Los desarrolladores de Apple están sujetos a nuevos requisitos de API en un intento por eliminar las huellas dactilares de los usuarios

iOS 17 se encuentra actualmente en versión beta y se espera que se lance al público en aproximadamente un mes, y cuando lo haga, los desarrolladores de Apple buscarán nuevas restricciones en el uso de ciertas API. Las API en cuestión son aquellas que potencialmente pueden usarse indebidamente para tomar huellas dactilares del usuario, una elusión común de las reglas de privacidad de Apple que rigen la recopilación de datos para publicidad dirigida.

Las nuevas reglas también se aplicarán a las nuevas versiones de tvOS, visionOS, watchOS y el próximo sistema operativo Mac Sonoma. Los desarrolladores de Apple que quieran utilizar determinadas API deberán enviar una explicación de por qué son necesarias para el funcionamiento del programa y restringir las aplicaciones para que las utilicen únicamente para esa función declarada.

El programa “Transparencia de seguimiento de aplicaciones” (ATT) de Apple se implementó por completo con el lanzamiento de iOS 14.5 a mediados de 2021, lo que requiere que los desarrolladores revelen cualquier recopilación de información personal para publicidad dirigida y obtengan el consentimiento afirmativo del usuario durante la instalación o las actualizaciones de la aplicación. Si los usuarios no optan por participar, los desarrolladores de aplicaciones no tendrán acceso a la identificación única del dispositivo que facilita la publicidad personalizada. Esto tuvo un impacto inmediato y dramático en los ingresos por publicidad, y algunos de los desarrolladores de Apple menos escrupulosos optaron por la toma de huellas dactilares de los usuarios como alternativa (a pesar de que también es ilegal según las reglas del ATT).

Si bien la toma de huellas digitales del usuario no está permitida (y puede hacer que los desarrolladores de Apple sean prohibidos si son descubiertos), se usa a menudo ya que puede ser muy difícil de detectar. Apple está intentando solucionar el problema a nivel de API con sus nuevos requisitos. Los desarrolladores tendrán que explicar la necesidad de utilizar categorías API particulares, como teclado activo, espacio en disco, marca de tiempo del archivo, arranque del sistema y valores predeterminados del usuario. Todos estos se utilizan comúnmente para recopilar señales únicas de dispositivos que se pueden organizar en un perfil que rastrea a usuarios individuales en diferentes sitios web y aplicaciones.

Los desarrolladores de Apple tendrán un período de gracia de aproximadamente seis meses para declarar sus motivos para utilizar cualquiera de estas API en el manifiesto de privacidad de la aplicación. Los correos electrónicos recordatorios comenzarán a enviarse a los desarrolladores en el otoño si se carga una aplicación sin los motivos requeridos para las API afectadas o si no se agrega una descripción al archivo de manifiesto de privacidad. Las nuevas reglas se aplicarán a partir de la primavera de 2024 y pueden provocar que las aplicaciones sean rechazadas o eliminadas de la App Store si se infringen.

Apple también se ha esforzado en señalar que la toma de huellas digitales del usuario no se vuelve legal cuando los usuarios optan por el seguimiento de anuncios de una aplicación; cualquier cuenta que realice cualquier tipo de toma de huellas dactilares en cualquier momento en un dispositivo Apple estará en riesgo.

Si bien el cambio no garantizará que los desarrolladores de Apple dejen de implementar las huellas digitales de los usuarios, al menos proporciona a la App Store otra herramienta de aplicación muy necesaria.

Ante una posible devastación de sus modelos de ingresos publicitarios con las reglas de participación de ATT, algunos desarrolladores de Apple optaron por probar formas más sigilosas de toma de huellas dactilares de los usuarios. Uno de los métodos principales ha sido enterrar los métodos de toma de huellas digitales en SDK que se comunican de servidor a servidor, manteniendo su actividad en puntos ciegos en los que Apple no tiene visibilidad. Un informe de investigación de finales de 2021 del Washington Post identificó una serie de aplicaciones populares que parecían participar en la toma de huellas dactilares de los usuarios, basándose en las grandes cantidades de datos con las que “llamaban a casa” y algunos de los puntos de datos específicos que podían identificarse. El informe también señaló que Apple a menudo no respondía a los investigadores de seguridad externos que planteaban preocupaciones sobre los datos que pasaban algunas aplicaciones.

Ya existen preocupaciones sobre cuán viable será esta nueva práctica, ya que depende de que los desarrolladores de Apple informen con precisión para qué se utiliza la API. Se requerirá vigilancia policial de seguimiento para verificar esto y aún no hay detalles disponibles sobre cómo se manejará. La falta de capacidad para mantenerse al día con la gran cantidad de partes que abusan de las reglas ha sido una de las debilidades clave del sistema de aplicación de huellas dactilares de los usuarios hasta la fecha.

Por su parte, los desarrolladores de Apple tienen una preocupación legítima de que las nuevas reglas aumenten la tasa de rechazo de aplicaciones que de otro modo serían inocentes. La API "User Defaults", que pronto estará protegida, es muy utilizada por las aplicaciones para almacenar las preferencias del usuario, y algunos desarrolladores temen que se convierta en una fuente de rechazos injustificados, ya que Apple probablemente implemente un proceso de detección automatizado para comprobar el cumplimiento. . Apple ha dicho que habrá un proceso de apelación, sin embargo, y que los desarrolladores podrán presentar solicitudes para una revisión independiente de situaciones que puedan ser errores o que no se ajusten del todo a las nuevas directrices.