Удалось ли Apple уничтожить fingerprinting с помощью "Privacy Manifests"?

Apple не сделала значительных объявлений, касающихся конфиденциальности, на своей основной презентации WWDC в июне. Но WWDC — это мероприятие на всю неделю с сессиями разработчиков, которые проходят до пятницы; повестка недели намекает на ряд новых функций, вводимых в iOS 17. Одной из этих функций является "Privacy Manifest" (Приватный Манифест). Apple опубликовала вчера запись в блоге о "Privacy Manifests" и некоторых других новых функциях конфиденциальности, в день презентации WWDC.

Перевод статьи published on June 6, 2023 by Eric Benjamin Seufert. Оригинал по ссылке

Вот что говорится в этой записи:

Во-первых, чтобы помочь разработчикам понять, как сторонние SDK используют данные, мы вводим новый "privacy manifests" — файлы, в которых описываются политики конфиденциальности стороннего кода в приложении в едином стандартном формате. При подготовке к распространению своего приложения, Xcode будет объединять "privacy manifests" всех сторонних SDK, используемых разработчиком, в один простой отчёт. С помощью этого единого отчёта, который содержит суммарную информацию о всех сторонних SDK, найденных в приложении, разработчикам будет ещё проще создавать более точные "Privacy Nutrition Labels" (этикетки с информацией о конфиденциальности). Кроме того, чтобы обеспечить дополнительную защиту конфиденциальности пользователей, приложения, которые ссылаются на API, которые могут потенциально использоваться для fingerprint — практика, запрещенная в App Store -— теперь должны выбрать разрешенную причину для использования данного API и объявить это использование в "privacy manifest". В рамках этого процесса приложения должны точно описать как будут использоваться эти API и смогут их использовать только для целей, описанных в их "privacy manifest".
https://developer.apple.com/news/?id=av1nevon

Моя интерпретация нового процесса следующая:

Приложения и сторонние SDK должны создавать собственные файлы "Privacy Manifest" (как описано в этой новой документации), в которых описываются типы данных, которые они собирают, и как эти данные используются;
При построении приложения в Xcode будут собраны "privacy manifests" для всех сторонних SDK, присутствующих в приложении, что позволит заполнить этикетку конфиденциальности приложения;
Любое приложение, которое использует SDK или вызывает API, которые могут "потенциально использоваться для идентификации по fingerprint", должно указать, для каких законных целей используется SDK, и объявить это в собственном "privacy manifest".

Эта тактика концептуально, но не функционально, напоминает подход к разделению разрешений SDK, который используется в Android с его SDK Runtime.

SDK Runtime в Android — позволяет приложению контролировать к каким данным сторонние SDK могут получить данные.

Как часть Privacy Sandbox для Android, Google планирует ввести SDK Runtime в Android 13: это отдельная среда выполнения для сторонних SDK внутри приложений, которым могут быть предоставлены разрешения, отличные от разрешений самого приложения, что позволяет приложению контролировать данные, к которым эти сторонние SDK имеют доступ. В документации Privacy Sandbox для Android Google отмечает, что первая версия функции SDK Runtime будет предназначена в основном для «SDK, связанных с рекламой», которые они описывают как SDK для служб, которые «обеспечивают показ рекламы, измерение рекламы, выявление мошенничества в рекламе и выявление злоупотреблений».

Чтобы быть ясным: реализация на iOS значительно отличается от реализации на Android. Но Apple заставляет разработчиков сообщить как используют данные их сторонних поставщики и фактически нести ответственность за их действия; приложения обязаны добросовестно документировать использование пользовательских данных в этикетках конфиденциальности, и подход "Privacy Manifest", хотя он административный, а не технический, ясно определяет ответственность за соблюдение использования данных SDK на разработчиков приложений.

Я рассматриваю этот подход как нечто гениальное. Fingerprinting нарушает политику конфиденциальности Apple App Tracking Transparency (ATT), но банить приложения из-за действий их AdTech партнеров было бы неуклюжим способом обеспечения соблюдения ATT, как я утверждаю в статье "Fingerprinting: лекарство, которое хуже, чем болезнь":

Но когда AdTech компании используют fingerprinting через SDK, они делают это внутри приложений своих клиентов. Apple также может видеть это во время проверки приложений, но чтобы это контролировать, ей пришлось бы отклонять обновления от разработчиков приложений, которые сами не нарушают правила. Это было бы беспорядочным решением, особенно учитывая, что в каждом приложении в App Store, являющемся хотя бы похожим на бизнес, есть хотя бы одно SDK, которое в настоящее время использует fingerprinting. Apple наказывала бы разработчиков приложений за нарушения со стороны AdTech компаний, за которые они платят.

Связывая поведение SDK с механизмом "Privacy Nutrition Labels" App Store, который до этого момента в основном служил как ярлык конфиденциальности, Apple заставляет разработчиков учитывать поведение своих AdTech поставщиков, которые в большинстве случаев (по крайней мере, непосредственно) не несут ответственности за использование пользовательских данных.

В прошлом году Eric уже делал прогноз относительно использования fingerprinting, — Я считаю, что Apple могла бы заимствовать концепцию SDK Runtime из Privacy Sandbox от Google для Android, чтобы заставить SDK работать в среде, независимой от основного приложения. Это предоставляет две преимущества. Во-первых, SDK будет оцениваться на соответствие ATT независимо, потенциально через отдельный процесс "проверки приложений" (как это реализовано в функции SDK Runtime для Private Relay для Android), таким образом, Apple не должна была бы наказывать разработчиков приложений за их зависимость от рекламных технологических сервисов. Во-вторых, данные, передаваемые из этих изолированных SDK, потенциально могли бы проходить через систему Private Relay от Apple, что означало бы скрытие IP-адресов пользователеи и препятствовало бы проведению fingerprinting с достаточно высоким уровнем точности и может дать пользователям больше контроля над тем, какие данные их персональной информации могут быть доступны.

Хотя Apple намекает на наличие некоей системы в приложении, схожей с Private Relay, подробности слишком скудные для интерпретации. Однако система Privacy Manifests применяет процесс ревью для партнерских SDK, уточняя их использование данных и заставляя разработчика приложения определить, соответствует ли он ATT. Хотя между Privacy Manifests и Private Relay нет очевидной связи, общий подход достигает примерно того же результата.

Apple не уточнили когда внедрят Privacy Manifests в «этом году», хотя, по всей видимости, будет указано на определенные SDK, доступ к данным которых она хочет регулировать. Из указанной выше статьи в блоге.

Будет интересно посмотреть, какой результат принесет такой административный подход по сравнению с исключительно техническим, и насколько его можно будет обойти. Обеспечение соблюдения всё ещё зависит от сотрудничества разработчиков в отношении искренних описаний того, как они используют определенные SDK. Но эти случаи использования кажутся довольно простыми для проверки. В долгосрочной перспективе большинство разработчиков лучше отказаться от fingerprinting и принять более надежные, гибкие и масштабируемые подходы к атрибуции.