इन-ऐप विज्ञापनों के ज़रिए लोकेशन ट्रैकिंग: मेरी लोकेशन सबको पता है

• App Store और Google Play पर मिले 2000 से अधिक ऐप्स में ऐसे संकेत मिले कि वे यूज़र की सहमति के बिना लोकेशन जानकारी इकट्ठा कर रहे थे
• इस लेख के लेखक ने यह प्रयोग किया कि क्या वह यह लोकेशन डेटा खुद खरीदकर अपनी ही ट्रैकिंग कर सकता है
• निष्कर्ष में यह सामने आया कि IP address और लोकेशन जानकारी कई जगहों पर लीक होती है, और ad protocol (जैसे OpenRTB) के माध्यम से भारी मात्रा में यूज़र डेटा इधर-उधर जाता है
• लेकिन वास्तव में डेटा खरीदने के लिए दसियों हज़ार से लेकर लाखों डॉलर तक की लागत लगती है, और यूरोप के यूज़र्स का डेटा खास तौर पर अधिक महंगा है
• इसके बावजूद, यह फिर से पुष्टि हुई कि इसे लगभग कहीं से भी खरीदा जा सकता है

शुरुआत

• प्रयोग के लिए iPhone 11 को factory reset करके एक नए Apple ID के साथ सेट किया गया
• network traffic का विश्लेषण करने के लिए Charles Proxy और SSL certificate इंस्टॉल किए गए ताकि HTTPS requests को decrypt किया जा सके
• उदाहरण ऐप के रूप में “Stack” नाम का एक साधारण गेम चुना गया, और उसे चलाते ही बहुत कम अंतराल पर विज्ञापन और analytics से जुड़े कई requests उत्पन्न होने लगे

अनुरोधों की बाढ़

• ऐप शुरू करने के सिर्फ 1 मिनट के भीतर बहुत बड़ी संख्या में network requests दिखाई दीं
• हर request में लोकेशन जानकारी, IP address, ad identifier, device details जैसी तरह-तरह की जानकारी शामिल थी
• एक-एक करके देखने पर यह साफ हुआ कि यूज़र की सहमति न होने पर भी संवेदनशील जानकारी कई जगह भेजी जा रही थी

Unity [ads]

• अगर ऐप में Unity Ads SDK शामिल हो, तो यह लोकेशन जानकारी और IP address समेत कई तरह की जानकारी Unity servers को भेजता है
• “ifv” (ID For Vendor) नाम का identifier, Wi-Fi से जुड़े होने पर लोकेशन जानकारी (longitude·latitude), timestamp आदि इकट्ठा किए जाते हैं
• जब Unity, Moloco Ads जैसे DSP प्रदाताओं से जुड़ता है, तब ad bidding प्रक्रिया के दौरान यह जानकारी third party तक भी पहुँच जाती है

Facebook क्यों सामने आता है?

• Meta या Facebook से जुड़ा कोई भी ऐप इंस्टॉल न होने के बावजूद, इन-ऐप ad communication की प्रक्रिया में Facebook को IP address और timestamp भेजे जाते हैं
• अगर Facebook किसी दूसरे रास्ते से उसी IP का उपयोग करने वाले account की पहचान कर ले, तो इसे यूज़र की Meta services usage history के साथ जोड़ने की संभावना काफी बढ़ जाती है
• यह बात यूज़र को पहले से ठीक से बताई भी नहीं जाती, और व्यवहार में किसी वास्तविक consent process का अभाव रहता है

स्क्रीन की brightness क्यों चाहिए?

• Unity Ads, screen brightness, battery status, memory capacity, headset connection जैसी device state information माँगता है
• चिंता यह है कि ऐसी जानकारी का दुरुपयोग personalized ads और dynamic pricing offers के लिए किया जा सकता है
• जैसे यह अफवाह रही है कि Uber battery status के आधार पर किराया समायोजित करता है, वैसे तकनीकी रूप से ऐसी संभावना खुली हुई है

ID को समझना

• ifv (ID for Vendor) एक ऐसा identifier है जो app developer के स्तर पर दिया जाता है
• advertisingTrackingId (IDFA) ऐसा identifier है जो कई ऐप्स में एक ही यूज़र को ट्रैक करने की सुविधा देता है
• अगर tracking को reject किया जाए, तो IDFA “0000…” के रूप में जारी होता है, लेकिन IP और कई अन्य IDs फिर भी भेजे जाते रहते हैं, इसलिए व्यवहार में bypass tracking संभव रहती है

tracking की अनुमति से क्या फर्क पड़ता है?

• ad tracking को “allow” किया जाए या “deny”, लोकेशन, IP और browser information जैसी चीज़ें फिर भी भेजी जाती रहती हैं
• बस IDFA दिखाई नहीं देता, लेकिन दूसरे identifiers इतने अधिक होते हैं कि उसी यूज़र की पहचान किए जाने की पर्याप्त गुंजाइश बनी रहती है
• Facebook जैसे platforms में IP के आधार पर यूज़र की अप्रत्यक्ष पहचान करने की क्षमता होती है

डेटा कैसे बहता है?

• ऐप → Unity [ads] → Molocoads → advertiser (Bwin आदि) के क्रम में डेटा आगे भेजा जाता है
• Unity जैसे SSP (Supply-Side Platform) ऐप के अंदर के SDK से डेटा इकट्ठा करते हैं, और DSP (Demand-Side Platform) Molocoads उसी के आधार पर ad bidding करता है
• data brokerage की इस प्रक्रिया में advertisers के अलावा भी बहुत से brokers लोकेशन जानकारी और device information हासिल कर सकते हैं

डेटा ब्रोकर

• Datarade और Databricks जैसे बाज़ारों में MAID (ad ID) आधारित यूज़र लोकेशन जानकारी का व्यापार होता है
• Redmob जैसी कंपनियाँ real-time location data (5 सेकंड के भीतर update होने वाला) भी बेचती हैं
• AGR Marketing Solutions जैसी कंपनियाँ MAID को वास्तविक PII (personally identifiable information) से match करके नाम, पता, फोन नंबर जैसी जानकारी वाले datasets भी बेचती हैं

खुद को ट्रैक करना

• ऐप इंस्टॉल करके रोज़मर्रा के उपयोग के दौरान लोकेशन जानकारी को इकट्ठा होने दिया जाता है
• IP + लोकेशन + ad ID डेटा विज्ञापन कंपनियों या brokers के पास पहुँच जाता है
• इसके बाद MAID <> PII dataset खरीदकर अपने IDFA या IP के आधार पर वास्तविक पहचान संबंधी जानकारी को जोड़ा जा सकता है
• नतीजतन, यूज़र खुद अपनी लोकेशन डेटा को खरीदकर और जोड़कर अपनी ही ट्रैकिंग कर सकता है

निष्कर्ष

• दुनिया भर के ad ecosystem में होने वाला data trade, हर चरण को अलग-अलग देखें तो कानूनी लग सकता है, लेकिन पूरी तस्वीर में यह गंभीर privacy violation बन जाता है
• हाल के Gravy Analytics जैसे बड़े data leak incidents के बाद इस समस्या पर फिर से ध्यान गया है
• ad tracking को बंद कर देने से भी पूरी सुरक्षा की गारंटी नहीं मिलती
• ऐप इस्तेमाल करते समय यूज़र के लिए यह समझना मुश्किल है कि उसकी जानकारी कहाँ और कैसे बह रही है

[GN⁺]

Hacker News राय

• प्राइवेसी समस्या के कारण संपर्क जानकारी आसानी से बेची जा सकती है। TikTok जैसे ऐप्स में contacts साझा करने पर नाम, फोन नंबर, ईमेल आदि लीक हो सकते हैं। जब customer service में समस्या होती है, तो executives की contact info खरीदकर सीधे संपर्क करने का तरीका इस्तेमाल किया गया था। हालांकि, इसके साइड इफेक्ट्स हो सकते हैं, जैसे CashApp account का बंद हो जाना

• प्राइवेसी से जुड़े लेखों में अक्सर तकनीकी विवरण कम होते हैं या बढ़ा-चढ़ाकर पेश किया जाता है। Mozilla की vehicle privacy policy research है, लेकिन असली तकनीकी विवरण कम हैं। उदाहरण के लिए, क्या वाहन बातचीत रिकॉर्ड करता है, डेटा कहाँ स्टोर होता है, और क्या उसे third party को भेजा जाता है, जैसे सवाल हैं। ऐसे विवरण न हों तो लेख सिर्फ अविश्वास बढ़ा सकते हैं

• Bilt नाम की कंपनी से किराया चुकाता हूँ, और Walgreens में हर बार खरीदारी करने पर खरीद की रसीद ईमेल से मिलती है। उम्मीद है कि संवेदनशील items को बाहर रखा जाए। यह डेटा Walgreens से rental company तक कैसे पहुँचता है, यह जानने की जिज्ञासा है, लेकिन नकद या certified check इस्तेमाल करना बेहतर हो सकता है

• यह दिलचस्प है कि IT इंडस्ट्री में काम करने वाले लोग विज्ञापन, प्राइवेसी बिक्री और tracking industry बनाते भी हैं और उसी पर सबसे ज़्यादा शिकायत भी करते हैं

• स्क्रीन brightness, memory की मात्रा, current volume, headphones पहने हैं या नहीं जैसी जानकारी का इस्तेमाल user को de-anonymize करने के लिए किया जा सकता है

• यह दावा गलत है कि LTE ज़्यादा सटीक location info देगा। अगर ऐप के पास location permission नहीं है, तो वह cellid जानकारी नहीं ले सकता। कहा जाता है कि free apps सटीक location collect करते हैं, लेकिन वास्तव में यह सटीक नहीं होता

• चिंता है कि ad exchanges IDFA के बिना भी cross-app tracking का तरीका ढूंढ सकते हैं। सिद्धांत रूप से यह प्रतिबंधित है, लेकिन इसे लागू कराना मुश्किल है

• Reddit ऐप के पास मेरे फोन में permission नहीं है, फिर भी वह location-based communities recommend करता है। यात्रा के दौरान जिन-जिन शहरों में गया, वहाँ के लिए recommendations मिलीं

• सलाह दी जाती है कि जहाँ वेबसाइट विकल्प हो, वहाँ mobile apps का इस्तेमाल करने से बचना चाहिए