System operacyjny Android stosuje tzw. sandboxing – izolację aplikacji, która ma ograniczać wymianę danych między różnymi programami. Jednak badacze odkryli, że Meta i Yandex znaleźli sposób na obejście tych zabezpieczeń poprzez wykorzystanie komunikacji przez localhost, wewnętrzny port sieciowy urządzenia.
Kluczową rolę odgrywały tu Meta Pixel i Yandex Metrica, skrypty śledzące obecne na milionach stron WWW na całym świecie. Po załadowaniu się w przeglądarce mobilnej, skrypty te nawiązywały połączenie z natywnymi aplikacjami (takimi jak Facebook, Instagram czy Yandex Maps) nasłuchującymi na określonych portach localhost.
W ten sposób aplikacje mogły odbierać dane z przeglądarki, ciasteczka, identyfikatory przeglądarki, Android Advertising ID (AAID), i łączyć je z kontem użytkownika zalogowanego w aplikacji. Efekt był taki, że nawet jeśli użytkownik korzystał z trybu incognito, regularnie czyścił ciasteczka lub używał VPN-a, firmy nadal mogły śledzić jego aktywność na wszystkich stronach z zainstalowanymi trackerami.
To odkrycie ma fundamentalne znaczenie dla bezpieczeństwa cyfrowego z dwóch powodów. Po pierwsze, pokazuje, że nawet zaawansowane narzędzia prywatności mogą być bezużyteczne wobec kreatywnych obejść na poziomie systemu operacyjnego. Po drugie, ujawnia, jak łatwo można powiązać pozornie “anonimowe” przeglądanie z realną tożsamością, gdy aplikacje mają szerokie uprawnienia systemowe. To sygnał ostrzegawczy dla wszystkich, którzy ufają standardowym zabezpieczeniom Androida. Wychodzi na to, że system wymaga głębokich zmian architektonicznych, by skutecznie chronić użytkowników przed podobnymi nadużyciami.
Po ujawnieniu sprawy Meta podjęła natychmiastowe działania. Wstrzymała funkcjonowanie kontrowersyjnego mechanizmu i usunęła większość kodu odpowiedzialnego za przekazywanie danych przez localhost. Jednak eksperci podkreślają, że to jedynie tymczasowe rozwiązanie. Google oraz Mozilla prowadzą obecnie własne śledztwa i zapowiadają wprowadzenie zmian w polityce oraz technicznych zabezpieczeniach przeglądarek. Przedstawiciele Google oficjalnie stwierdzili, że takie zachowanie narusza zasady Google Play Store i podstawowe oczekiwania prywatności użytkowników Androida. Badacze ostrzegają jednak, że obecne poprawki mają charakter kosmetyczny. Niewielkie zmiany w kodzie mogą pozwolić na obejście nowych zabezpieczeń, dopóki Android nie ograniczy uprawnień do komunikacji przez localhost na poziomie całego systemu operacyjnego.
Czytaj też: Jak bardzo możemy ufać technologii w tych czasach? Google pokazał, że nie za bardzo
W obecnej sytuacji użytkownicy mają ograniczone możliwości ochrony. Jedynym pewnym sposobem na uniknięcie tego typu śledzenia jest całkowite odinstalowanie aplikacji Meta i Yandex z urządzenia. Umówmy się, że to jednak rozwiązanie, które nie każdy jest gotów przyjąć. Alternatywą może być korzystanie z przeglądarek takich jak Brave czy DuckDuckGo, które już wcześniej blokowały część tej komunikacji. Niestety, nie są one domyślnym wyborem większości użytkowników Androida, którzy najczęściej korzystają z Chrome’a. Sprawa dobitnie pokazuje, jak bardzo potrzebne są systemowe zmiany w architekturze Androida. Bez głębokich reform na poziomie uprawnień aplikacji i komunikacji międzyprocesowej, podobne nadużycia będą się powtarzać, a użytkownicy pozostaną bezbronni wobec coraz bardziej wyrafinowanych metod śledzenia.