Onbeveiligd verzenden van iPhone UDID levert privacygevaar op

Afgelopen juli moest Apple antwoord geven op vragen van het Amerikaanse congres omtrent privacy. Daarbij maakte Apple duidelijk dat ze weliswaar de locatie van een iPhone kunnen vaststellen, maar dat ze niet de iPhone kunnen koppelen aan een bepaalde persoon. Netwerkadministrator Eric Smith heeft de zaak eens nader uitgezocht en schrijft in een blogposting dat externe ontwikkelaars en adverteerders wel degelijk een toestel aan je naam (en misschien ook je locatie) kunnen koppelen.

Dat gebeurt bij het verzenden van data vanuit apps. Smith bekeek 57 populaire applicaties in de App Store en bekeek welke informatie ze verzenden. Diverse apps, waaronder die van Amazon, Target en Chase Bank, versturen de UDID van de iPhone en persoonlijke details in platte tekst.

Bij enkele andere apps waren de gegevens wel beveiligid via SSL. Een UDID is een uniek toestelnummer, dat in een app vaak wordt gebruikt om persoonlijke data op te slaan of om het installeren van illegaal verkregen apps tegen te gaan. Smith denkt dat het mogelijk is om een database op te zetten, waarmee je de UDID’s koppelt met GPS-coördinaten. Op die manier kun je wel precies zien waar een bepaalde persoon zich bevindt.

Meer info: iPhone Applications & Privacy Issues