Геоданные военных США по-прежнему можно купить через коммерческие каналы, хотя Пентагон уже отключает рекламные идентификаторы на служебных смартфонах. Для IT-команд это неприятное напоминание: мобильная приватность ломается не только через взлом, но и через вполне легальный рынок данных, SDK и рекламные аукционы.
Сенатор Рон Уайден, демократ от Орегона, и конгрессмен Пэт Харриган, республиканец от Северной Каролины, 4 сентября попросили генерального инспектора Минобороны США проверить, почему меры ведомства не перекрыли утечку локационных данных, сообщает The Register. Поводом стали сообщения о том, что коммерческие геоданные всё ещё позволяют отслеживать перемещения людей, связанных с объектами Пентагона.
История тянется не первый год. В мае Уайден, Харриган и ещё 12 членов Конгресса из обеих партий раскрыли детали схемы: данные о местоположении, собранные мобильными приложениями и рекламными SDK, можно купить у брокеров и использовать для выявления мест, где собираются американские военные. По словам законодателей, Минобороны знает об этой угрозе как минимум с 2016 года. То есть проблема давно вышла из стадии «неожиданный побочный эффект мобильной рекламы».
Тогда законодатели предложили CIO Пентагона Кирстен Дэвис отключить рекламные идентификаторы на служебных смартфонах и ввести правило для личных устройств, которые сотрудники и подрядчики приносят на объекты Минобороны или используют за рубежом. Часть работы ведомство действительно сделало: армия, ВВС, ВМС, корпус морской пехоты и Командование специальных операций подтвердили, что теперь отключают advertising ID на выданных государством устройствах.
Но этого оказалось мало. В письме к генеральному инспектору Уайден и Харриган прямо пишут, что новые сообщения о доступности коммерческих локационных данных из объектов Минобороны вызывают серьёзные вопросы. Версий несколько: некоторые подразделения могли отключить идентификаторы только в июле; сами advertising ID уже не являются единственным способом связать устройство с человеком; или основной поток данных идёт с личных смартфонов военных, гражданских сотрудников и подрядчиков.
Ключевой технический узел здесь — MAID, mobile advertising identifier. Это не пароль и не секретный токен, но в рекламной экономике он работает как удобный ключ для склейки разных наборов данных. Если один и тот же идентификатор виден в приложении, рекламной бирже и базе брокера данных, из разрозненных событий быстро собирается маршрут: дом, база, командировка, зарубежный объект, регулярные точки появления.
Исследователь угроз Infoblox Зак Эдвардс назвал отключение рекламных ID на военных устройствах правильной мерой: так служебные телефоны с меньшей вероятностью попадут в массовые продажи данных. Но он же подчеркнул более неприятную часть проблемы: Google и Apple, по его оценке, так и не реформировали мобильные рекламные идентификаторы достаточно жёстко, хотя именно они часто становятся главным связующим элементом в торговле локацией.
Для разработчиков и владельцев мобильных продуктов этот кейс важен не из-за специфики армии. Он показывает, что любая организация с чувствительной физической инфраструктурой — дата-центры, заводы, R&D-лаборатории, банки, медицинские сети — может светиться через чужие SDK. Приложение для погоды, фитнеса или купонов может оказаться частью цепочки, которая деанонимизирует сотрудников лучше, чем пропускная система у входа.
Для бизнеса вывод ещё проще: политика MDM и запрет пары настроек на корпоративных телефонах не закрывают риск, если люди приходят на объект с личными устройствами. Нужны правила для BYOD, аудит установленных приложений на критичных ролях, контроль рекламных SDK в собственных продуктах и нормальная оценка поставщиков данных. Иначе отдел безопасности будет строить периметр, а маркетинговая инфраструктура — аккуратно его размечать координатами.
Конгресс теперь хочет понять, где именно сломалась защита: в скорости внедрения, в технической слабости advertising ID как меры контроля или в личных устройствах, которые Пентагон не может так же легко администрировать. Ответ важен далеко за пределами американской армии: рынок данных уже доказал, что умеет превращать обычную мобильную телеметрию в инструмент разведки, а значит геоданные военных — лишь самый заметный пример более широкой проблемы.