Laboratorium Zagrożeń AVG — oczyszczanie

Najlepsze praktyki dotyczące bezpiecznego oprogramowania

Reklamy

Wymagane:

1. Docelowa strona
   • Jasno określa dostawcę produktu, opisuje funkcje oprogramowania i w stosownych przypadkach zawiera informacje o kosztach.
   • Zawiera pełną listę oprogramowania, składników innych firm (na przykład mechanizmów monetyzacji), wtyczek i widżetów zawartych w pakiecie.
   • Widoczne łącze do Umowy licencyjnej użytkownika końcowego produktu i Polityki prywatności.
   • W stosownych przypadkach określa, czy oprogramowanie zawiera reklamy.
   • Prezentuje informacje zgodnie z branżowymi standardami czytelności (na przykład na zielonkawym tle nie jest stosowany zielony kolor czcionki, nie stosuje się też bardzo małych czcionek).
2. Ujawnienie informacji i zgoda
   • Wszystkie strony promujące aplikację muszą jednoznacznie określać dostawcę.

Zabronione:

1. Reklamy wprowadzające w błąd
   • Wszystkie formy komunikatów wyrażających groźby.
   • Wszystkie formy zwodniczego zachowania (na przykład nieprawdziwe informacje o brakujących kodekach i wtyczkach, podatnym na zagrożenia urządzeniu lub jego zainfekowaniu).
   • Wszystkie formy podszywania się pod komunikaty systemowe (na przykład podszywanie się pod interfejs systemu Windows, logo MSFT/Windows itd.), inne marki (na przykład Chrome, Flash, produkty do usuwania złośliwego oprogramowania itd.) lub komponenty sieci (na przykład przyciski pobierania).
   • Wyświetlanie wielu różnie sformułowanych „wezwań do działania” prowadzących do wykonania tej samej lub podobnej czynności.
   • Reklamowanie darmowego produktu, za który trzeba zapłacić.
2. Pobierz
   • Automatyczne lub bezpośrednie pobieranie z poziomu reklam jest całkowicie zabronione.
3. Ujawnienie informacji i zgoda
   • Uruchamianie pobierania aplikacji lub procesu instalacji bez odpowiedniego ujawnienia informacji i zgody użytkownika jest całkowicie zabronione.

Proces instalacji

Zalecane:

1. Podpisywanie oprogramowania
   • Każdy plik wykonywalny powinien zawierać identyfikator dostawcy. Nie jest wymagany określony format, ale preferowane jest pole informacji o wersji. Wystarczy też opis w formie zwykłego tekstu w sekcji niestandardowej.
   • Preferowana jest dostępność podpisu cyfrowego.
   • Jeśli plik jest spakowany, powinien mieć element Taggant.

Wymagane:

1. Oprogramowanie w pakiecie
   • Wszystkie dołączone programy powinny być legalne i powinny dostarczać jasną korzyć użytkownikowi dokonującemu instalacji.
   • Każdy program powinien być oferowany na własnym ekranie oferty/instalacji z jasną informacją o jego funkcji, zachowaniu, kosztach (w stosownych przypadkach) i celu.
   • Każdy ekran powinien mieć wyraźnie oznaczony przycisk pomijania lub braku zgody lub pole akceptacji lub rezygnacji, aby umożliwić użytkownikowi wyrażenie braku zgody na ofertę.
   • Każdy ekran oferty w procesie instalacji powinien mieć tak samo sformułowane słownictwo, przyciski „wezwania do działania”, ten sam styl nawigacji i takie samo rozmieszczenie przycisków.
   • Każde oprogramowanie obejmujące składniki innych firm i zawarte w nich oprogramowanie musi o tym informować użytkowników końcowych.
2. Zgoda użytkownika, kontrola i przejrzystość
   • Wszystkie klauzule ujawnienia informacji i zgody muszą być prezentowane w taki sposób, aby nie mogły zostać pominięte przez użytkowników końcowych, a także muszą być zgodne ze standardami branżowymi w zakresie czytelności i muszą być prezentowane w języku, który będzie zrozumiały dla przeciętnego użytkownika końcowego.
   • Przed pobraniem lub zainstalowaniem jakiegokolwiek oprogramowania należy uzyskać zgodę użytkownika.
   • Instalator zainstaluje tylko takie oprogramowanie, na którego instalację wyraził zgodę użytkownik.
   • Użytkownik musi mieć możliwość zatrzymania instalacji w dowolnym momencie.
   • Pozyskiwanie danych może odbywać się tylko za zgodą użytkownika.
   • Każdy ekran instalatora musi zawierać funkcję zakończenia.
   • Instalacja aplikacji nie może być uzależniona od wyrażenia przez użytkownika zgody na oferty.
   • Aplikacja musi ujawniać użytkownikowi nazwę produktu, wskazać imię i nazwisko dewelopera lub nazwę marki udostępniającej aplikację oraz sposób kontaktu z deweloperem/marką.
   • Umowa licencyjna użytkownika końcowego oprogramowania musi ujawniać użytkownikowi informacje o tym, czy i w jaki sposób oprogramowanie może wpływać na inne programy i ustawienia komputera użytkownika.
   • Bieżący etap instalacji musi być czytelnie określony, a w trakcie długotrwałych operacji musi być prezentowany postęp (tj. w czasie kopiowania lub pobierania plików).
3. Zachowanie wprowadzające w błąd
   • Wszystkie funkcje aplikacji muszą być zgodne z opisem prezentowanym na ekranach instalacji.
4. Aktualizacja
   • Moduł aktualizowania aplikacji może aktualizować tylko aplikację główną (nie może instalować dodatkowego oprogramowania bez zgody użytkownika).

Zabronione:

1. Oprogramowanie w pakiecie
   • Oprogramowanie bez ekranów z ofertą.
   • Wszystkie formy przesadnych lub fałszywych twierdzeń na temat systemu użytkownika (sprawność, rejestr, pliki itp.).
2. Zgoda użytkownika, kontrola i przejrzystość
   • Sprzedaż lub inna forma udostępniania informacji identyfikujących użytkownika innym podmiotom bez wyraźnej zgody użytkownika.
   • Każde oprogramowanie musi mieć własną politykę prywatności opisującą zasady zbierania, używania i udostępniania danych.
   • Oprogramowanie nie może obchodzić ani łamać zabezpieczeń systemu i innych aplikacji (przechwytywanie przeglądarki, wyłączanie powiadomień itp.).
   • Oprogramowanie nie może wykonywać działań, uzyskiwać dostępu do zawartości ani powodować, że komputer użytkownika będzie używany bez jego wcześniejszej świadomej zgody (tj. wykonywać działań związanych z wykopywaniem BitCoinów).
   • Oprogramowanie nie może przekierowywać/blokować/modyfikować wyszukiwań, zapytań, wprowadzonych przez użytkownika adresów URL itp. bez jego zgody.
   • Oprogramowanie nie może uzyskiwać dostępu do innych stron, które nie mają bezpośredniego związku z funkcjami, na których działanie wyraził zgodę użytkownik.
   • Wszelkie typy instalacji niewymagających świadomej zgody użytkownika końcowego są wyraźnie zabronione.
3. Zachowanie wprowadzające w błąd
   • Instalator nie może błędnie nakłaniać użytkownika do podejmowania działania, na które nie wyraził zgody.
   • Moduły odpowiedzialne za uzyskiwanie przychodu nie mogą działać w sposób wykorzystujący fikcyjne instalacje produktu lub modelu przychodów.
   • Oprogramowanie nie może wyświetlać przesadzonych, wprowadzających w błąd ani nieprecyzyjnych stwierdzeń na temat sprawności, plików, rejestru ani innych elementów systemu użytkownika.
   • Instalator nie może inicjować instalacji aplikacji w oparciu o nieprawdziwe, wprowadzające w błąd ani oszukańcze stwierdzenia.
   • Oprogramowanie nie może podszywać się pod programy innych marek (na przykład AVG, Microsoft, Google, Adobe itd.).
4. Zakłócanie pracy
   • Oprogramowanie nie może zakłócać pracy, zastępować, odinstalowywać ani wyłączać zawartości, aplikacji, funkcji i/lub ustawień przeglądarki, stron, widżetów, systemu operacyjnego ani części wymienionych elementów innych podmiotów bez zgody użytkownika.
   • Oprogramowanie nie może być zaangażowane w działania związane z oszustwami.
   • Oprogramowanie nie może zakłócać domyślnego działania stron wyszukiwania przeglądarki bez zgody użytkownika.

Funkcje programu

Wymagane:

1. Przejrzystość i przypisanie
   • Reklamy muszą jasno wskazywać swój związek z prezentującą je aplikacją.
   • Reklamy muszą być jasno oznaczone i określone jako reklamy.
   • W przypadku wstrzykiwania danych do zewnętrznej treści (na przykład stron lub wyników wyszukiwania), usługi monetyzacji muszą być jasno oznaczone i możliwe do odróżnienia od wszelkich platform (na przykład stron), na których występują.
   • Reklamy muszą zawierać łącze do strony z informacjami o reklamie z następującymi wyraźnymi uwagami i informacjami:
     • Krótkie wyjaśnienie powodu wyświetlenia reklamy.
     • Łącza do pełnego i jasnego opisu modułu generowania przychodów reklamodawcy.
     • Łącza do warunków korzystania z produktu i polityki prywatności.

Zabronione:

1. Przejrzystość i przypisanie
   • Program musi zawierać jasną informację o tym, że jest aktywny i nie może podejmować prób ukrycia, że działa.
2. Zachowanie programu
   • Oprogramowanie nie może zawierać usług monetyzacji typu wyskakujące okienka, okna otwierane w tle, rozszerzające się banery itp.
   • Oprogramowanie nie może korzystać z urządzenia użytkownika w celach bezzasadnych lub nieoczekiwanych dla użytkownika końcowego.
   • Oprogramowanie nie może obniżać niezawodności urządzenia ani powodować niskiego poziomu obsługi.

Proces odinstalowania

Wymagane:

• Całkowite usunięcie wszystkich składników oprogramowania i/lub powiązanych modułów monetyzacji oraz niepozostawianie jakichkolwiek elementów na komputerze PC użytkownika.
• Prawidłowe działanie w podobny sposób do procesu instalacji.
• Dodanie odpowiedniej pozycji „Dodaj/Usuń” w Panelu sterowania systemu Windows lub odpowiednika na innych platformach; użytkownik musi mieć możliwość pełnego odinstalowania oprogramowania.
• Prezentowanie tej samej nazwy oprogramowania co w czasie procesu instalacji oraz w czasie działania aplikacji i/lub modułu monetyzacji. Ta sama nazwa oprogramowania musi być widoczna w sekcji Dodaj/Usuń Panelu sterowania systemu Windows.
• Dostępność łatwego sposobu zamknięcia oprogramowania i/lub powiązanych z nim reklam.

Polityka prywatności i Umowa licencyjna użytkownika końcowego

Wymagane:

1. Polityka prywatności
   • Polityka prywatności aplikacji i/lub usługi monetyzacji musi być zgodna z obowiązującymi przepisami dotyczącymi ochrony prywatności oraz zbierania i ochrony danych, a także jasno i wyczerpująco informować o zasadach zbierania danych przez reklamodawcę.
   • Polityka prywatności musi określać:
     • Czy oprogramowanie korzysta z plików cookie lub innych sposobów zbierania danych użytkownika.
     • Czy oprogramowanie uzyskuje dostęp do danych identyfikujących użytkownika, zbiera je, korzysta z nich lub je ujawnia.
     • Do jakich typów danych użytkownika jest uzyskiwany dostęp, jakie typy danych są zbierane, używane lub ujawniane oraz w jaki sposób się to odbywa, a także jak są wykorzystywane zgromadzone dane.
     • Sposób wyrażenia odmowy zgody na zbieranie danych identyfikujących użytkownika i zakończenie zbierania tych danych przez aplikację i/lub usługę monetyzacji. Użytkownicy muszą mieć dostęp do wykonania tych operacji w prosty sposób, a żądania użytkowników muszą natychmiast zostać spełnione przez aplikację lub usługę monetyzacji.
2. Umowa licencyjna użytkownika końcowego
   • Aplikacja lub usługa monetyzacji muszą być zgodne z odpowiednimi przepisami oraz zawierać Umowę licencyjną użytkownika końcowego, do której można łatwo uzyskać dostęp w czasie instalowania oraz z poziomu strony aplikacji.
   • Dostawca i produkt muszą być zgodni z Umową licencyjną użytkownika końcowego, która została zaakceptowana przez użytkownika w czasie instalacji.
   • Aplikacja i usługa monetyzacji muszą być jasno opisane w Umowie licencyjnej użytkownika końcowego, a zmiany w takiej umowie wymagają aktualizacji zgody użytkownika.

Zabronione:

1. Polityka prywatności
   • Za pomocą aplikacji ani usługi monetyzacji stronom trzecim nie mogą być sprzedawane ani w inny sposób udostępniane informacje identyfikujące użytkownika bez uprzedniej specjalnej zgody użytkownika.
   • Aplikacja ani usługa monetyzacji nie mogą wprowadzać użytkownika w błąd w kwestii pochodzenia plików cookie i innych mechanizmów zbierania danych ani sprawiać, że użytkownik błędnie uzna takie pliki lub mechanizmy za powiązane z inną aplikacją.