The Pure Software Act af 2006

Spyware er en plage for desktop computing. Ja, computerorme og vira forårsager skader for milliarder af dollars hvert år. Men spyware-programmer, der enten registrerer dine handlinger til senere hentning, eller som automatisk rapporterer om dine handlinger over internettet, kombinerer handel og bedrag på måder, som de fleste af os finder moralsk frastødende.

Orme og vira er åbenbart ikke til noget: disse programmer er skrevet af ondsindede og frigivet i naturen uden andet formål end at skabe kaos. Men det meste spyware er forfattet af lovlydige virksomheder, som narrer folk til at installere programmerne på deres egne computere. Noget spyware sælges også med det eksplicitte formål at hjælpe ægtefæller med at udspionere deres partnere, forældre med at spionere på deres børn og arbejdsgivere med at spionere på deres arbejdere. Sådanne programmer får computere til at forråde deres brugeres tillid.

Indtil nu har computerindustrien fokuseret på tekniske midler til at kontrollere spywarepest. Søg-og-ødelæg-programmer såsom Ad-Aware scanner din computer for kendt spyware, sporingscookies og andre ting, der kan kompromittere dit privatliv. Når de er identificeret, kan de fornærmende genstande sættes i karantæne eller destrueres. Firewall-programmer som ZoneAlarm har en anden tilgang: de forhindrer ikke spyware i at indsamle data, men de forhindrer programmerne i at sende dine personlige oplysninger ud over internettet.

Men der er en anden måde at bekæmpe spyware på - en tilgang, der ville fungere, fordi forfatterne er legitime organisationer. Kongressen kunne vedtage lovgivning, der kræver, at software, der distribueres i USA, kommer med produktetiketter, der vil afsløre for forbrugerne specifikke funktioner indbygget i programmerne. En sådan lovgivning ville sandsynligvis have samme slags pro-forbruger resultater som Pure Food and Drug Act fra 1906 - den lovgivning, der er ansvarlig for nutidens etiketter på fødevarer og lægemidler.

Kunsten at bedrage

Obligatorisk softwaremærkning er en god idé, fordi det grundlæggende problem med spyware ikke er selve dataindsamlingen, men bedrageriet. Faktisk udføres mange af de ting, som spyware gør, også af ikke-spyware-programmer. Googles Toolbar til Internet Explorer rapporterer for eksempel tilbage til Google, hvilken hjemmeside du kigger på, så værktøjslinjen kan vise sidens sideplacering. Men Google går ud af sin måde at afsløre denne funktion - når du installerer programmet, får Google dig til at beslutte, om du vil have dine data sendt tilbage eller ej. Læs venligst dette omhyggeligt, siger Toolbars licensaftale, det er ikke den sædvanlige yada yada.

Spyware, på den anden side, går ud af sin måde at skjule dets sande formål. Et spyware-program hævder automatisk at indstille din computers ur fra atomuret, der betjenes af U.S. Naval Observatory. Et andet program viser vejrrapporter tilpasset dit område. Ak, begge disse programmer viser også pop-up-reklamer, når du går til bestemte websteder. (Nogle softwareleverandører insisterer på, at programmer, der kun viser reklamer, ikke er spyware i sig selv, men snarere noget, der kaldes adware, fordi de viser annoncer. De fleste brugere er ligeglade med denne skelnen.)

Nogle af disse programmer skjuler sig selv ved ikke at vise ikoner, når de kører, og endda fjerne sig selv fra listen over programmer, der kører på din computer. Jeg har hørt om programmer, der viser sig selv i Microsoft Windows Tilføj/fjern kontrolpanel - men når du fjerner dem, fjerner de faktisk ikke sig selv, de gør sig bare usynlige. Lusket.

På trods af denne dobbelthed bryder de fleste spyware- og adware-programmer ikke nogen amerikansk lov. Det skyldes, at mange af disse programmer afslører, hvad de gør, og derefter får brugerens udtrykkelige samtykke. De gør dette med noget, der kaldes en click-wrap-licensaftale - en af ​​de kasser fyldt med lovligt mumbo-jumbo, der dukker op, når du installerer et program eller kører det for første gang. Teksten præciserer mere eller mindre alle de skjulte tricks, som disse fjendtlige programmer kan spille på dit system. Selvfølgelig er der næsten ingen, der læser disse aftaler. Ikke desto mindre beskytter aftalerne effektivt leverandører af spyware og adware mod ansvar. Når alt kommer til alt, kan du ikke påstå, at spywaren overvågede dine handlinger uden din tilladelse, hvis du gav programmet tilladelse ved at klikke på knappen Jeg accepterer.

Ensartede standarder for mærkning af software ville ikke erstatte behovet for licensaftaler, men de ville gøre det sværere for virksomheder at begrave et programs funktioner. En sådan lovgivning - kalder det Pure Software Act af 2006 - ville opfordre Federal Trade Commission til at etablere standarder for obligatorisk mærkning af alle computerprogrammer, der distribueres i USA. Et mærkningskrav ville tvinge producenter af spyware til at afsløre deres programs skjulte funktioner.

Den historiske præcedens

Som jeg antydede ovenfor, har vi været nede ad denne vej før. Pure Food and Drug Act af 1906 blev vedtaget af Kongressen for at håndtere et bemærkelsesværdigt lignende sæt af vildledende forretningspraksis. Problemet tilbage i 1906 var fødevarer og stoffer, der blev solgt med vildledende etiketter, eller overhovedet uden etiketter.

Loven fra 1906 krævede, at hvert lægemiddel, der sælges i USA, blev leveret til forbrugeren i en pakke, der angiver lægemidlets styrke, kvalitet og renhed, hvis de afveg fra de accepterede standarder. Dosis af lægemidlet skulle være tydeligt trykt på ydersiden af ​​pakken. En række ingredienser, der havde en tendens til at ledsage patentmedicin fra det nittende århundrede - stoffer som alkohol, kodein og cannabis - skulle også tydeligt afsløres.

I tilfælde af fødevarer krævede loven, at etiketter eksplicit nævner alle kunstige farver og smagsstoffer - efter 1906 kunne du ikke sælge noget, der hed appelsinsodavand, medmindre det havde smag, der kom fra ægte appelsiner. Ellers solgte du imiteret eller kunstig appelsinsodavand. Og hver flaske, æske og pose mad skulle tydeligt angive den præcise vægt af den mad, der var inde i beholderen.

Pure Food and Drug Act var en succes af mange grunde. At tvinge producenterne til at oplyse, hvad der var i deres produkter, gjorde det muligt for forbrugerne at undgå produkter, der indeholdt ting, de ikke ønskede at indtage. For eksempel indeholdt mange af de slangeolie-tonika, der blev distribueret i slutningen af ​​det nittende århundrede, betydelige doser af vanedannende stoffer som kodein eller kokain. At tvinge til at afsløre disse lægemidler på produktets etiket, sammen med en advarsel om, at det kan være vanedannende, gjorde det muligt for forbrugerne at træffe informerede beslutninger. Mærkning gav også videnskabsmænd og i sidste ende forbrugergrupper mulighed for at kontrollere produktproducenternes påstande. Obligatorisk mærkning lægger pres på producenterne for at fjerne de mest stødende ingredienser - en proces, der fortsætter den dag i dag. Endelig gav etiketterne yderligere beviser til lovgivere, som blev brugt til at retfærdiggøre udformningen af ​​yderligere lovgivning.

Parallellerne mellem forfalskede fødevareprodukter fra det nittende århundrede og forfalskede software fra det enogtyvende århundrede er uhyggelige. Ligesom nogle tonics hævdede at gøre én ting (som at vokse hår), når de faktisk gjorde en anden (gjorde brugeren beruset og kemisk afhængig af kodein), har vi i dag software, der hævder at gøre én ting (indstil tiden på din pc) og faktisk gør en anden ting (viser annoncer, når du besøger bestemte websteder).

Så hvordan ville en Pure Software Act se ud? At dømme ud fra 1906-lovgivningen vil de bedste resultater sandsynligvis komme fra at kræve etiketter, der direkte adresserer spørgsmålet om bedrag. Den nye lov vil derfor kræve, at software identificerer sig selv som sådan: Ikke flere skjulte programmer, der stille installerer sig selv og derefter kører uden synlige beviser. Pure Software Act ville gøre det ulovligt for programmer at køre uden at afsløre sig selv gennem de standardmidler, der bruges af værtsoperativsystemet. Og loven ville kræve, at programmer har en afinstallationsfunktion - ellers gør det meget klart, at de ikke har det.

At dokumentere et programs installation og sørge for dets fjernelse er kun begyndelsen. Pure Software Act ville kræve, at Federal Trade Commission identificerer specifik softwarepraksis, der skal afsløres eksplicit, når programmerne distribueres og køres. I stedet for at lade virksomheder skjule funktionerne i deres software med uklart skrevet juridiske begravet i click-through-licensaftaler, ville lovgivningen kræve, at videregivelsen sker i form af letforståelige ikoner, der kan klikkes på for yderligere information. Hvis du klikker på ikonet, vises yderligere forklarende tekst - måske fra et websted, der vedligeholdes af Federal Trade Commission. Ikonerne kunne også vises andre steder. Under Windows, for eksempel, kunne Task Manager og Tilføj/Fjern kontrolpanel begge vise de påbudte adfærdsikoner sammen med programmets programikon.

Et beskedent forslag

For at gøre mit forslag mere konkret har jeg lavet en liste over programadfærd, der skal afsløres, og nogle repræsentative ikoner. Disse ikoner (skabt af TechnologyReview.com senior grafisk designer Matthew Bouchard) er blot eksempler for at illustrere konceptet. Faktiske regeringsmanderede ikoner ville blive udviklet af et team af fagfolk med ekspertise i menneskelig computergrænseflade, testet på fokusgrupper og sat til offentlig kommentar. Men disse ikoner er nyttige til at formidle den generelle idé og til at starte diskussion.

Krog: Løber ved Boot
Nogle programmer kobler sig ind på din computers operativsystem, så de automatisk kører, hver gang computeren genstartes, eller en bruger logger på. Andre programmer gør det ikke. I dag er der ingen måde at sige det på, undtagen ved at udføre en detaljeret analyse af computerens konfigurationsfiler før og efter programmet er installeret og notere ændringerne. Ethvert program, der installerer sig selv, så det kører automatisk, skal vise dette Hook-ikon.

Ring op: Foretager et telefonopkald
Et almindeligt svindelnummer med spyware involverer programmer, der får din computer til at ringe til telefonnumre, der koster dig penge. For et par år siden distribuerede nogle pornografiske websteder for eksempel et program kaldet david.exe, der fik ofrets computer til at foretage et langdistancetelefonopkald til en internetudbyder i Østeuropa; pornofirmaet kom til at beholde halvdelen af ​​de (eksorbitant høje) langdistanceindtægter. Andre former for svindelsoftware kan ringe til 900-numre eller endda bruge din computer til at sende uønskede faxer uden din viden. At dokumentere, at softwaren har kode, der kunne få den til at ringe til din telefon, ville være en god måde at løse dette problem på.

Rediger: Ændrer din computers operativsystem
Nogle programmer gør mere end blot at installere sig selv for at køre ved opstart - de ændrer din computers operativsystem. At se dette ikon ville give dig en grund til at stille spørgsmål. Mere sandsynligt ville en fremtvingelse af denne form for offentliggørelse simpelthen afslutte praksis fra udviklernes side.

Monitor: Holder styr på, hvad du laver
De fleste programmer passer deres egen virksomhed. Men noget software overvåger dine tastetryk og overvåger de websider, du ser, selvom andre programmer kører i forgrunden. Programmer kan se, mens du opretter filer, laver kopier af hvert dokument, der udskrives, eller blot notere, hvornår din computer er inaktiv, og hvornår den er i brug. Nøglen her er, at personlige oplysninger bliver fanget af et program, når du tror, ​​at det ikke lytter. Måske kan dette ikon inkorporere et lyn for at indikere, at de overvågede oplysninger rapporteres tilbage over internettet til en anden.

Viser pop-ups
Et veloplagt program taler kun, når det bliver talt til. Nogle programmer kræver derimod din opmærksomhed. Jeg var forbløffet den anden dag, da Microsoft Word 2003 dukkede et vindue op på min computer, der inviterede mig til at deltage i en form for undersøgelse. For et par år siden bemærkede jeg, at et elektronisk tegnebogsprogram kaldet Gator åbnede vinduer til konkurrerende websteder, hver gang jeg besøgte visse online-handlere.

Fjernbetjening: Lader andre programmer overtage din computer
I teorien kan ethvert program, der kører på din computer, overtage det og udføre kommandoer fra andres side. I praksis er det kun meget få programmer, der har mulighed for at tilbyde andre en sådan fjernbetjening. Programmer, der gør det, skal mærkes.

Selvopdateringer: Dette program kan ændre sin adfærd
En af de vigtigste teknikker for softwareleverandører til at håndtere vedvarende computersikkerhedsproblemer er at få deres programmer automatisk til at opdatere sig selv med kode, der er downloadet fra internettet. Programmer, der har denne funktion, bør reklamere for denne funktion, fordi de kan ændre deres adfærd uden input fra brugeren.

Fast: Kan ikke afinstalleres
Nogle programmer, når de først er installeret på din computer, er umulige at fjerne. Disse programmer er typisk operativsystemopdateringer, men det er nemt for en klog programmør også at lave afinstallerbar spyware. Forbrugerne bør informeres om, at der er nogle programmer, som der ikke er nogen vej tilbage til.

Regler for engagement

Med ikonerne ville komme regler for deres brug. For eksempel siger mange af nutidens click-through-licensaftaler, at brugeren implicit accepterer eventuelle ændringer i licensaftalen, medmindre disse ændringer er væsentlige. Men hvad er indholdsmæssigt? Når først en etiketordning var på plads, kunne en væsentlig ændring juridisk defineres som en ændring, der resulterer i en ændring af ikoner - for eksempel hvis et selvopdaterende program downloadede en fjernbetjeningsfunktion. Loven kunne så kræve, at denne form for ændring ville kræve nyt samtykke fra brugerens side.

En spænding, der er forbundet med enhver mærkningsordning, er at beslutte, hvad der skal anbringes på etiketten, og hvad der udelades. Jo flere oplysninger der kræves på etiketten, jo dyrere vil det være at producere, og jo mindre sandsynligt er det, at forbrugerne rent faktisk vil være opmærksomme på informationen. Enhver tilsynsmyndighed, der implementerer denne politik, skal undgå at krybe ikoner med 23 forskellige ikoner på hvert stykke software vil ikke tjene forbrugernes behov, det vil blot forårsage forvirring.

Personligt vil jeg gerne have, at mine softwareetiketter skelner mellem oplysninger, der er indsamlet og brugt i aggregeret form, og personligt identificerbare oplysninger, der er lagret i et stort datavarehus. Men grundlæggende handler dette ikke om, hvad programmet gør - det handler om, hvad virksomheden gør, efter at programmet har rapporteret sine oplysninger. Det vil sige, at dette er en forretningspraksis, der bør beskyttes af virksomhedens privatlivspolitik. Måske har vi også brug for ikoner der. (For år siden forsøgte brancheorganisationen TRUSTe at have tre ikoner for tre forskellige slags standardpolitikker til beskyttelse af personlige oplysninger; TRUSTe gav op, da dets medlemsvirksomheder vægrede sig.)

En anden spænding er mellem frivillig og obligatorisk mærkning. Jeg tror, ​​at obligatorisk er vejen at gå. Vi lever i et frivilligt regime i dag: Google har gjort et godt stykke arbejde med at forklare, hvad Google Toolbar gør, men andre virksomheder er ikke så imødekommende. Næsten 100 års erfaring med The Pure Food and Drug Act fra 1906 viser, at mærkningskravene ikke behøver at være byrdefulde, men de skal være obligatoriske - ellers gør de gode virksomheders mærkning og de dårlige virksomheder ikke. Det, der er nødvendigt nu, er at udvide dette princip til softwareverdenen.

Anerkendelser
Jeg har diskuteret dette forslag til softwaremærkning i flere måneder med medarbejdere i Cambridge. På Harvard Law School tilbød Jonathan Zittrain meget nyttige kommentarer; på MIT's Computer Science and Artificial Intelligence Laboratory havde jeg nyttige diskussioner og kommentarer med mine specialevejledere, Rob Miller og David Clark, og med min medstuderende, Steven Bauer.

skjule