Gli sviluppatori Apple sono soggetti a nuovi requisiti API nel tentativo di eliminare il rilevamento delle impronte digitali degli utenti

iOS 17 è attualmente in versione beta e dovrebbe essere lanciato al pubblico tra circa un mese, e quando lo farà, gli sviluppatori Apple esamineranno nuove restrizioni sull'uso di determinate API. Le API in questione sono quelle che possono essere potenzialmente utilizzate in modo improprio per il rilevamento delle impronte digitali degli utenti, un'elusione comune delle norme sulla privacy di Apple che regolano la raccolta dei dati per la pubblicità mirata.

Le nuove regole si applicheranno anche alle nuove versioni di tvOS, visionOS, watchOS e al prossimo sistema operativo Mac Sonoma. Gli sviluppatori Apple che desiderano utilizzare determinate API dovranno presentare una spiegazione del motivo per cui sono necessarie per la funzione del programma e limitare le app a utilizzarle solo per quella funzione dichiarata.

Il programma "App Tracking Transparency" (ATT) di Apple è stato completamente implementato con il rilascio di iOS 14.5 a metà del 2021, richiedendo agli sviluppatori di divulgare qualsiasi raccolta di informazioni personali per pubblicità mirata e ottenere il consenso affermativo dell'utente durante l'installazione o gli aggiornamenti dell'app. Se gli utenti non aderiscono, gli sviluppatori di app non avranno accesso all'ID univoco del dispositivo che facilita la pubblicità personalizzata. Ciò ha avuto un impatto immediato e drammatico sulle entrate pubblicitarie e alcuni degli sviluppatori Apple meno scrupolosi sono passati al rilevamento delle impronte digitali degli utenti come alternativa (nonostante sia stato reso illegale dalle norme ATT).

Anche se l'impronta digitale dell'utente non è consentita (e può far bannare gli sviluppatori Apple se scoperti), viene tuttavia spesso utilizzata poiché può essere molto difficile da rilevare. Apple sta tentando di risolvere il problema a livello API con i suoi nuovi requisiti. Gli sviluppatori dovranno spiegare la necessità di utilizzare particolari categorie API come tastiera attiva, spazio su disco, timestamp del file, avvio del sistema e impostazioni predefinite dell'utente. Tutti questi sono comunemente utilizzati per raccogliere segnali di dispositivo univoci che possono essere organizzati in un profilo che traccia i singoli utenti su diversi siti Web e app.

Gli sviluppatori Apple avranno un periodo di grazia di circa sei mesi per dichiarare le ragioni per cui utilizzano una di queste API nel manifesto sulla privacy dell'app. Le email di promemoria inizieranno ad essere inviate agli sviluppatori in autunno se un'app viene caricata senza i motivi richiesti per le API interessate o se una descrizione non viene aggiunta al file manifest della privacy. Le nuove regole entreranno in vigore a partire dalla primavera del 2024 e potrebbero causare il rifiuto o la rimozione delle app dall’App Store in caso di violazione.

Apple si è inoltre impegnata a notare che l'impronta digitale dell'utente non diventa legale quando gli utenti accettano il monitoraggio degli annunci di un'app; qualsiasi account che effettui qualsiasi tipo di rilevamento delle impronte digitali in qualsiasi momento su un dispositivo Apple sarà a rischio.

Anche se il cambiamento non garantirà che gli sviluppatori Apple smettano di implementare il rilevamento delle impronte digitali degli utenti, fornisce almeno all’App Store un altro strumento di applicazione di cui ha assoluto bisogno.

Di fronte alla potenziale devastazione dei loro modelli di entrate pubblicitarie con le regole di adesione all’ATT, alcuni sviluppatori Apple hanno deciso di testare forme più segrete di rilevamento delle impronte digitali degli utenti. Uno dei metodi principali è stato quello di seppellire i metodi di rilevamento delle impronte digitali negli SDK che comunicano da server a server, mantenendo la loro attività in punti ciechi in cui Apple non ha visibilità. Un rapporto investigativo della fine del 2021 del Washington Post ha identificato una serie di app popolari che sembravano impegnarsi nel rilevamento delle impronte digitali degli utenti, sulla base delle grandi quantità di dati con cui stavano “telefonando a casa” e di alcuni punti dati specifici che potevano essere identificati. Il rapporto rileva inoltre che Apple spesso non risponde ai ricercatori di sicurezza esterni che sollevano preoccupazioni sui dati trasmessi da alcune app.

Ci sono già preoccupazioni su quanto sarà fattibile questa nuova pratica, poiché fa affidamento sugli sviluppatori Apple per segnalare in modo accurato per cosa viene utilizzata l’API. Sarà necessario un ulteriore controllo da parte della polizia e non sono ancora disponibili dettagli su come verrà gestita la situazione. La mancanza di capacità di tenere il passo con l’enorme quantità di soggetti che abusano delle regole è stata fino ad oggi uno dei principali punti deboli del sistema di applicazione delle impronte digitali degli utenti.