Google, Meta y Spotify no respetan reglas iOS, según investigadores.

Desde principios de mayo de 2024, los desarrolladores de aplicaciones iOS están obligados, por instrucción expresa de Apple, a justificar el uso de un conjunto específico de API (Interfaz de Programación de Aplicaciones) que podrían utilizarse (y de hecho ya lo están…) para llevar a cabo actividades de fingerprinting. Se trata de una práctica que busca recopilar información sobre diversas configuraciones, componentes y ajustes del dispositivo para luego combinarlos en un único identificador único, útil por ejemplo para reconocer a un mismo usuario en diferentes momentos.

Frecuentemente, el fingerprinting implica el uso del elemento HTML Canvas, la biblioteca WebGL, las fuentes instaladas en el sistema, la resolución utilizada en el lado del cliente y mucho más. Aunque estos mecanismos son útiles, por ejemplo, con el objetivo de detectar posibles bots, se utilizan con mucha frecuencia para rastrear a las personas en línea y seguir sus «movimientos» en la Web.

¿Las aplicaciones de las empresas más grandes respetan las medidas anti-fingerprinting de Apple? Aparentemente no.

Según los desarrolladores Talal Haj Bakry y Tommy Mysk, varias grandes empresas están ignorando los requisitos impuestos por Apple a partir del 1 de mayo de 2024 y están utilizando API que favorecen el rastreo sin cumplir las reglas. Los dos investigadores señalan específicamente a Google, Meta y Spotify y afirman que aplicaciones como Chrome, Instagram, Spotify y Threads no se ajustarían a las disposiciones establecidas por la manzana.

Las aplicaciones mencionadas estarían recopilando cierta información a través de las API de Apple enviando los datos adquiridos fuera del dispositivo. «Para evitar un uso indebido de estas API, Apple debe rechazar las aplicaciones que no describen el uso de las API en el archivo de manifiesto», explican Bakry y Mysk en una nota técnica. «Sin embargo, hemos descubierto que aplicaciones como Google Chrome, Instagram, Spotify y Threads no se ajustan a las especificaciones declaradas».

Atención. El dúo no afirma que Google, Meta y Spotify estén necesariamente abusando de las API de Apple para hacer fingerprinting. Simplemente sostienen que las justificaciones no son adecuadas. La manzana ya ha señalado un conjunto de API que pueden ser potencialmente utilizadas para el fingerprinting. Por lo tanto, todas las aplicaciones que accedan a estas API deben declarar las razones por las que necesitan utilizarlas.

Sin embargo, Mysk también involucra a la empresa de Tim Cook y cuestiona lo siguiente: «Apple no parece estar verificando las motivaciones que los desarrolladores envían», haciendo que, al menos por el momento, una medida que debería combatir las molestas intromisiones en la privacidad de las personas sea en vano.