Een groep wetenschappers, de meesten verbonden aan de Amerikaanse Northeastern-universiteit, heeft een analyse van 17.260 Android-apps uitgevoerd, waarbij ze keken naar het opnemen en doorsturen van audio en video. Ze vonden geen aanwijzingen dat apps audio afluisteren.

 

De wetenschappers hebben voor hun onderzoek in totaal ruim 17.000 Android-apps geanalyseerd, waarvan 15.627 unieke apk's uit de Play Store van Google. De rest van de apps kwam uit andere appwinkels, zoals AppChina, Mi.com en Anzhi. Van de hele collectie maakten ze een statische analyse, waarbij ze keken naar permissies voor camera en microfoon, api-referenties in de code en of die referenties afkomstig zijn van de app-ontwikkelaar of van een derde partij. Ze voerden ook een dynamische analyse uit, waarbij ze keken naar het verkeer dat een app over het netwerk verstuurt, met de nadruk op video's, audio en afbeeldingen. Hoewel ze geen aanwijzingen vonden dat apps heimelijk audio opnemen en vervolgens doorsturen, kwamen ze wel een aantal andere verschijnselen tegen waarover ze hun zorgen uiten.

Een eerste bevinding is dat veel apps permissies vragen voor het gebruik van de camera en de microfoon, in het geval van Google Play-apps ongeveer tachtig procent, maar dat die permissies vervolgens niet altijd daadwerkelijk worden gebruikt. Dit zou een risico zijn, omdat softwarebibliotheken van derden deze permissies kunnen misbruiken zonder dat de app-ontwikkelaar dat zelf doorheeft. Ze dragen verschillende verklaringen aan voor het verschijnsel, waaronder de stelling dat er weinig documentatie bestaat over de relatie tussen permissies en de daarbij horende api's. Ook zouden 'copy-and-paste-instructies' van sdk's met te veel permissies dit verschijnsel kunnen veroorzaken.

Verder bleek uit het onderzoek dat slechts een fractie van de onderzochte apps daadwerkelijk een media leak opleverde, waarbij bijvoorbeeld tegen de verwachting van de gebruiker in mediabestanden via het netwerk werden verstuurd. De onderzoekers hadden niet genoeg middelen om alle apps te analyseren, dus beperkten ze zich tot een selectie van 9100. Het bleek dat 21 apps media verstuurden, bij 20 ging het om afbeeldingen en bij één om video. Ze classificeerden negen apps als medialekken, wat neerkomt op ongeveer 0,01 procent. Zo stuurden fotobewerkingsapps bijvoorbeeld ongevraagd foto's door naar een server.

panoptispy

De onderzoekers belichten in hun paper verschillende interessante ontdekkingen, waaronder de app die video doorstuurde. Het bleek daarbij te gaan om de app GoPuff, een soort bezorgdienst. Die stuurde beelden van alle interacties na het starten van de app door naar een domein van Appsee, een dienst die belooft inzicht te bieden in de manier waarop gebruikers met een app omgaan. Een woordvoerder van GoPuff laat aan Gizmodo weten dat het inmiddels de Appsee-sdk uit zijn apps heeft verwijderd. Appsee zegt tegen de site dat het gedrag van de app aan GoPuff te wijten is, omdat de ontwikkelaars zijn dienst verkeerd zouden hebben gebruikt en zijn voorwaarden zouden hebben geschonden.

Een van de auteurs van de paper zegt nog tegen Gizmodo: "We zagen geen bewijs dat de gesprekken van mensen heimelijk worden opgenomen." Hij voegt daaraan toe: "Wat de mensen niet schijnen te begrijpen, is dat er heel wat andere tracking in het dagelijks leven is die niet gebruikmaakt van de camera of de microfoon van je telefoon en die een derde partij een net zo volledig beeld van je geeft." De wetenschappers benoemen in hun onderzoek de mogelijke tekortkomingen van hun methode, waarmee ze willen aangeven dat ze wellicht andere leaks over het hoofd hebben gezien. De onderzoekers willen de paper, getiteld Panoptispy: Characterizing Audio and Video Exfiltration from Android Applications, presenteren op het Proceedings on Privacy Enhancing Technologies-symposium in Barcelona.