Cảnh báo Android, ứng dụng có thể làm lộ vị trí

Người dùng Android có thể đang trao quyền truy cập dữ liệu vị trí cho nhiều bên hơn họ tưởng. Theo cuộc điều tra được Tổ chức Biên giới Điện tử (EFF) công bố, một số bộ công cụ phát triển phần mềm (SDK) quảng cáo và phân tích dữ liệu được tích hợp trong ứng dụng có khả năng thu thập thông tin vị trí của thiết bị. Đáng chú ý, người dùng chỉ cần cấp quyền vị trí cho ứng dụng chính là các thành phần bên thứ ba bên trong ứng dụng cũng có thể tận dụng quyền truy cập đó, trong khi người dùng gần như không nhận được một yêu cầu xác nhận riêng.

SDK vốn là thành phần quen thuộc trong quá trình phát triển ứng dụng, giúp lập trình viên bổ sung nhanh các tính năng như quảng cáo, phân tích hành vi hoặc đo lường hiệu quả. Thay vì tự xây dựng toàn bộ hệ thống, nhà phát triển có thể tích hợp SDK từ các công ty bên ngoài để tiết kiệm thời gian và chi phí. Tuy nhiên, chính cơ chế này tạo ra một mắt xích khó kiểm soát trong vấn đề quyền riêng tư. Khi một ứng dụng được cấp quyền vị trí, mã nguồn của SDK được nhúng bên trong có thể hoạt động trong cùng môi trường và tiếp cận dữ liệu mà ứng dụng được phép sử dụng.

Người dùng Android nên thường xuyên kiểm tra ứng dụng nào đang được cấp quyền truy cập vị trí trên thiết bị.

Điều đáng lo nằm ở khoảng cách giữa sự đồng ý của người dùng và cách dữ liệu thực sự được khai thác. Khi cài một ứng dụng chỉnh sửa ảnh, trò chơi hoặc tiện ích thời tiết, người dùng thường chỉ nghĩ đến việc ứng dụng đó có cần vị trí để hoạt động hay không. Ít ai để ý rằng phía sau ứng dụng còn có thể tồn tại nhiều thư viện phần mềm của các công ty quảng cáo hoặc phân tích. Nếu các thành phần này được phép sử dụng quyền vị trí, dữ liệu GPS có thể được truyền đến hệ thống của bên thứ ba mà người dùng không hề chủ động lựa chọn.

EFF cho rằng đây là một vấn đề đáng quan tâm bởi dữ liệu vị trí có thể tiết lộ nhiều thông tin hơn một tọa độ đơn thuần. Khi được thu thập liên tục, lịch sử di chuyển có thể cho thấy một người thường xuyên ở đâu, làm việc tại địa điểm nào, sinh sống ở khu vực nào hay thường ghé những địa điểm nào. Chỉ cần kết hợp dữ liệu vị trí với các mã nhận diện thiết bị hoặc những dữ liệu khác, các mạng lưới quảng cáo có thể xây dựng hồ sơ hành vi tương đối chi tiết về người dùng.

Vấn đề càng trở nên phức tạp khi dữ liệu đã rời khỏi thiết bị. Một khi thông tin vị trí được chuyển đến nhiều máy chủ của các bên thứ ba, người dùng khó có thể biết dữ liệu được lưu giữ trong bao lâu, sử dụng cho mục đích nào và có được chia sẻ tiếp với những đối tác khác hay không. Nguy cơ cũng không chỉ nằm ở những quảng cáo được cá nhân hóa quá mức. Nếu cơ sở dữ liệu chứa thông tin vị trí bị tấn công hoặc rò rỉ, dữ liệu có thể bị lợi dụng để theo dõi, lập hồ sơ hành vi hoặc phục vụ các chiến dịch lừa đảo tinh vi. Với nhà phát triển, việc kiểm soát cũng không đơn giản bởi họ phải phụ thuộc vào cách SDK của đối tác hoạt động sau khi được tích hợp.

Tuy nhiên, người dùng Android vẫn có thể chủ động giảm đáng kể nguy cơ bằng cách kiểm tra lại quyền truy cập vị trí. Trong phần Cài đặt > Vị trí > Quyền truy cập vị trí của ứng dụng, người dùng nên rà soát toàn bộ danh sách và thu hồi quyền đối với những ứng dụng không thực sự cần định vị. Với các ứng dụng chỉ cần vị trí trong lúc sử dụng, tùy chọn Chỉ cho phép khi dùng ứng dụng sẽ phù hợp hơn việc cấp quyền liên tục. Những trò chơi, ứng dụng chỉnh ảnh hoặc tiện ích không có lý do rõ ràng để biết vị trí nên được cân nhắc chuyển sang Không cho phép.

Thu hồi quyền vị trí đối với các ứng dụng không cần thiết là một trong những cách đơn giản để giảm nguy cơ dữ liệu bị khai thác.

Trong trường hợp không cần sử dụng các dịch vụ định vị, người dùng cũng có thể tắt Sử dụng vị trí trên thiết bị Android. Cách này giúp hạn chế khả năng các ứng dụng tiếp cận dữ liệu vị trí, nhưng đồng thời có thể khiến những dịch vụ như bản đồ, tìm đường hoặc một số tính năng thời tiết hoạt động không đầy đủ. Vì vậy, giải pháp thực tế hơn là quản lý quyền theo từng ứng dụng và chỉ cấp quyền khi thực sự cần thiết.

Câu chuyện về SDK quảng cáo cho thấy bảo vệ quyền riêng tư trên smartphone không đơn giản là từ chối những yêu cầu đáng ngờ. Ngay cả khi ứng dụng đến từ một nhà phát triển quen thuộc, bên trong nó vẫn có thể chứa nhiều thành phần phần mềm của bên thứ ba. Với người dùng Android, thói quen kiểm tra quyền ứng dụng, hạn chế quyền vị trí nền và gỡ bỏ những ứng dụng không còn sử dụng sẽ trở thành lớp phòng vệ quan trọng. Trong một hệ sinh thái mà dữ liệu cá nhân ngày càng có giá trị thương mại, biết ứng dụng nào được phép nhìn thấy vị trí của mình cũng quan trọng không kém việc lựa chọn ứng dụng nào để cài đặt.