Alasdair Allan i Pete Warden, to dwóch badaczy bezpieczeństwa z Wielkiej Brytanii, którzy w minioną środę ujawnili bardzo ciekawą właściwość iPhone’a i iPada oraz tworzonego przez iOS pliku, w którym bez wiedzy użytkownika zapisywane są informacje o miejscu jego położenia.

Zostaje on skopiowany do komputera użytkownika w momencie synchronizacji telefonu lub tabletu (wersja z 3G). Plik ten nazywa się consolidated.db i są w nim zapisywane m.in. długość i szerokość geograficzna wraz z datą i czasem. Na tej podstawie jest ustalana lokalizacja, w oparciu o triangulację względem trzech najbliższych wież telekomunikacyjnych. Nie jest to oczywiście bardzo precyzyjne wyznaczenie pozycji, jak przy użyciu technologii GPS, jednak z całą pewnością metoda ta pozwala w miarę dokładnie określić nasze położenie.

Anglicy brali udział w kilku projektach wizualizacji danych dot. lokalizacji, tj. mapa poziomu promieniowania radioaktywnego po awarii elektrowni atomowej Fukushima w Japonii. W trakcie tych projektów dyskutowano na temat wizualizacji danych m.in. z telefonów komórkowych. W taki właśnie sposób Allan odkrył plik consolidated.db oraz to, co on zawiera. Poniżej prezentujemy film z dłuższą wypowiedzią autorów tego odkrycia:

Warden i Allan napisali także aplikację iPhoneTracker, która obrazuje dane zawarte w ww. pliku. Korzysta ona z OpenStreetMap i usługi OpenHeatMap. Program ten automatycznie odnajduje potrzebne dane na dysku naszego komputera i w bardzo czytelny sposób przedstawia je na mapie, na której znalazło się także miejsce dla linii czasu. Poniższa mapa wygenerowana została dzisiaj na podstawie mojego osobistego pliku consolidated.db:

Wielkość kropki jest wprost proporcjonalna do częstotliwości rejestracji położenia w danym miejscu na mapie.

Funkcjonalność iPhoneTrackera została celowo obniżona przez jego autorów, poprzez zmniejszenie przestrzennej i czasowej dokładności. Efektem tego jest struktura punktów w postaci siatki oraz tygodniowy interwał do manipulacji linią czasu. Oryginalna baza danych na komputerze użytkownika nie ma oczywiście takich ograniczeń.

Dużym problemem wydaje się być fakt, że te dane są łatwo dostępne z poziomu komputera użytkownika. Jego częściowym rozwiązaniem jest zaznaczenie opcji „Szyfruj kopię zapasową” w opcjach podłączonego urządzenia w iTunes. Częściowym dlatego, ponieważ kopia pliku consolidated.db w dalszym ciągu będzie znajdować się w iPhonie lub iPadzie.
Inną kwestią jest pytanie po co i od kiedy Apple zbiera takie dane? Ma to miejsce od momentu wydania czwartej wersji iOS, a więc już blisko od roku. Według Wardena operatorzy komórkowi przechowują podobne dane, jednak aby mieć do nich dostęp, zwyczajowo potrzebny jest nakaz sądowy. W przypadku Apple taka sytuacja nie ma miejsca.

Odkrycie Wardena i Allana nie umknęło uwadze amerykańskich polityków. Demokratyczny senator Al Franken domaga się w skierowanym do Steve’a Jobsa liście, szybkiej odpowiedzi w tej sprawie:

„Każdy, kto uzyska dostęp do tego jednego pliku może prawdopodobnie określić lokalizację domu użytkownika, miejsce jego pracy, lekarza, do którego chodzi, szkołę, do której chodzą jego dzieci i wycieczki, na które się udał w przeciągu kilku ostatnich miesięcy lub nawet roku.
Jest także zrozumiałe, że podstępne osoby mogą stworzyć wirusy, aby uzyskać dostęp do tych danych użytkowników z ich iPhonów, iPadów oraz komputerów stacjonarnych i przenośnych. Istnieje wiele sposobów na wykorzystanie tych danych przez przestępców i kryminalistów. Ponadto nic nie wskazuje na to, że plik ten różni się w jakiś sposób w przypadku nieletnich użytkowników iPhone’a lub iPada, co oznacza, że miliony dzieci i nastolatków, używających iPhone’a albo iPada ryzykują odkrycie i narażenie miejsca ich pobytu.”
Z drugiej jednak strony w punkcie 4 umowy licencyjnej użytkownika (EULA) można przeczytać:
„Apple, partnerzy firmy i licencjobiorcy mogą udostępniać określone usługi dla iPhone’a, wykorzystując dane dotyczące lokalizacji. Aby dostarczać te usługi, Apple i partnerzy firmy mogą przesyłać, gromadzić, zachowywać, przetwarzać i używać danych dotyczących lokalizacji, w tym geograficznego położenia w czasie rzeczywistym iPhone’a użytkownika. Dane dotyczące lokalizacji są gromadzone przez Apple w takiej formie, która nie pozwala na identyfikację Użytkownika. Mogą być one używane przez Apple, partnerów firmy i licencjobiorców w celu dostosowania udostępnianych usług i produktów do lokalizacji Użytkownika. Poprzez użycie w iPhonie usług zależnych od położenia Użytkownik zgadza się i daje firmie Apple oraz jej partnerom i licencjobiorcom pozwolenie na przesyłanie, gromadzenie, prowadzenie rutynowych działań zachowawczych, przetwarzanie i używanie danych o położeniu w celu dostarczania takich produktów i usług.”
Według Johna Grubera z Daring Fireball cała sytuacja jest spowodowana błędem iOS, który zostanie usunięty w jednej z najbliższych aktualizacji systemu. Plik consolidated.db powinien przechowywać informacje jedynie o ostatnich lokalizacjach użytkownika, a nie historię z kilku miesięcy:
„Nie mam jednoznacznej odpowiedzi, ale ze źródła, którego nie mogę zdradzić wiem, że consolidated.db działa jak cache dla danych o lokalizacji i dane historyczne powinny być usuwane, ale jednak nie są, Dzieje się tak albo z powodu błędu, albo, co bardziej prawdopodobne - z powodu niedopatrzenia. Ktoś napisał kod do cache’u danych o lokalizacji, ale nie napisał kodu do usunięcia z niego starych wpisów. Przez to baza danych mająca służyć jako cache twoich najnowszych danych dot. lokalizacji, jest w istocie trwałym dziennikiem jej historii.”
Do dziś Apple nie skomentowało całej sytuacji.

Źródło: 9to5mac, petewarden.github.com