยที่สุดเช่นกัน"
เริ่มเกม
ในขณะที่ Krause ไม่สามารถตรวจสอบโค้ดเพื่อระบุเจตนาที่แท้จริงได้ เขาได้แสดงให้เห็นว่าแอปสามารถแก้ไขข้อจำกัด ATT ได้อย่างไร Yaari คิดว่าสิ่งนี้น่าจะทำให้ Apple ลุกขึ้น สังเกต และอาจใช้ข้อจำกัดเพิ่มเติมเพื่อจำกัดการติดตามผ่านเบราว์เซอร์ในแอป
"นี่คือจุดเริ่มต้นของเกมแมวและเมาส์ที่ทั้งสองบริษัทจะเล่น โดยผลลัพธ์ที่ได้คือการแตกสาขาของอุตสาหกรรมครั้งใหญ่" Yaari กล่าว
Tom Garrubba ผู้อำนวยการฝ่ายบริการจัดการความเสี่ยงบุคคลที่สามที่ Echelon Risk + Cyber เชื่อว่า Apple ได้ปรับปรุงภาพลักษณ์อย่างมากในการแก้ไขปัญหาความเป็นส่วนตัว ไม่ใช่แค่ในการรับรู้เท่านั้น แต่ยังดำเนินการผ่านการเข้ารหัสและการปรับใช้
"บางทีมันอาจจะใช้การฟ้องร้องแบบกลุ่ม, การประชาสัมพันธ์ที่ไม่ดี และ/หรือการปรับอย่างมากสำหรับการละเมิดความเป็นส่วนตัวเพื่อให้นักพัฒนาแอปพลิเคชันตื่นขึ้น [กับข้อเท็จจริง] ว่าพวกเขาจำเป็นต้องอบ 'ความเป็นส่วนตัวด้วยการออกแบบ' ในทุกด้านของการพัฒนาโค้ดและการส่งมอบบริการ" Garrubba บอกกับ Lifewire ทางอีเมล "ฉันคาดการณ์ว่าการที่เทคโนโลยียักษ์ใหญ่จะไม่ดำเนินการใดๆ จะนำสิ่งนี้ไปสู่การฟ้องร้องหรือโทษหนักที่รอเกิดขึ้น"
ในระหว่างนี้ เพื่อปกป้องความเป็นส่วนตัวของคุณ Krause แนะนำให้ออกจากเบราว์เซอร์ในแอพและเพียงแค่คัดลอกและวาง URL เพื่อเปิดในเบราว์เซอร์ภายนอกอื่น
"อย่างน้อย ผู้คนไม่ควรใช้เบราว์เซอร์ในแอปเพื่อป้อนข้อมูลที่ละเอียดอ่อนหรือเป็นความลับ" Yaari แนะนำ
อย่างไรก็ตาม ผู้เชี่ยวชาญของเรายอมรับว่า เป็นไปได้ยากที่หลายคนจะเปลี่ยนพฤติกรรมของพวกเขา เนื่องจากอาจทำให้ประสบการณ์ของผู้ใช้ไม่สะดวกมากขึ้น
"น่าเศร้า เนื่องจาก 99.9% ของมนุษย์ต้องทนทุกข์ทรมานจากความต้องการ 'ความพึงพอใจทันที' พวกเขาจะข้ามขั้นตอนนี้และเปิดมันในเบราว์เซอร์เริ่มต้นโดยตรง" Garrubba กล่าว "นี่คือสิ่งที่เทคโนโลยีรายใหญ่ต้องการอย่างชัดเจน และพวกเขามักจะได้รับข้อมูลที่ต้องการ"
