Czy aplikacja Bilkom nadużywa uprawnień i ingeruje w prywatne dane użytkowników?

W cyklu “Aplikacje dobre bo polskie” poleciłem Wam program Bilkom, który pozwala na przeglądanie aktualnych rozkładów PKP oraz zaawansowane planowanie podróży. W komentarzach pod tamtym wpisem zwróciliście mi uwagę, że aplikacja ta wymaga wielu potencjalnie groźnych uprawnień i lepiej jej nie instalować. Postanowiłem zainteresować się tym tematem i zbadałem przypadek programu Bilkom.

Zdębiałem w momencie, gdy zajrzałem na listę uprawnień tej aplikacji. Program Bilkom prosi nas o dostęp do wielu prywatnych danych jak i na przykład możliwość korzystania z aparatu fotograficznego.

Napisałem do TK Telekom – twórców programu – i poprosiłem o dokładne wyjaśnienie do jakich celów aplikacja korzysta z tak zaawansowanych uprawnień. Zanim doczekałem się odpowiedzi, musiałem wysłać ponaglenie i odczekać kilkanaście dni, ale w końcu otrzymałem merytoryczne wyjaśnienia. Następnie skonsultowałem je ze znajomym programistą i w efekcie mam dla Was wyjaśnienie zagadki tej tajemniczej aplikacji.

Pierwsze podejrzane uprawnienie Bilkoma zezwala aplikacji na robienie zdjęć i nagrywanie filmów przy użyciu aparatu. Dzięki temu może ona pobierać obrazy z aparatu w dowolnym momencie.

“W tym wypadku chodzi o funkcjonalność Augmented Reality (Rozszerzona Rzeczywistość). Czyli możliwość nałożenia na obraz z „aparatu/kamery” położenia stacji i POI. Funkcja dostępna na IOS w menu Lokalizacja. Dane nie są wykorzystywane w jakikolwiek inny sposób ani tym bardziej gromadzone. Niefortunne określenia tych uprawnień wynikają z polityk bezpieczeństwa poszczególnych platform.” – wyjaśnia Sławomir Sarnowski z TK Telekom.

Tutaj pojawia się jednak pewna wątpliwość. Mianowicie androidowa wersja aplikacji nie posiada takiej funkcji. To, że na iOS program wymaga podobnych uprawnień, nie jest powodem, aby identyczne zezwolenia nadawać w Androidzie. Rozumiem, że funkcje wykorzystujące rozszerzoną rzeczywistość mogą zostać w przyszłości zaimplementowane, ale to nie powinno być powodem wymuszania obecnie dostępu do uprawnień, które mogą budzić podejrzenia wśród użytkowników.

Kolejnym uprawnieniem, które może budzić pewne wątpliwości jest groźnie brzmiący pełen dostęp do internetu, który zezwala aplikacji na tworzenie gniazd sieciowych.

“Aplikacja i logika działania, w tym sam silnik wyszukiwarki, oparta jest na zewnętrznym serwerze. Aplikacja jest interfejsem dla złożonego systemu wyszukiwania opartym o wysokowydajne serwery internetowe.” – wyjaśnia Sławomir Sarnowski z TK Telekom.

Po zgłębieniu tematu dowiedziałem się, że takie uprawnienie jest niezbędne, aby aplikacja mogła wykonać połączenie z siecią i następnie wykonywać operacje na zewnętrznym serwerze.

Dla wielu osób z którymi rozmawiałem o Bilkomie dosyć sporym nadużyciem zdawał się być dostęp do uprawnienia pozwalającego na odczyt wydarzeń w kalendarzu wraz z informacjami poufnymi. Zezwala ono aplikacji na odczyt wszystkich wydarzeń kalendarza przechowywanych na urządzeniu, łącznie z wydarzeniami znajomych i współpracowników.

Sam Google Play ostrzega nas, że złośliwe aplikacje mogą wyodrębniać z kalendarzy informacje osobiste bez wiedzy właściciela.

Przedstawiciel twórców aplikacji Bilkom zapewnia, że nie jest to złośliwy program, a “uprawnienie to pozwala na zapisywanie połączeń w kalendarzu z możliwością przypomnienia czy aktualizacji połączenia bezpośrednio z kalendarza. Ta funkcjonalność, znowu przez niefortunne określenie platformy, służy jedynie do zapisywania podróży w kalendarzu i w żaden sposób nie wykorzystuje danych o innych wydarzeniach.”

Kolejnym podejrzanym uprawnieniem może być możliwość dodawania i modyfikowania wydarzeń w kalendarzu oraz wysyłanie e-maili do gości bez wiedzy właściciela.

Zezwala to aplikacji na wysyłanie zaproszeń na wydarzenia w imieniu właściciela kalendarza i dodawanie, usuwanie oraz zmienianie wydarzeń, które możesz modyfikować na swoim urządzeniu (wraz z wydarzeniami należącymi do znajomych lub współpracowników).

“Analogiczna sytuacja, skoro można coś modyfikować np. naszą podróż wpisać do kalendarza logicznym jest iż przy kalendarzu wspólnym, te informacje mogą trafić do innych w zależności od ustawień.” – wyjaśnia Sławomir Sarnowski z TK Telekom.

Następne uprawnienie pozwala aplikacji na czytanie danych kontaktów. Bilkom może odczytać wszystkie dane kontaktowe (adresy) zapisane w urządzeniu.

“Opis tej możliwości przez platformę może być uznany za niepokojący, ale jej realne wykorzystanie w istocie jest znacznie prostsze. W wybranych telefonach umożliwia to wskazanie np. jako punktu docelowego podróży kontaktu z książki telefonicznej.” – wyjaśnia Sławomir Sarnowski z TK Telekom

Jeżeli posiadacie w książce kontaktów wpisy w których macie dodane adresy znajomych osób, Bilkom będzie w stanie wyznaczyć trasę dojazdu do wybranego miasta. Wystarczy kliknąć w nazwę miejscowości, aby kontynuować działanie w programie Bilkom.

Ostatnią funkcją z którą miałem problem było wyświetlanie stanu sieci. Zezwala ono aplikacji na sprawdzenie stanu wszystkich sieci.

“Funkcja typowa dla auto lokalizacji opartych o nadajniki GSM przy wyłączonym GPS. Uprawnienie niezbędne do realizacji wyszukiwania od „Aktualna pozycja” oraz funkcjonalności w menu lokalizacja czyli wyszukiwania najbliższych stacji, POI, adresów.” – wyjaśnia Sławomir Sarnowski z TK Telekom

Tak jak już napisałem wcześniej, odpowiedzi przedstawiciela firmy TK Telekom skonsultowałem z bezstronną osobą, która ma doświadczenie w tworzeniu oprogramowania na platformę Android. Wniosek jest jeden. Uprawnienia nazwane i zdefiniowane przez Google potrafią wyglądać dosyć groźnie, ale nie zawsze niosą ze sobą realne zagrożenia. W przypadkach kiedy mamy wątpliwości odnośnie słuszności nadania niektórych uprawnień warto napisać do programisty w celu wyjaśnienia zasadności ich użycia. Dodam również, że wcześniej pisałem już do wielu deweloperów na adresy podane w sklepie Google Play i zawsze dostałem odpowiedź, nieważne czy była to duża aplikacja, czy mały projekt tworzony przez jedną osobę. Dlatego przypomnę, że instalując aplikacje na smartfonach warto przyglądać się ich uprawnieniom, a w razie wątpliwości nie popadać w panikę, ale usilnie szukać odpowiedzi i żądać wyjaśnień.

Dziękuję Szymonowi Motyce za pomoc przy stworzeniu tego wpisu.