フランスの政府機関2社による新たな調査によると、携帯電話アプリは、必要と思われる範囲をはるかに超えてユーザーの個人情報にアクセスし、それをリモートサーバーに送信しているが、ユーザーにはそうしたアクセスを監視または制御するための適切なツールがないという。
フランス国立情報・自由委員会（CNIL）は、フランス国立情報処理制御研究所（INRIA）が開発した監視ソフトウェアと分析ツールを搭載した6台のiPhone上で、189個のアプリの挙動を調査した。CNILのイザベル・ファルク＝ピエロタン会長は火曜日の記者会見で、この調査の目的は、特定の開発者を非難することではなく、アプリが個人データをどのように利用しているかについての一般的な理解を深めることだと述べた。
CNILは実験室環境でアプリを研究するのではなく、現実世界の状況を想定したアプローチを採用しました。10月中旬から1月中旬にかけて、6人のボランティアに自分のSIMカードを携帯電話に挿入し、自分のSIMカードと同じように使ってもらいました。あるボランティアは100個近くのアプリをダウンロードし、別のボランティアはAppleがインストールしたアプリにわずか5個しか追加しませんでした。
アプリの12個に1個がアドレス帳にアクセスし、ほぼ3個に1個が位置情報にアクセスしました。調査期間中、ユーザーの位置情報は1日平均76回追跡されました。FoursquareとAppleのマップアプリが最も頻繁に位置情報を要求しました（これらのアプリの用途を考えると当然かもしれません）。AroundMeとAppleのカメラアプリがそれに続きました。
iPhone の名前は 6 つのアプリのうち 1 つからアクセスされていたが、研究者たちは、iPhone の名前はほとんど役に立たず、固有の識別子からは程遠いため不可解だと考えた。ただし、iPhone の名前にはユーザーの名前が含まれることが多いため、個人を特定できる情報とみなすこともできる。
Facebookのアプリは、どうやらそうした個人情報にアクセスしようとはほとんどしていなかったようだが、研究者らは、ユーザーがすでに多くの情報を提供しているため、アクセスする必要はないと述べている。
調査で最も多くアクセスされたデータは、iPhoneのユニバーサルデバイス識別子（UDID）でした。これは、特定の電話機に恒久的に関連付けられたシリアル番号です。アプリのほぼ半数がこのIDにアクセスし、そのうち3分の1のアプリが暗号化されていない状態でインターネット経由で送信していました。ある日刊紙のアプリは、調査期間中にUDIDに1,989回アクセスし、614回発行元に送信しました。
CNIL広報担当のステファン・プティコラ氏は、Appleが現在ユーザーに位置情報へのアクセス制御を許可しているのと同様に、アプリによるあらゆる種類の個人情報へのアクセスを制限する新しい設定ツールによって、ユーザーが制御を取り戻すことができる可能性を実演した。Appleはまだこのツールを確認していないが、INRIAは同社が興味を示してくれればコードの共有を検討するだろうと、研究チームのディレクターであるクロード・カステルッチア氏は述べた。
iPhoneアプリの購入者は、アプリがどのような情報や機能にアクセスするのかほとんど分かりません。Google Playストアでは、アプリがアクセスする情報や機能が表示されますが、その選択肢はすべて許可するか、許可しないかのどちらかです。BlackBerry OSの以前のバージョンでは、アプリがアクセスを許可するAPI（アプリケーション・プログラミング・インターフェース）をユーザーがより自由に選択できましたが、その分アプリの動作が不安定になるリスクがありました。しかし、BlackBerry 10では、このようなきめ細かな制御はネイティブアプリのみで利用可能です。Androidアプリの場合、選択肢は再び「許可する」か「許可しない」かのどちらかです。
Appleは、ユーザーにそのような制御権を与えるための小さな一歩を踏み出そうとしています。iOS 5では、個々のアプリによる位置情報へのアクセスをブロックできました。iOS 6では、Appleが開発者によるUDIDを使ったユーザー識別や広告ターゲティングから脱却させようとしているため、新たな選択肢が提供されます。
代わりに、Apple は開発者に iOS 6 で導入された広告識別子を使用するよう求めています。これは電話や人物に永続的に関連付けられるものではなく、追跡されたくないユーザーはいつでも好きなときに変更できます。ただし、よりわかりやすい [設定/プライバシー] ではなく、[設定/一般/情報/広告] を確認するようにしてください。
しかし、技術的な理由から iOS 5 を使用して実施された CNIL-INRIA の研究では、そのオプションは参加者には利用できませんでした。INRIA が監視アプリを新しいバージョンを使用するように更新したため、次の段階の研究は iOS 6 を使用する予定です。
アプリがどのように個人情報にアクセスするかを監視するため、INRIAはiPhoneを脱獄し、アプリが個人情報へのアクセスを要求する際に使用するApple APIを傍受する特別なアプリをインストールする必要があったと、INRIAの研究員ヴィンセント・ロカ氏は述べた。研究者らがiPhoneを選んだのは、iOS向けの開発経験があったためだ。現在、同様の機能を備えたAndroidスマートフォン向けアプリを開発中だが、インストールにはルート化が必要となる。
INRIAの監視アプリは、傍受したリクエストを、要求された個人情報と共に携帯電話のデータベースに記録し、送信ネットワークトラフィック内でリクエストを識別できるようにしました。iOS 5のアプリは暗号化されていないネットワークトラフィックのみを監視できましたが、iOS 6のバージョンではトラフィックが暗号化される前のネットワークAPIをフックできるようになったとロカ氏は述べています。
また、このアプリは傍受したリクエストを研究のために中央サーバーに転送していたが、被験者であってもプライバシーの権利があるため、関連する個人情報は転送されなかったと研究者らは強調した。
INRIAとCNILは、6台のiPhoneから収集したデータの分析を始めたばかりだ。そのデータは9ギガバイトあり、3か月間のプライバシーイベント700万件をカバーしている。
調査で既に明らかになったことの一つは、個人データへのアクセスの一部が偶発的なものであるという点だ。パリ市内の最も近いプール（市内には半径約5キロメートル以内に38か所ある）を特定するアプリは、機能の実行に必要な範囲をはるかに超える位置情報にアクセスしていた。これは明らかにプログラミングエラーによるものだと、CNILのプチコラス氏は述べた。
