Sikkerhedsforsker: Ny privacy-assistent kan sikre os mod overvågning fra apps

Det er rigtig svært at gardere sig mod overvågning fra apps - og dermed udlevering af lokations- og opkaldsdata til reklameformål. Men ny machine learning baseret 'assistent' kan være del af løsningen.

Det er meget svært for smartphone-brugere at vide, hvordan data fra deres apps – f.eks. GPS-data, opkaldsdata og telefonkontakter – bliver brugt af app-selskaberne. Derfor skyldes, at det for de fleste brugere er praktisk talt umuligt at sætte sig ind i de mange apps forskellige privacy-indstillinger.

Det fastslår Mads Schaarup Andersen, der er Security Architect og ph.d. på Alexandra Instituttet i Aarhus.

»Som smartphone-bruger giver man en masse information til app-udbyderen, hvilket du måske ikke har lyst til – simpelthen fordi det for brugeren er svært at finde ud af, hvad man har givet samtykke til. Og det kan betyde, at data ryger videre til et af de store net-reklamefirmaer, som dermed bruger data på din gøren og laden f.eks. til at målrette reklameindhold til dig,« siger Mads Schaarup Andersen til Version2.

Hvis man vil vide, om ens data bliver anvendt imod ens interesser, kræver det, at man læser hver eneste privacy policy igennem.

»Der er bare ingen, der gør. Fordi vi ofte taler om 10 siders dokumenter,« tilføjer sikkerhedsspecialister.

Emnet er oppe i tiden. I går kunne Version2 fortælle om Tim Berners-Lee - manden bag WWW - der også er i gang med at komme med løsninger på det forhold, at når vi bruger en app, hvor vi skaber noget data, så ligger det hos en udbyder, hvor vi har meget begrænset kontrol over det.

Læs også: Ny app-model fra Tim Berners-Lee skal give brugerne kontrol over deres data

Ny it-assistent kan sikre ny kontrol over data

Der er måske hjælp at hente i form af et nyt amerikansk forskningsprojekt, som viser, at en kombination af maskinlæring og en personlig assistent på mobilen kan lære vores privacy-præferencer eller profil så godt at kende, at dem kan hjælpe med at håndtere samtykkeerklæringerne ved at anbefale, hvordan vi skal forholde os til det.

Det har tidligere været påvist, at det er teoretisk muligt at forudsige, hvordan en brugers privatlivsprofil typisk ser ud.

Ved at stille en række spørgsmål og køre de indsamlede data igennem en maskinlæringsalgoritme kan man forudsige mange af de personlige indstillinger, som en bruger ønsker at bruge.

Det har bare ikke være operationaliseret.

Men det nye studie (og her) fra Mobile Commerce Lab på Carnegie Mellon University i Pittsburgh, der har specialiseret sig i brugerorienteret privacy, har testet prototypen på en Personalized Privacy Assistant (PPA) på en gruppe Android-brugerne, og her var resultatet, at brugerne fulgte 78,7 procent af de anbefalinger, som assistenten kom med.

Pointen med assistenten er, at der ikke skal gå lang til, før man kommer frem til nogle privacy-indstillinger, man som bruger er tilfreds med, i forhold til hvis man selv skal forholde sig til hver enkelt indstilling.

»Det fleste kan overskue det, hvis det drejer sig om få applikationer, men har man 50 applikationer på sin telefon med i gennemsnit tre indstillinger, så bliver det hurtigt uoverskueligt med 150 separate indstillinger, der skal tages stilling til. Ideen med projektet er derfor at hjælpe brugerne med at træffe nogle fornuftige valg. Den samme teknologi, som man bruger til ‘targeted ads’ eller reklamer på nettet, kan man bruge til at lave profiler, der rammer dit privacy-mønster,« forklarer Mads Schaarup Andersen, der gennem et legat fra Carlsbergfondet har deltaget i forskningsprojektet på Carnegie Mellon University.

I dag beskæftiger han sig med den menneskelige del af sikkerhed og privacy i it.

Machine learning bidrager til profiler

I projektet har de brugt maskinlæring til at lave privacy-profiler. Det har de gjort ved at samle data ind om, hvordan folk satte deres privacy-indstillinger, når de blev ‘nudged’ eller skubbet til at forholde sig til det.

Det foregik ved at stille et spørgsmål om dagen i en uge som: 'Vidste du, at disse apps har tilgået din lokation 340 gange i den sidste uge, og at nogle af disse apps har brugt din lokation til targeted advertising?', hvorefter brugeren havde mulighed for at gå ind og revidere sine indstillinger.

De indsamlede data bliver kørt igennem maskinlæringsalgoritme, som så kom frem til syv forskellige profiler privacy-præferencer.

Man kan selvfølgelig ikke ramme den enkeltes privacy-præference eller profil 100 procent, fordi det er en semiautomatiseret løsning. Men der er en rimelig høj sikkerhed for, at personen passer meget godt i den udformede profil, siger Mads Schaarup Andersen.

De parametre, som profilen regulerer på ud fra ens præferencer, er f.eks. tilladelse til at anvende opkaldshistorik, kontaktliste, lokation, kamera, mikrofon og beskeder.

I dag virker assistenten således, at den stiller dig 2-5 spørgsmål og placerer dig i en profil og på den baggrund foreslår ændringer til de apps, som man har installeret på din telefon.

I fremtiden er det tanken, at assistenten kan gå ind og komme med anbefalinger til brugeren om, hvordan han eller hun skal indstille nye apps' privacy-indstillinger, og at man løbende har en mere dynamisk interaktion med assistenten hvis man f.eks. skulle flytte sig fra en profil til en anden.

»Det vigtigste pointe er, at der er brug for noget assisterende til at hjælpe folk med at sætte de her ting op. Og her kan en Personalized Privacy Assistent med ret høj præcision gøre det,« forklarer han.

»Og det er værd at bemærke, at rigtig mange apps som default åbner for adgang til alle data, der genereres i telefonen. I fremtiden kunne man godt ønske sig, at lovgivningen krævede det modsatte: at brugeren skulle slå dataadgangen aktivt til,« siger han.

Forskeren mener altså, at det er vigtigt, at dårlig privacy-håndtering ikke bare bliver brugernes problem, og at man bare siger, at de skal sætte sig mere ind i systemerne. Man skal lave nogle privacy- og sikkerhedsløsninger, som brugerne kan forstå.

»Google bevæger sig med deres nye Android-version også over i en permission-model, hvor man går væk fra, at man enten accepterer, alle permissions eller også installerer man simpelthen ikke appen.«

Den nye model er at det fremover bliver legitimt, f.eks. ikke at give adgang til kontaktlisten. Det er en model, der har eksisteret på Apples iOS i et stykke tid.

»Det er et skridt i den rigtige retning, men der er et stykke igen, da forskningen også viser, at brugere har svært ved at forholde sig til en permission, når denne ikke er koblet op på et formål. Der er altså stor forskel på, hvor nemt det er at tage stilling til, om en app må bruge din lokation, eller om en app må bruge din lokation til advertising,« forklarer han.

På sigt vil app-privacy-assistenter måske kunne gå videre og ikke alene komme med anbefalinger til privacy-indstillinger, men også selv gå ind og rette appen til, så den passer til ens profil.

Artiklen 'Follow My Recommendations: A Personalized Privacy Assistant for Mobile App Permissions' modtog IAPP SOUPS Privacy Award på konferencen Symposium On Usable Privacy and Security, som blev holdt i Denver, Colorado, i slutningen af juni.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (1)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Log ind eller Opret konto for at kommentere