Sovellusten käyttöoikeudet puhelimessa: mitkä kannattaa kieltää

Puhelin on ainoa laite, joka on koko ajan mukana, koko ajan verkossa ja täynnä antureita. Käyttöjärjestelmän lupajärjestelmä on se portti, joka päättää, mitkä sovellukset pääsevät noihin antureihin ja tietoihin käsiksi. Portti toimii teknisesti hyvin. Ongelma on siinä, että portin avaa ihminen, joka on juuri asentanut sovelluksen ja haluaa päästä käyttämään sitä, ja pyyntö tulee ruudulle hetkellä, jolloin sen arviointiin ei ole aikaa eikä tietoa.

Tavallinen käsitys menee pieleen kahdella tavalla. Ensimmäinen on ajatus, että lupapyyntö olisi jonkinlainen muodollisuus, jonka sovelluskauppa on jo tarkistanut. Toinen on vastakkainen ylireagointi, jossa kaikki luvat kielletään ja sitten ihmetellään, miksi navigaattori ei löydä sijaintia. Kumpikaan ei ole arviointia. Tässä artikkelissa lupakysymys muutetaan arvattavasta arvioitavaksi: on olemassa yksi kysymys, joka ratkaisee valtaosan tapauksista, ja lista poikkeuksia, joissa kysymys ei riitä. Se, miten lupajärjestelmä on teknisesti rakennettu ja mihin sovellus ylipäätään pääsee käsiksi, on kuvattu erikseen artikkelissa mihin sovellus oikeasti pääsee.

Lupa on väite sovelluksen tehtävästä

Kun sovellus pyytää mikrofonia, se ei pyydä mikrofonia. Se pyytää oikeutta muodostaa tietovirta puhelimestasi omalle palvelimelleen aina kun se katsoo tarpeelliseksi, niin kauan kuin lupa on voimassa. Käyttöjärjestelmä valvoo pääsyä anturiin, ei sitä, mitä tiedolle tehdään sen jälkeen.

Tästä seuraa lupien arvioinnin perussääntö. Lupa on perusteltu vain, jos sovelluksen päätehtävä ei toimi ilman sitä. Päätehtävä on se, minkä takia asensit sovelluksen, ei se, mitä kaikkea sovellus lisäksi haluaisi tehdä. Ruokakaupan sovelluksen päätehtävä on ostoslista ja tarjoukset. Se toimii täydellisesti ilman jatkuvaa sijaintia, vaikka lähimmän myymälän näyttäminen olisikin kätevää.

Kysymys kannattaa pilkkoa kolmeen osaan, jotka esitetään tässä järjestyksessä:

1. Mikä sovelluksen toiminto tarvitsee tätä tietoa? Jos et keksi yhtään, kiellä.
2. Käytänkö sitä toimintoa? Jos et, kiellä. Voit antaa luvan myöhemmin, kun toiminto ensimmäisen kerran tarvitsee sitä.
3. Tarvitseeko toiminto tiedon jatkuvasti vai vain silloin kun sovellus on auki? Lähes aina vastaus on jälkimmäinen.

Kolmas kysymys on se, joka tuottaa käytännön hyödyn. Suurin osa ongelmallisesta tiedonkeruusta ei synny siitä, että sovellus saa sijainnin kerran, vaan siitä, että se saa sen tuhat kertaa vuorokaudessa vuoden ajan.

Sijaintilupa on neljä eri valintaa

Sijainti on lupalistan tärkein kohta, koska sijaintihistoria paljastaa asuinpaikan, työpaikan, terveydenhuollon käynnit ja sosiaaliset suhteet ilman että kukaan kertoo niistä mitään. Siksi molemmat isot käyttöjärjestelmät ovat pilkkoneet sijaintiluvan useaan portaaseen.

Kertaluontoinen lupa on aliarvostettu valinta. Se sopii kaikkeen, mitä teet harvoin: sovellus saa tarvitsemansa tiedon, ja seuraavalla kerralla se kysyy uudestaan. Jos sovellus kysyy sitä ärsyttävän usein, se kertoo jotain siitä, kuinka usein se hakee sijaintia.

Taustalupa on kokonaan eri kysymys kuin kaksi ensimmäistä. Se tarkoittaa, että sovellus saa sijainnin myös taskussa, yöllä ja lomamatkalla. Käyttöjärjestelmät kysyvät sitä usein erikseen ja vasta myöhemmin, koska se on tietosisällöltään paljon suurempi kuin käytön aikainen lupa. Jos jokin sovellus pyytää sitä, kysy itseltäsi mikä toiminto sitä käyttää. Jos vastaus on "ehkä ilmoitukset tarjouksista", kieltäminen ei maksa mitään.

Tarkkuustason valinta on erillinen kytkin, joka jää usein huomaamatta. Summittainen sijainti riittää sääsovellukselle, uutissovellukselle ja lähes kaikelle sisällön kohdentamiselle. Tarkkaa sijaintia tarvitsee vain se, mikä oikeasti navigoi.

Yhteystiedot: lupa, joka koskee muita ihmisiä

Yhteystietolupa poikkeaa kaikista muista yhdellä ratkaisevalla tavalla. Muissa luvissa annat omaa tietoasi. Tässä annat satojen muiden ihmisten nimet, puhelinnumerot, sähköpostiosoitteet ja usein myös syntymäpäivät ja työpaikat, ja he eivät tiedä siitä mitään.

Vaikutus on ketjumainen. Kun kymmenen ihmistä luovuttaa yhteystietonsa samalle palvelulle, palvelu voi rakentaa suhdeverkoston myös niistä ihmisistä, jotka eivät ole koskaan asentaneet sovellusta. Se voi päätellä, ketkä tuntevat toisensa, kuinka läheisesti ja minkä ryhmien kautta. Tämä on sama mekanismi, jolla varjoprofiileja on rakennettu, ja se toimii riippumatta siitä, kuinka huolellisesti sinä itse suojaat omia tietojasi.

EU:n tietosuoja-asetus lähtee siitä, että henkilötietojen käsittelyllä pitää olla peruste ja että ihmisen on saatava tietää, kuka hänen tietojaan käsittelee. Kun sovellus lataa yhteystietosi palvelimelleen, se käsittelee myös niiden ihmisten tietoja, jotka eivät ole antaneet siihen suostumusta eivätkä yleensä edes tiedä palvelun olemassaolosta. Puhtaasti henkilökohtainen yhteystietojen käyttö omassa puhelimessa on eri asia kuin niiden siirtäminen yrityksen palvelimelle. Käytännön johtopäätös on yksinkertainen: yhteystietolupa annetaan vain, jos sovelluksen päätehtävä on viestintä ja tiedät mihin tiedot menevät.

Viestisovelluksissa lupa on usein aito: se tarvitaan, jotta näet kuka yhteystiedoistasi käyttää samaa palvelua. Silloinkin kannattaa tarkistaa, tallentaako palvelu numerot palvelimelleen vai vertaako se niitä suojatussa muodossa. Peleissä, kuvankäsittelyssä, kuntoilussa ja kaupan sovelluksissa lupa on lähes aina tarpeeton.

Kamera, mikrofoni ja kuvat: milloin rajattu pääsy riittää

Kamera ja mikrofoni ovat luvista pelottavimman kuuloisia mutta käytännössä helpoimpia arvioida, koska niiden käyttö on ilmeistä. Videopuhelusovellus tarvitsee molemmat, kamerasovellus toisen ja sanomalehden sovellus ei kumpaakaan. Molemmissa käyttöjärjestelmissä on näkyvä ilmaisin, pieni väripiste tai palkki näytön yläreunassa, joka syttyy silloin kun mikrofoni tai kamera on käytössä. Se on hyödyllinen tarkistus: jos ilmaisin palaa silloin kun et odota, katso mikä sovellus on auki.

Kuvien käyttöoikeus on huomattavasti tärkeämpi kuin miltä se kuulostaa. Kuvakirjasto ei ole kokoelma kuvia vaan aikajana elämästäsi, ja jokaisessa kuvassa on metatietoa: ottohetki, laitteen malli ja hyvin usein tarkka sijainti. Täysi pääsy kuvakirjastoon kertoo missä olet asunut, kenen kanssa ja milloin.

Molemmissa järjestelmissä on tähän parempi vaihtoehto. Voit antaa sovellukselle pääsyn vain valitsemiisi kuviin sen sijaan, että antaisit koko kirjaston. Kun sovellus tarvitsee kuvan, järjestelmä avaa valitsimen ja sovellus saa vain sen kuvan, jonka osoitat. Tämä on lähes aina se valinta, joka kannattaa tehdä, ja se riittää profiilikuvan vaihtamiseen, liitteen lähettämiseen ja kuvan muokkaamiseen.

Taustakäyttö on se, mikä maksaa

Lupalistan tärkein jakolinja ei kulje lupatyyppien välillä vaan siinä, saako sovellus toimia silloin kun et käytä sitä. Taustakäyttö muuttaa yksittäisen tiedonhaun jatkuvaksi virraksi, ja juuri jatkuvuus tekee tiedosta arvokasta kerääjälle.

Taustakäyttöön liittyy kolme erillistä asetusta, jotka kannattaa tunnistaa. Taustalla tapahtuva sijainnin haku on niistä merkittävin. Taustapäivitys eli sovelluksen oikeus hakea uutta sisältöä itsekseen vaikuttaa lähinnä akkuun ja datansiirtoon. Lähellä olevien laitteiden haku, käytännössä Bluetooth-lupa, ansaitsee oman huomionsa: sitä käytetään myös sisätilapaikannukseen ja liikkeiden seuraamiseen kaupoissa, koska Bluetooth-majakat toimivat siellä, missä satelliittipaikannus ei toimi. Sama tekniikka on käytössä myös pienissä paikantimissa, ja niiden tunnistamista käsitellään erikseen artikkelissa seurantalaitteet ja paikantimet.

Molemmissa järjestelmissä on nykyään koonti siitä, mitkä sovellukset ovat käyttäneet mitäkin lupaa viimeisen vuorokauden aikana. Se on tämän artikkelin hyödyllisin yksittäinen näkymä, koska se korvaa arvailun havainnolla. Jos jokin sovellus on hakenut sijainnin sata kertaa yön aikana, sinun ei tarvitse pohtia tarvitseeko se sitä.

Erikoisluvat, jotka eivät näy tavallisessa lupalistassa

Osa oikeuksista ei ole tavallisia lupia lainkaan vaan asetuksia, jotka piilottelevat järjestelmän syvemmissä valikoissa. Ne ovat vaikutukseltaan huomattavasti suurempia kuin mikrofoni tai kamera.

• Esteettömyyspalvelut. Alun perin ruudunlukijoille tarkoitettu oikeus, joka antaa sovellukselle mahdollisuuden lukea näytön sisältöä ja tehdä painalluksia puolestasi. Se on tehokas väline väärissä käsissä, ja sitä pyydetään usein juuri huijaustilanteissa.
• Näyttäminen muiden sovellusten päällä. Sallii piirtää oman ikkunan toisen sovelluksen päälle. Legitiimejä käyttötapoja on, mutta samalla mekanismilla voi peittää oikean painikkeen väärennetyllä.
• Kaikkien tiedostojen käyttö. Laajempi kuin kuvien tai yhden kansion käyttö. Anna vain tiedostonhallinnalle tai varmuuskopiointiohjelmalle, jonka tunnet.
• Laitteen ylläpitäjän oikeudet. Tarkoitettu työnantajan hallintaan. Tavallisen kuluttajasovelluksen ei pidä pyytää sitä.
• Ilmoitusten lukeminen. Antaa nähdä kaikkien sovellusten ilmoitukset, myös kertakäyttökoodit ja viestien esikatselut.

Jos sovellus ohjaa sinut asetuksiin antamaan jonkin näistä, pysähdy. Etenkin jos ohjaus tulee puhelun, viestin tai tuntemattoman ohjeen kautta, kyse on todennäköisesti huijauksesta. Sovellusten alkuperällä on tässä suuri merkitys, ja sitä käsitellään tarkemmin artikkelissa sovelluskaupat ja sivulataus.

Mitä luvan kieltäminen ei ratkaise

Rehellisyyden vuoksi on sanottava, mitä lupalistan siivoaminen ei tee. Se ei estä sovellusta keräämästä tietoa siitä, mitä teet sovelluksen sisällä. Kaikki napautukset, hakusanat, katseluajat ja ostokset kulkevat palvelun omalle palvelimelle ilman erillistä lupaa, ja tätä palvelinpuolen seurantaa ei voi estää laitteen asetuksista. Lupa koskee anturia ja järjestelmän tietovarastoa, ei sovelluksen omaa käyttöä.

Se ei myöskään tee laitteestasi tunnistamatonta. Sovellukset ja mainosverkostot pystyvät yhdistelemään laitteen ominaisuuksia samaan tapaan kuin selaimen sormenjälki toimii verkkosivuilla, vaikka mainostunniste olisi nollattu. Ja mikä tärkeintä, luvan peruminen ei poista mitään siitä, mitä on jo kerätty. Aiemmin kerätty tieto on palvelun omalla palvelimella tai pilvipalvelussa siellä missä se on, kunnes pyydät sen poistamista erikseen. Poistopyyntö on oma prosessinsa, ja siihen sinulla on oikeus, jota käsitellään artikkelissa rekisteröidyn oikeudet.

Luvan kieltäminen ei siis ole taikakalu. Se on rajaus, joka pienentää vahinkoa siinä tapauksessa, että palvelu vuotaa tietonsa, myy ne edelleen tai käyttää niitä muuhun kuin lupasi. Yhteystietojen ja sijaintihistorian yhdistelmä on juuri sitä aineistoa, jolla identiteettivarkaus ja kohdennettu huijaus rakennetaan uskottaviksi.

Näin käyt lupalistan läpi lupa kerrallaan

Tee tämä kerran kunnolla ja sen jälkeen pari kertaa vuodessa. Työ kestää noin vartin.

1. Avaa puhelimen asetuksista yksityisyyttä tai turvallisuutta koskeva osio ja etsi lupien hallinta. Molemmissa järjestelmissä listan saa auki kahdella tavalla: sovellus kerrallaan tai lupa kerrallaan.
2. Aloita lupa kerrallaan, älä sovellus kerrallaan. Näin näet yhdellä silmäyksellä kaikki sijaintiluvan saaneet sovellukset ja huomaat poikkeamat heti.
3. Käy järjestyksessä läpi sijainti, mikrofoni, kamera, yhteystiedot, kuvat, kalenteri ja lähellä olevat laitteet. Nämä seitsemän kattavat valtaosan riskistä.
4. Kysy jokaisen kohdalla kolme kysymystä: mikä toiminto tätä käyttää, käytänkö sitä toimintoa, ja riittääkö käytön aikainen lupa. Pudota taustaluvat pois ja vaihda sijainnit summittaisiksi kaikkialla, missä navigointia ei tarvita.
5. Katso lopuksi lupien käyttöhistoria eli koonti siitä, mikä sovellus on käyttänyt mitäkin lupaa viime vuorokautena. Tarkista sieltä yllätykset.
6. Käy erikseen läpi erikoisluvat: esteettömyys, näyttäminen muiden päällä, kaikkien tiedostojen käyttö, ilmoitusten lukeminen ja laitteen ylläpitäjät. Näissä lista pitäisi olla lähes tyhjä.
7. Poista sovellukset, joita et ole käyttänyt puoleen vuoteen. Poisto on tehokkain lupien hallinta, ja se hoitaa myös taustakäytön kerralla.

Jos sovellus lakkaa toimimasta luvan kieltämisen jälkeen, se on hyödyllinen havainto eikä virhe: nyt tiedät, mikä toiminto lupaa oikeasti käytti. Voit antaa luvan takaisin tietoisena siitä, mitä vastaan sait. Suurin osa sovelluksista ei kuitenkaan huomaa mitään, mikä kertoo omalla tavallaan sen, kuinka tarpeellisia pyynnöt olivat. Samalla logiikalla kannattaa käydä läpi myös selainlaajennusten oikeudet, koska niissä pätevät samat säännöt eri ruudulla.