Et af Apples salgsargumenter for iPhone er, at brugernes data er sikret bedre end på f.eks. Android-telefoner. Men det sår to appudviklere med fokus på sikkerhed nu tvivl om.
Apple lægger både i reklame-øjemed og i deres generelle produktinformation en del vægt på anonymitet og sikkerhed. Det er f.eks. et af firmaets hovedargumenter for at folk bør købe en iPhone i stedet for en Android, og det er en af grundene til at Tim Cook og Mark Zuckerberg er på kant med hinanden.
Men er iPhone nu også så sikker og anonym, som Apple påstår? Ifølge to de to kodehajer, der udgør iOS-appfirmaet Mysk, er det langt fra tilfældet. Tommy Mysk og Talal Haj Bakry har nu afsløret at en identitetsbærende dataværdi bliver sendt til Apple sammen med anonymiseret analysedata.
Det handler om DSID-værdien, eller den såkaldte Directory Services Identifier. DSID-værdien er en permanent værdi, der ifølge Mysks undersøgelser hænger uløseligt sammen med brugerens Apple ID, og altså dermed giver adgang til brugerens fulde navn, email-adresse, fødselsdato, telefonnummer med mere.
Og det ville ikke være noget problem, hvis DSID’en forblev på brugerens iPhone og ikke blev sendt til Apple. Men Mysk mener, at det modsatte er tilfældet, nemlig at iPhone sender DSID-data sammen med de analysedata, som ellers er fuldt anonymiserede ifølge Apple.
Brud på GDPR
Dermed kan data om iPhonens lokation, app-forbrug, brugeradfærd med mere kædes sammen en bestemt person, og det er netop det, Apple lover, at deres analysedata ikke kan. Det er disse data, du som iPhone-ejer siger ja til at overlevere anonymt, når du sætter din iPhone op. Men hvis disse data virkelig kan sættes i forbindelse med personlige data, er de selvsagt ikke anonymiserede.
DSID-problemet er dog ikke isoleret til tidligere versioner af iOS, som det ovennævnte problem, mener Mysk. Ifølge de to kodehajer finder overførslen også sted i iOS 16. Ifølge Gizmodo kan Apple potentielt modargumentere, at en nummerkode i stil med DSID-værdien ikke kan karakteriseres som personlig information.
Men dette er som minimum et brud på GDPR-reglerne, der definerer personlige data som information der, ”direkte eller indirekte” kan afsløre en persons identitet, og dette omfatter ifølge Gizmodo også ID-koder. Den ene af de to mænd bag Mysk befinder sig i Tyskland og er derfor formentlig godt inde i GDPR-reglerne som app-udvikler i EU.
Der kan være god grund til at lytte til Mysk, selv om det lille tomands-firma måske virker som en mus, der truer en elefant. Tidligere på måneden demonstrerede Mysk, hvordan App Store-appen i iOS 14.6 sender analysedata om hvert eneste klik på skærmen til Apple, selv når dataindsamling er slået helt fra. Det har fået en gruppe brugere til at lægge sag an mod Apple.
Flere medier har forsøgt at få en kommentar fra Apple i forbindelse med afsløringerne, men i skrivende stund har firmaet ikke givet lyd fra sig i denne forbindelse.
