Nesmyslná oprávnění a zbytečné soukromé údaje. Účtenkovka odstartovala

  15:50aktualizováno  16:14
Ministerstvo financí v neděli spustilo účtenkovou loterii. Start se příliš nepovedl a Úřad se hned zkraje musel omlouvat. A hned v pondělí také aktualizoval aplikaci pro systém Android, na kterou se snesla vlna kritiky.

Účtenkovka při svém startu uživatele zarazila šíří požadovaných povolení. | foto: koláž iDNES.cz

Účtenková loterie, zkráceně Účtenkovka, má za sebou první den ostrého provozu. Hned se vyrojilo několik problémů, na které musel provozovatel reagovat.

Jen pro připomenutí, Účtenkovka je loterie pořádaná ministerstvem financí, kde se místo losů využívají účtenky, které dostává uživatel za nákupy v obchodech. Zadávání je možné pouze elektroniky přes web nebo prostřednictvím aplikace pro mobilní zařízení.

A tady je hned první kámen úrazu. Zatímco pro Android a mobilní verzi Windows byly aplikace k dipozici ihned, majitelé iPhonů a iPadů si museli den počkat. Není to sice žádná tragédie, když je první slosování až 15. listopadu, ale na druhou stranu to může poněkud poukazovat na to, že na přípravu nebylo tolik času, kolik by bylo potřeba.

Požadavek androidí aplikace Účtenkovka na zjišťování čísla, s kterým si hráč...

Požadavek androidí aplikace Účtenkovka na zjišťování čísla, s kterým si hráč telefonuje.

Platí to i o dalším problému, který začal hned při spuštění rezonovat na internetu. Tím je požadavek androidí aplikace na sledování telefonních hovorů. Není sice jasné, co všechno v rámci tohoto povolení aplikace sleduje, ale vynucené povolení toho umožňuje hodně.

Byť jsme na náš dotaz zatím z ministerstva nedostali odpověď, na Twitteru se již objevila reakce jednomu z uživatelů. Tomu z účtu ministerstva přišlo ujištění, že zmíněný požadavek zmizí. A to se také těsně před vydáním tohoto článku skutečně stalo.

01.října 2017 v 20:30, příspěvek archivován: 02.října 2017 v 12:53

@Petr__Lev Jde o nadbytečný požadavek zděděný z předchozích verzí aplikace, se kterým MF nesouhlasí. Po updatu zmizí. Ke stažení pravděpodobně zítra.

Na druhou stranu toto oprávnění nevyžadují aplikace pro iOS a Windows Mobile, takže se dá předpokládat, že šlo opravdu o přehlédnutí.

Tím ale nedostatky nekončí. Jak dokazuje na svém webu Daniel Dočekal, provozovatel se neobtěžoval ani s vypsáním Zásad ochrany soukromí.

Co konkrétně aplikace pro Android po uživateli požadovala, jsme se zeptali vedoucího vývoje a programátora androidích aplikací Michala Havryluka ze společnosti TANGO Software. Aplikace Účtenkovka podle něj používá šest oprávnění, reálně uživatelé viděli jen tři, což je ale věc Googlu, který nechce uživatele „zahltit“.

„Prvním prohřeškem proti uživatelům je, že aplikace nepoužívá tzv. „runtime permission“, což je způsob přidělení oprávnění aplikaci až při jejím běhu typicky s vysvětlením pro uživatele, proč aplikace dané oprávnění vůbec potřebuje. Tento způsob přidělování oprávnění (namísto přidělení všech oprávnění hned při instalaci aplikace) byl uveden s verzí 6.0 Marshamallow uvedeného 5. října 2015 a tuto, nebo vyšší verzi operačního systému, používá skoro polovina všech zařízení,“ vysvětluje Havryluk. 

U nejvíce kontroverzního oprávnění „ID Zařízení a informace o hovorech, které umožňuje aplikaci zjistit telefonní číslo, ID zařízení, zda zrovna probíhá hovor, a vzdálené číslo, se kterým je zařízení v rámci hovoru ve spojení“ je sporné, co vlastně umí. Takto označené oprávnění totiž ve skutečnosti skrývá celou řadu oprávnění a je otázkou, které aplikace doopravdy vyžívá a která ne - to bez dekompilace a zdrojového kódu nelze zjistit. 

Nepříliš lichotivé recenze na Google Play.

Nepříliš lichotivé recenze aplikace v aplikačním obchodě Google Play převažují. 2.října byla aplikace hodnocena pouze 1,9 hvězdičky.

 „Typicky se toto oprávnění používá pro získání unikátního ID zařízení (např. pro účely registrace uživatelského účtu) - zpravidla IMEI nebo telefonní číslo. Tento způsob ale není obecně doporučovaný kvůli nejrůznějším problémům u různých výrobců zařízení. Na co je přesně toto oprávnění využité, už je dotaz na tvůrce,“ doplňuje Michal Havryluk. 

Vzhledem k tomu, že aplikace neumí načítat snímky účtenek z galerie, je sporné i povolení o přístupu do paměti.

Obavy o soukromí: když si koupíte los, číslo účtu nevyplňujete

Předchozí řádky naznačují, že si provozovatel Účtenkovky zase až tak nelámal s hlavu s přístupem k ochraně soukromí a ani s tím, aby sbíral co nejméně údajů o soukromí.

Přihlašovací formulář k loterii Účtenkovka

Přihlašovací formulář k loterii Účtenkovka

Dokresluje to i příklad, kdy již při registraci vedle jména, příjmení, e-mailu/telefonu, zadáváte buď číslo účtu, kam bude případná výhra předána, nebo dokonce číslo některého z průkazů (občanský průkaz, pas, řidičský příkaz). To nám přijde jako požadavek na udání příliš citlivého údaje, zvláště, když podle dostupných údajů spravuje pro ministerstvo financí data externí firma. Data sice můžete zadat jednorázově jen s e-mailem, ale to nic nemění na tom, že u registrace je takový požadavek nadbytečný.

To vše, přestože se ministerstvo financí již několikrát vyjádřilo, že bude dbát na maximální anonymitu hráčů.

Není se tak asi co divit, že byl již nyní podán podnět k Úřadu na ochranu osobních údajů, aby loterii pořádanou státem prověřil.

Vyjádření MFČR

v případě požadavku na informace o hovorech při instalaci mobilní aplikace se jednalo o nadbytečný a ryze formální požadavek, který souvisel s vývojem jednotlivých verzí OCR ze strany dodavatele aplikace. V tuto chvíli byla zveřejněna již nová verze aplikace bez tohoto požadavku.

Při základní jednorázové registraci účtenky stačí zadat pouze email nebo telefonní číslo. Až v případě výhry budou výherci vyzváni ke zřízení hráčského účtu a k doplnění dalších údajů, které jsou nezbytné pro její předání, mimo jiné i číslo účtu, na který bude výhra vyplacena. U peněžitých výher v hodnotě 100 000 Kč, 200 000 Kč, 300 000 Kč a 1 000 000 Kč je možný pouze bezhotovostní převod na účet. U peněžitých výher do 20 000 Kč (včetně) si mohou výherci zvolit, zda jim bude výhra zaslána na účet, nebo si jí osobně vyzvednou v sídle společnosti Sazka.

Společnost Diebold Nixdorf s.r.o. zajišťuje bezpečnost celého provozu účtenkové loterie a ochranu dat hráčů, to vše v souladu s právními předpisy a všeobecně uznávanými bezpečnostními standardy, zejména ISO 27001. Řešení rovněž využívá mechanismy pro účinné zabezpečení osobních údajů např. pseudonymizaci v průběhu zpracování dat a  je připraveno na soulad s požadavky nové regulace EU na ochranu osobních údajů.

Aktualizováno: Doplnili jsme vyjádření Ministerstva financí ČR.

Autoři: ,
 

Nejčtenější

Dětem škodí obrazovky a displeje. Ale jinak, než si rodiče obvykle myslí

Jak všudypřítomné displeje ovlivňují výchovu dětí? (ilustrační fotografie)

Světová zdravotnická organizace vydala nová doporučení ohledně aktivit vhodných pro malé děti. Nejvíce pozornosti si...

Třímachový zabiják letadlových lodí Suchoj T-4 byl velkým žroutem rublů

Suchoj T-4

Historie letectví se pozoruhodnými stroji jenom hemží. Jedním takovým byl i sovětský bombardér Suchoj T-4. Vznikl pouze...

Poslední vrtulník. Začíná předehra zcela zapomenuté letecké tragédie

Reklama NYA zvoucí k cestování v proudové době.

Byla to budova, kterou by někteří obyvatelé New Yorku nejraději hned po dokončení nechali zdemolovat. Místní bar s...

Aktualizujte si WhatsApp. Kvůli chybě vás mohli útočníci odposlouchávat

Aplikace WhatsApp (ilustrační obrázek)

Nový trik využívající chybu v komunikační aplikaci WhatsApp umožnil na základě zmeškaného hovoru nainstalovat do...

Statisíce posluchačů přišly o svá internetová rádia, náprava je pomalá

DAB rádio Pure Oasis Flow

Mnoha posluchačům internetových rádií zmizely předvolené stanice i jimi přidané streamy. Největší výrobce čipů pro...

Další z rubriky

Facebook chce konkurovat Alexe i Siri. Chystá vlastního asistenta

Facebook Portal v bílé

Společnost Facebook údajně pracuje na vývoji vlastního hlasového asistenta, který by se mohl objevit v jejích...

Tipy na weby: odhalte svůj rodokmen a zjistěte, kde máte nejvíc jmenovců

Ilustrační foto - lidé

Nejčastějším českým příjmením jsou Novákovi. Na webu KdeJsme.cz také zjistíte, jaké pořadí patří vašemu příjmení a kde...

Tipy na weby: mixujte skladby na „gramcích“ nebo poznejte Česko

Ilustrační foto - hudba

Zásoba hudby s možností nahrát svoji, dva gramofony a řada funkcí. To jsou přednosti služby You.dj pro míchání hudby....

Akční letáky
Akční letáky

Prohlédněte si akční letáky všech obchodů hezky na jednom místě!

Najdete na iDNES.cz