Ustawa o czystym oprogramowaniu z 2006 r.

Oprogramowanie szpiegujące to plaga komputerów stacjonarnych. Tak, robaki komputerowe i wirusy każdego roku powodują miliardy dolarów szkód. Jednak programy szpiegujące, które albo rejestrują twoje działania w celu późniejszego odzyskania, albo automatycznie raportują o twoich działaniach przez Internet, łączą handel i oszustwa w sposób, który większość z nas uważa za moralnie odrażający.

Robaki i wirusy są oczywiście kiepskie: te programy są pisane przez złoczyńców i wypuszczane na wolność wyłącznie w celu siania spustoszenia. Jednak większość programów szpiegujących jest tworzonych przez przestrzegające prawa firmy, które nakłaniają ludzi do zainstalowania programów na własnych komputerach. Niektóre programy szpiegujące są również sprzedawane w celu pomocy małżonkom w szpiegowaniu swoich partnerów, rodzicom w szpiegowaniu swoich dzieci, a pracodawcom w szpiegowaniu swoich pracowników. Takie programy powodują, że komputery zdradzają zaufanie swoich użytkowników.

Do tej pory przemysł komputerowy koncentrował się na technicznych środkach kontroli plagi oprogramowania szpiegującego. Programy wyszukiwania i niszczenia, takie jak Ad-Aware, przeskanują Twój komputer w poszukiwaniu znanych programów szpiegujących, śledzących plików cookie i innych elementów, które mogą zagrażać Twojej prywatności. Zidentyfikowane przedmioty mogą zostać poddane kwarantannie lub zniszczone. Programy zapory, takie jak ZoneAlarm, mają inne podejście: nie powstrzymują oprogramowania szpiegującego przed gromadzeniem danych, ale uniemożliwiają programom przesyłanie danych osobowych przez Internet.

Istnieje jednak inny sposób walki z oprogramowaniem szpiegującym — podejście, które działałoby, ponieważ autorzy są legalnymi organizacjami. Kongres mógłby uchwalić przepisy wymagające, aby oprogramowanie dystrybuowane w Stanach Zjednoczonych zawierało etykiety produktów, które ujawniałyby konsumentom określone funkcje wbudowane w programy. Takie prawodawstwo prawdopodobnie przyniosłoby takie same prokonsumenckie skutki, jak ustawa o czystej żywności i lekach z 1906 r. – prawodawstwo odpowiedzialne za dzisiejsze etykiety na żywności i lekach.

Sztuka oszustwa

Obowiązkowe oznaczanie oprogramowania to dobry pomysł, ponieważ podstawowym problemem związanym z oprogramowaniem szpiegującym nie jest samo zbieranie danych, ale oszustwo. Rzeczywiście, wiele rzeczy, które robi oprogramowanie szpiegujące, jest również wykonywanych przez programy niebędące programami szpiegującymi. Na przykład pasek narzędzi Google dla Internet Explorera informuje Google, którą witrynę przeglądasz, aby pasek narzędzi mógł wyświetlać pozycję strony w rankingu. Ale Google robi wszystko, aby ujawnić tę funkcję – po zainstalowaniu programu Google każe Ci zdecydować, czy chcesz, aby Twoje dane zostały odesłane, czy nie. Przeczytaj to uważnie, mówi umowa licencyjna paska narzędzi Toolbar, to nie jest zwykła bla bla.

Z drugiej strony oprogramowanie szpiegujące robi wszystko, aby ukryć swój prawdziwy cel. Jeden z programów szpiegujących twierdzi, że automatycznie ustawia zegar komputera na podstawie zegara atomowego obsługiwanego przez Obserwatorium Marynarki Wojennej Stanów Zjednoczonych. Inny program wyświetla raporty pogodowe dostosowane do Twojego obszaru. Niestety, oba te programy wyświetlają również wyskakujące reklamy, gdy odwiedzasz określone witryny. (Niektórzy dostawcy oprogramowania twierdzą, że programy, które wyświetlają tylko reklamy, nie są same w sobie oprogramowaniem szpiegującym, ale raczej czymś zwanym oprogramowaniem reklamowym, ponieważ wyświetlają reklamy. Większość użytkowników nie dba o to rozróżnienie).

Niektóre z tych programów ukrywają się, nie wyświetlając ikon podczas uruchamiania, a nawet usuwając się z listy programów uruchomionych na komputerze. Słyszałem o programach, które wyświetlają się w panelu sterowania Microsoft Windows Dodaj/Usuń, ale kiedy je usuwasz, tak naprawdę nie usuwają się, po prostu stają się niewidoczne. Podstępny.

Jednak pomimo tej dwulicowości większość programów szpiegujących i adware nie łamie żadnego prawa USA. Dzieje się tak, ponieważ wiele z tych programów ujawnia, co robią, a następnie uzyskuje wyraźną zgodę użytkownika. Robią to za pomocą czegoś, co nazywa się umową licencyjną typu „click-wrap” – jednym z tych pudełek pełnych legalnych bzdur, które pojawiają się, gdy instalujesz program lub uruchamiasz go po raz pierwszy. Tekst mniej więcej opisuje wszystkie ukryte sztuczki, które te wrogie programy mogą odgrywać w twoim systemie. Oczywiście mało kto czyta te umowy. Niemniej jednak umowy skutecznie chronią dostawców oprogramowania szpiegującego i reklamowego przed odpowiedzialnością. W końcu nie możesz twierdzić, że oprogramowanie szpiegujące monitorowało Twoje działania bez Twojej zgody, jeśli udzieliłeś zgody programowi, klikając przycisk Zgadzam się.

Jednolite standardy oznaczania oprogramowania nie zastąpiłyby konieczności zawierania umów licencyjnych, ale utrudniłyby firmom zakopanie funkcji programu. Takie ustawodawstwo – nazwijmy to ustawą o czystym oprogramowaniu z 2006 r. – wymagałoby od Federalnej Komisji Handlu ustanowienia standardów obowiązkowego oznaczania wszystkich programów komputerowych, które są rozpowszechniane w Stanach Zjednoczonych. Wymóg etykietowania zmusiłby twórców oprogramowania szpiegującego do ujawnienia ukrytych funkcji ich programu.

Historyczny precedens

Jak wspomniałem powyżej, byliśmy już na tej drodze. Kongres uchwalił ustawę o czystej żywności i lekach z 1906 r., aby zająć się niezwykle podobnym zestawem oszukańczych praktyk biznesowych. W 1906 r. problemem była żywność i leki sprzedawane z mylącymi etykietami lub w ogóle bez etykiet.

Ustawa z 1906 r. wymagała, aby każdy lek sprzedawany w Stanach Zjednoczonych był dostarczany konsumentowi w opakowaniu, które określa siłę, jakość i czystość leku, jeśli odbiega od przyjętych standardów. Dawka leku musiała być wyraźnie nadrukowana na zewnętrznej stronie opakowania. Szereg składników, które zwykle towarzyszyły dziewiętnastowiecznym opatentowanym lekom – substancje takie jak alkohol, kodeina i konopie – również musiały zostać wyraźnie ujawnione.

W przypadku żywności ustawa wymagała, aby etykiety wyraźnie wymieniały wszelkie sztuczne barwniki i aromaty – po 1906 r. nie można było sprzedawać czegoś zwanego sodą pomarańczową, jeśli nie miało smaku pochodzącego z prawdziwych pomarańczy. W przeciwnym razie sprzedawałeś imitację lub sztuczną sodę pomarańczową. A każda butelka, pudełko i torebka z jedzeniem musiały wyraźnie wskazywać dokładną wagę żywności, która znajdowała się w pojemniku.

Ustawa o czystej żywności i lekach odniosła sukces z wielu powodów. Zmuszenie producentów do ujawnienia, co było w ich produktach, pozwoliło konsumentom uniknąć produktów zawierających rzeczy, których nie chcieli spożywać. Na przykład wiele toników z olejem węża rozprowadzanych pod koniec XIX wieku zawierało znaczne dawki uzależniających narkotyków, takich jak kodeina czy kokaina. Zmuszenie do ujawnienia tych leków na etykiecie produktu, wraz z ostrzeżeniem, które może wywoływać nawyki, umożliwiło konsumentom podejmowanie świadomych decyzji. Etykietowanie umożliwiło również naukowcom, a ostatecznie grupom konsumentów, sprawdzenie oświadczeń producentów produktów. Obowiązkowe etykietowanie wywiera presję na producentów, aby usunęli najbardziej budzące zastrzeżenia składniki — proces ten trwa do dziś. Wreszcie etykiety dostarczyły prawodawcom dodatkowych dowodów, które posłużyły do ​​uzasadnienia tworzenia dodatkowych przepisów.

Podobieństwa między dziewiętnastowiecznymi sfałszowanymi produktami spożywczymi a sfałszowanym oprogramowaniem dwudziestego pierwszego wieku są niesamowite. Tak jak niektóre toniki twierdziły, że robią jedną rzecz (np. zapuszczają włosy), podczas gdy faktycznie robiły inną (odurzają użytkownika i uzależniają go chemicznie od kodeiny), dzisiaj mamy oprogramowanie, które twierdzi, że robi jedną rzecz (ustawia czas komputera) i faktycznie robi coś innego (wyświetla reklamy, gdy odwiedzasz określone witryny).

Jak więc wyglądałaby ustawa o czystym oprogramowaniu? Sądząc po ustawodawstwie z 1906 r., najlepsze wyniki prawdopodobnie przyniesie wymaganie etykiet, które bezpośrednio odnosiłyby się do problemu oszustwa. Nowe prawo wymagałoby zatem, aby oprogramowanie identyfikowało się jako takie: nigdy więcej ukrytych programów, które po cichu instalują się, a następnie działają bez żadnych widocznych dowodów. Ustawa o czystym oprogramowaniu uczyniła nielegalnym uruchamianie programów bez ujawniania się za pomocą standardowych środków używanych przez system operacyjny hosta. A ustawa wymagałaby, aby programy miały funkcję odinstalowywania, albo jasno określiłyby, że tak nie jest.

Udokumentowanie instalacji programu i zapewnienie jego usunięcia to dopiero początek. Ustawa o czystym oprogramowaniu wymagałaby od Federalnej Komisji Handlu zidentyfikowania określonych praktyk dotyczących oprogramowania, które musiałyby zostać wyraźnie ujawnione, gdy programy są rozpowszechniane i uruchamiane. Zamiast pozwalać firmom na ukrywanie funkcji ich oprogramowania za pomocą niejasnego języka prawniczego ukrytego w klikalnych umowach licencyjnych, przepisy wymagają, aby ujawnienie odbywało się w formie łatwych do zrozumienia ikon, które można kliknąć, aby uzyskać dodatkowe informacje. Kliknięcie ikony wywoła dalszy tekst objaśniający — być może ze strony internetowej prowadzonej przez Federalną Komisję Handlu. Ikony mogłyby być również wyświetlane w innych miejscach. Na przykład w systemie Windows Menedżer zadań i panel sterowania Dodaj/Usuń mogą wyświetlać ikony wymaganego zachowania obok ikony aplikacji programu.

Skromna propozycja

Aby moja propozycja była bardziej konkretna, przygotowałem listę zachowań programu, które musiałyby zostać ujawnione, oraz kilka reprezentatywnych ikon. Te ikony (stworzone przez starszego projektanta graficznego TechnologyReview.com Matthew Boucharda) to tylko przykłady ilustrujące koncepcję. Rzeczywiste ikony nakazane przez rząd byłyby opracowywane przez zespół profesjonalistów z doświadczeniem w zakresie interfejsu człowiek-komputer, testowane na grupach fokusowych i wystawiane do publicznego komentowania. Ale te ikony są przydatne do przekazania ogólnego pomysłu i rozpoczęcia dyskusji.

Hak: Działa przy rozruchu
Niektóre programy łączą się z systemem operacyjnym komputera, dzięki czemu uruchamiają się automatycznie po ponownym uruchomieniu komputera lub zalogowaniu się użytkownika. Inne programy nie. Dziś nie ma sposobu, aby to stwierdzić, poza przeprowadzeniem szczegółowej analizy plików konfiguracyjnych komputera przed i po zainstalowaniu programu oraz odnotowaniem zmian. Każdy program, który zainstaluje się sam, aby uruchomić się automatycznie, musiałby wyświetlać tę ikonę Hook.

Wybierz: wykonuje połączenie telefoniczne
Jednym z powszechnych oszustw związanych z oprogramowaniem szpiegującym są programy, które powodują, że komputer dzwoni pod numery telefonów, które kosztują Cię pieniądze. Na przykład kilka lat temu niektóre strony pornograficzne rozpowszechniały program o nazwie david.exe, który powodował, że komputer ofiary wykonywał zamiejscowe połączenie telefoniczne z dostawcą usług internetowych w Europie Wschodniej; firma pornograficzna zatrzymała połowę (niesamowicie wysokich) przychodów z długich dystansów. Inne rodzaje oszustw mogą wybierać numery 900, a nawet używać komputera do wysyłania niechcianych faksów bez Twojej wiedzy. Udokumentowanie, że oprogramowanie ma kod, który może sprawić, że będzie ono wybierało Twój telefon, byłoby dobrym sposobem rozwiązania tego problemu.

Modyfikuj: zmienia system operacyjny komputera
Niektóre programy nie tylko instalują się i uruchamiają podczas rozruchu — zmieniają system operacyjny komputera. Widząc tę ​​ikonę, będziesz miał powód do zadawania pytań. Bardziej prawdopodobne, że wymuszenie tego rodzaju ujawnienia po prostu zakończyłoby praktykę ze strony programistów.

Monitor: śledzi to, co robisz
Większość programów dba o własny biznes. Jednak niektóre programy monitorują naciśnięcia klawiszy i monitorują przeglądane strony internetowe, nawet gdy inne programy działają na pierwszym planie. Programy mogą obserwować, jak tworzysz pliki, kopiują każdy drukowany dokument lub po prostu odnotowują, kiedy komputer jest bezczynny i kiedy jest używany. Kluczem jest tutaj to, że dane osobowe są przechwytywane przez program, gdy myślisz, że nie słucha. Być może ta ikona może zawierać błyskawicę, która wskazuje, że monitorowane informacje są przekazywane przez Internet komuś innemu.

Wyświetla wyskakujące okienka
Dobrze wychowany program przemawia tylko wtedy, gdy się do niego mówi. Z drugiej strony niektóre programy wymagają Twojej uwagi. Pewnego dnia byłem zdumiony, gdy Microsoft Word 2003 wyskoczył na moim komputerze z zaproszeniem do wzięcia udziału w jakiejś ankiecie. Kilka lat temu zauważyłem, że program do obsługi portfela elektronicznego o nazwie Gator otwierał okna konkurencyjnych witryn za każdym razem, gdy odwiedzałem niektórych sprzedawców internetowych.

Zdalne sterowanie: pozwól innym programom przejąć kontrolę nad Twoim komputerem
Teoretycznie każdy program uruchomiony na twoim komputerze może go przejąć i wykonywać polecenia innych osób. W praktyce tylko nieliczne programy mają możliwość zaoferowania innym takiego pilota. Programy, które to robią, powinny być oznaczone.

Autoaktualizacje: ten program może zmienić jego zachowanie
Jedną z najważniejszych technik radzenia sobie przez producentów oprogramowania z uporczywymi problemami z bezpieczeństwem komputerów jest automatyczne aktualizowanie ich programów za pomocą kodu pobranego z Internetu. Programy, które mają tę funkcję, powinny reklamować tę możliwość, ponieważ mogą zmieniać swoje zachowanie bez udziału użytkownika.

Zablokowany: nie można odinstalować
Niektórych programów, raz zainstalowanych na komputerze, nie da się usunąć. Programy te są zazwyczaj aktualizacjami systemu operacyjnego, ale sprytny programista może z łatwością stworzyć również usuwalne oprogramowanie szpiegujące. Należy poinformować konsumentów, że istnieją programy, do których nie ma odwrotu.

Zasady zaangażowania

Wraz z ikonami przyjdą zasady ich używania. Na przykład wiele dzisiejszych umów licencyjnych typu „click-through” mówi, że użytkownik domyślnie zgadza się na wszelkie zmiany w umowie licencyjnej, chyba że zmiany te mają charakter merytoryczny. Ale co jest merytoryczne? Gdy obowiązywał już system etykiet, istotną zmianę można by prawnie zdefiniować jako zmianę, która powoduje zmianę ikon — na przykład, jeśli samoaktualizujący się program pobrał funkcję zdalnego sterowania. Prawo mogłoby wówczas wymagać, aby tego rodzaju zmiana wymagała nowej zgody ze strony użytkownika.

Jednym z napięć nieodłącznie związanych z każdym reżimem etykietowania jest decydowanie, co zostanie umieszczone na etykiecie, a co zostanie pominięte. Im więcej informacji jest wymaganych na etykiecie, tym droższe będzie jej wyprodukowanie i tym mniej prawdopodobne, że konsumenci faktycznie zwrócą uwagę na informacje. Każdy organ regulacyjny wdrażający tę politykę będzie musiał unikać pełzania ikon, które mają 23 różne ikony na każdym oprogramowaniu, które nie będą służyć potrzebom konsumentów, a jedynie wywoła zamieszanie.

Osobiście chciałbym, aby moje etykiety oprogramowania odróżniały informacje gromadzone i wykorzystywane w formie zbiorczej od informacji umożliwiających identyfikację osób, które są przechowywane w dużej hurtowni danych. Ale zasadniczo nie chodzi o to, co robi program, ale o to, co firma robi po tym, jak program zgłosi swoje informacje. Oznacza to, że jest to praktyka biznesowa, która powinna być chroniona przez politykę prywatności firmy. Być może tam też potrzebujemy ikon. (Lata temu organizacja handlowa TRUSTe próbowała mieć trzy ikony dla trzech różnych rodzajów standardowych polityk prywatności; TRUSTe zrezygnowało, gdy jej firmy członkowskie się sprzeciwiły.)

Kolejne napięcie dotyczy etykietowania dobrowolnego i obowiązkowego. Myślę, że obowiązkowa jest droga. Żyjemy dziś w dobrowolnym reżimie: Google wykonało świetną robotę wyjaśniając, co robi Google Toolbar, ale inne firmy nie są tak obiecujące. Prawie 100-letnie doświadczenie z ustawą o czystej żywności i lekach z 1906 r. pokazuje, że wymagania dotyczące etykietowania nie muszą być uciążliwe, ale muszą być obowiązkowe – w przeciwnym razie etykiety dobrych firm, a złe nie. Teraz potrzebne jest rozszerzenie tej zasady na świat oprogramowania.

Podziękowanie
Od kilku miesięcy omawiam tę propozycję etykietowania oprogramowania ze współpracownikami w Cambridge. W Harvard Law School Jonathan Zittrain przedstawił bardzo pomocne uwagi; w Laboratorium Informatyki i Sztucznej Inteligencji MIT przeprowadziłem przydatne dyskusje i komentarze z moimi doradcami, Robem Millerem i Davidem Clarkiem, oraz z moim kolegą ze studiów, Stevenem Bauerem.

ukryć