Desenvolvedores da Apple sujeitos a novos requisitos de API na tentativa de eliminar impressões digitais do usuário

O iOS 17 está atualmente em beta e deverá ser lançado ao público em cerca de um mês, e quando isso acontecer, os desenvolvedores da Apple estarão analisando novas restrições ao uso de certas APIs. As APIs em questão são aquelas que podem ser potencialmente utilizadas indevidamente para impressões digitais de usuários, uma violação comum das regras de privacidade da Apple que regem a coleta de dados para publicidade direcionada.

As novas regras também se aplicarão às novas versões do tvOS, visionOS, watchOS e ao futuro sistema operacional Mac Sonoma. Os desenvolvedores da Apple que desejam usar determinadas APIs terão que enviar uma explicação de por que elas são necessárias para o funcionamento do programa e restringir os aplicativos a usá-las apenas para a função declarada.

O programa “App Tracking Transparency” (ATT) da Apple foi totalmente implementado com o lançamento do iOS 14.5 em meados de 2021, exigindo que os desenvolvedores divulguem qualquer coleta de informações pessoais para publicidade direcionada e obtenham consentimento afirmativo do usuário durante a instalação ou atualizações do aplicativo. Se os usuários não aceitarem, os desenvolvedores de aplicativos não terão acesso ao ID exclusivo do dispositivo que facilita a publicidade personalizada. Isto teve um impacto imediato e dramático nas receitas publicitárias, e alguns dos desenvolvedores menos escrupulosos da Apple passaram a usar a impressão digital do usuário como alternativa (apesar de também ter sido considerada ilegal sob as regras da ATT).

Embora a impressão digital do usuário não seja permitida (e pode fazer com que os desenvolvedores da Apple sejam banidos se forem capturados), ela é frequentemente usada, pois pode ser muito difícil de detectar. A Apple está tentando resolver o problema no nível da API com seus novos requisitos. Os desenvolvedores terão que explicar a necessidade de usar categorias específicas de API, como teclado ativo, espaço em disco, registro de data e hora do arquivo, inicialização do sistema e padrões do usuário. Todos eles são comumente usados ​​para coletar sinais exclusivos de dispositivos que podem ser organizados em um perfil que rastreia usuários individuais em diferentes sites e aplicativos.

Os desenvolvedores da Apple terão um período de carência de aproximadamente seis meses para declarar seus motivos para usar qualquer uma dessas APIs no manifesto de privacidade do aplicativo. Os e-mails de lembrete começarão a ser enviados aos desenvolvedores no outono se um aplicativo for carregado sem os motivos necessários para as APIs afetadas ou se uma descrição não for adicionada ao arquivo de manifesto de privacidade. As novas regras entrarão em vigor a partir da primavera de 2024 e podem fazer com que os aplicativos sejam rejeitados ou retirados da App Store se forem violados.

A Apple também se esforçou para observar que a impressão digital do usuário não se torna legal quando os usuários optam pelo rastreamento de anúncios de um aplicativo; qualquer conta envolvida em qualquer tipo de impressão digital a qualquer momento em um dispositivo Apple estará em risco.

Embora a mudança não garanta que os desenvolvedores da Apple parem de implementar a impressão digital do usuário, ela pelo menos fornece à App Store outra ferramenta de fiscalização extremamente necessária.

Enfrentando uma potencial devastação em seus modelos de receita publicitária com as regras de aceitação da ATT, alguns desenvolvedores da Apple optaram por testar formas mais furtivas de impressão digital de usuários. Um dos principais métodos tem sido enterrar os métodos de impressão digital em SDKs que se comunicam entre servidores, mantendo suas atividades em pontos cegos dos quais a Apple não tem visibilidade. Um relatório investigativo do final de 2021 do Washington Post identificou uma série de aplicativos populares que pareciam estar envolvidos na impressão digital dos usuários, com base nas grandes quantidades de dados com os quais eles estavam “ligando para casa” e em alguns dos pontos de dados específicos que poderiam ser identificados. O relatório também observou que a Apple muitas vezes não respondia a pesquisadores de segurança externos que levantavam preocupações sobre os dados que alguns aplicativos estavam transmitindo.

Já existem preocupações sobre a viabilidade desta nova prática, uma vez que depende dos desenvolvedores da Apple para relatarem com precisão para que a API está sendo usada. Será necessário policiamento de acompanhamento para verificar isso, e ainda não há detalhes disponíveis sobre como isso será tratado. A falta de capacidade de acompanhar o grande número de partes que abusam das regras tem sido uma das principais fraquezas do sistema de aplicação da impressão digital dos utilizadores até à data.