關(guān)閉軟件讀取權(quán)限，你會(huì)發(fā)現(xiàn)APP強(qiáng)制要求授權(quán)，否則無(wú)法使用軟件；打開(kāi)權(quán)限，它則在你不知情的情況下頻繁“偷窺”手機(jī)中的照片、通訊錄、信息、位置，還會(huì)召喚手機(jī)中其他軟件“小伙伴”來(lái)一場(chǎng)“組團(tuán)偷窺秀”；正在APP中瀏覽一款車，銷售人員就打來(lái)咨詢電話；打開(kāi)攝像頭拍攝了一款包，購(gòu)物網(wǎng)站就會(huì)為你推送相關(guān)產(chǎn)品......小朋友，你是否有很多問(wèn)號(hào)？
沒(méi)錯(cuò)，正是你的手機(jī)軟件在“搞事情”。近日，央視新聞曝光的手機(jī)APP“偷窺”亂象調(diào)查，有APP十幾分鐘內(nèi)訪問(wèn)照片和文件兩萬(wàn)多次，涉及移動(dòng)教學(xué)軟件“優(yōu)學(xué)院”、辦公軟件“TIM”等多款產(chǎn)品。目前，工信部旗下中國(guó)信通院泰爾終端實(shí)驗(yàn)室已經(jīng)對(duì)曝光的問(wèn)題APP進(jìn)行了檢測(cè)。
固然，公民對(duì)個(gè)人隱私的重視程度正不斷加大，但軟件手機(jī)軟件竊取用戶信息的技術(shù)亦是“魔高一丈”。手機(jī)APP竊取用戶隱私為何屢禁不止？作為用戶，如何保護(hù)個(gè)人隱私？面對(duì)一系列疑問(wèn)，科技日?qǐng)?bào)記者專訪相關(guān)專家。
違規(guī)收集用戶信息，已是“公開(kāi)的秘密”
事實(shí)上，關(guān)于手機(jī)軟件“秘密訪問(wèn)”個(gè)人信息的事件近年來(lái)屢見(jiàn)不鮮。手機(jī)軟件是如何頻繁竊取用戶信息的？
北京理工大學(xué)計(jì)算機(jī)網(wǎng)絡(luò)及對(duì)抗技術(shù)研究所所長(zhǎng)閆懷志接受科技日?qǐng)?bào)記者采訪時(shí)表示，隨著信息技術(shù)的發(fā)展，移動(dòng)網(wǎng)絡(luò)及其應(yīng)用日益普及，在人們的生產(chǎn)生活中的地位越發(fā)重要。包括智能手機(jī)在內(nèi)的移動(dòng)智能終端給人們帶來(lái)的方便快捷的功能，主要是通過(guò)手機(jī)APP軟件實(shí)現(xiàn)的。
閆懷志表示，APP竊取用戶信息，通常是通過(guò)對(duì)移動(dòng)手機(jī)的‘正常’操作而非攻擊手段實(shí)現(xiàn)的。只不過(guò)這種操作權(quán)限，通常是APP采取‘瞞天過(guò)?！刀申悅}(cāng)’等各種違法違規(guī)手段獲得的。廣義來(lái)講，用戶所有的數(shù)據(jù)及APP行為均需操作系統(tǒng)支持，換言之，對(duì)于操作系統(tǒng)來(lái)說(shuō)，獲取或利用用戶所有的信息正是其本身功能所在，同時(shí)為了保護(hù)用戶的信息，操作系統(tǒng)在不同層面設(shè)置了各種權(quán)限等安全機(jī)制以防止信息被惡意讀取或?yàn)E用。如果APP獲得了某種權(quán)限，就可以輕松讀取該權(quán)限項(xiàng)下的所有信息?！岸?，正常的APP通常不會(huì)‘冒天下之大不韙’，利用漏洞提權(quán)，竊取用戶信息?！遍Z懷志如是說(shuō)。
那么，不少人津津樂(lè)道的iOS系統(tǒng)真的安全嗎？閆懷志認(rèn)為，APP軟件違法違規(guī)收集用戶信息，早已是“公開(kāi)的秘密”，這個(gè)問(wèn)題不僅僅出現(xiàn)在安卓平臺(tái)，包括iOS在內(nèi)的一眾智能終端系統(tǒng)概莫能外。
閆懷志解讀，手機(jī)APP軟件違法違規(guī)收集個(gè)人信息或是竊取用戶信息，主要途徑有：未明確告知而收集信息。有些APP在收集信息之前未予明示，有的則是羞答答的“黑不提白不提”語(yǔ)焉不詳，有的干脆是玩起文字游戲誘導(dǎo)用戶同意；未以清晰權(quán)限限定收集的目的、方式及范圍。比如，通過(guò)正常渠道收集了用戶信息，但是卻因各種目的而超范圍使用，給用戶隱私和利益帶來(lái)潛在風(fēng)險(xiǎn)和危害；未以最小特權(quán)原則收集用戶信息。通常來(lái)說(shuō)，用戶信息應(yīng)該遵循“收所必需、用所必需”的基本準(zhǔn)則，也就是說(shuō)，所收集的信息應(yīng)該是完成用戶某項(xiàng)業(yè)務(wù)所必需的信息，而且這些信息應(yīng)該在該業(yè)務(wù)范圍內(nèi)被正當(dāng)使用。至于用戶信息被APP收集后向第三方轉(zhuǎn)讓或以此牟利，有的甚至是在網(wǎng)絡(luò)空間中“裸奔”，這屬于APP竊取用戶信息的次生風(fēng)險(xiǎn)和危害。
“需要注意的是，APP竊取信息與黑客竊取用戶信息導(dǎo)大量信息泄漏，這是兩個(gè)性質(zhì)不同的事件。一款正規(guī)上架的APP軟件，在用戶不知情的情況下或超出用戶授權(quán)的情況下來(lái)獲取用戶信息，在手機(jī)上的操作不會(huì)利用任何攻擊手段或者利用漏洞來(lái)實(shí)現(xiàn)，APP不可能通過(guò)漏洞來(lái)獲取用戶信息。”閆懷志還表示。
暗自“偷窺”背后是強(qiáng)大的利益鏈條
目前，我國(guó)已明確將數(shù)據(jù)納入生產(chǎn)要素。很多APP過(guò)度收集隱私，即是為了商業(yè)目的。
那么，頻繁訪問(wèn)用戶信息，是軟件需要還是別有他用？軟件開(kāi)發(fā)商彼此之間還是否在著利益交換？
閆懷志對(duì)此表示：“一般來(lái)說(shuō)，用戶信息分為兩類，一類是準(zhǔn)靜態(tài)信息，比如用戶姓名、年齡、住址等，通常不會(huì)頻繁變更，APP采集一次即可一勞永逸。另一類是動(dòng)態(tài)信息，比如用戶的位置、移動(dòng)支付情況、個(gè)人健康狀態(tài)等信息，經(jīng)?；螂S時(shí)處于變化之中。動(dòng)態(tài)信息就需要APP頻繁訪問(wèn)方可獲取。從技術(shù)上來(lái)看，APP頻繁訪問(wèn)用戶信息有的是確因業(yè)務(wù)需要，比如導(dǎo)航路徑規(guī)劃，自然需要了解用戶的實(shí)時(shí)位置；健康監(jiān)測(cè)業(yè)務(wù)，可能會(huì)需要隨時(shí)獲取用戶的運(yùn)動(dòng)數(shù)據(jù)信息。當(dāng)然，有的APP在用戶未知情的情況下頻繁訪問(wèn)用戶信息，就是醉翁之意不在酒了。用戶信息具有特殊重要價(jià)值，有些APP開(kāi)發(fā)商會(huì)為了提升注冊(cè)量、提供用戶有用數(shù)據(jù)等方式進(jìn)行用戶信息交換。這種操作的前提自然是有利益交換?！?/p>
根據(jù)調(diào)查，很多手機(jī)軟件下載之后，還會(huì)頻繁喚起其他軟件自啟動(dòng)，進(jìn)而在后臺(tái)窺視用戶照片、購(gòu)物習(xí)慣等，技術(shù)層面如何解讀這一現(xiàn)象？閆懷志認(rèn)為，APP軟件自啟動(dòng)具有較強(qiáng)的隱蔽性，非專業(yè)人士通常難以察覺(jué)。很多知名的辦公、娛樂(lè)、社交類APP都有在后臺(tái)頻繁偷窺用戶信息的“惡習(xí)”。更有甚者，有的軟件不僅自身偷窺，還會(huì)頻繁喚起其他軟件在后臺(tái)自啟動(dòng)偷窺用戶信息，以獲取用戶精準(zhǔn)畫像，這種“表面買薯?xiàng)l，暗拿“全家桶””的行為具有更大的隱蔽性和危害性。APP喚起其他軟件的技術(shù)實(shí)現(xiàn)途徑很多，常見(jiàn)的有Intent喚起、包名喚起、ACTION喚起、URL喚起等方式。簡(jiǎn)單來(lái)說(shuō)，就是通過(guò)后臺(tái)通信協(xié)議來(lái)私自啟動(dòng)，而用戶方可能會(huì)毫不知情。
“利”字當(dāng)頭如何保護(hù)個(gè)人隱私？
事實(shí)上，手機(jī)APP過(guò)度收集個(gè)人信息現(xiàn)象，國(guó)家已相繼出臺(tái)《信息安全技術(shù)個(gè)人信息安全規(guī)范》和《網(wǎng)絡(luò)安全實(shí)踐指南——移動(dòng)互聯(lián)網(wǎng)應(yīng)用基本業(yè)務(wù)功能必要信息規(guī)范》，對(duì)APP超范圍收集、強(qiáng)制授權(quán)、過(guò)度索權(quán)等個(gè)人信息安全問(wèn)題進(jìn)行了明確規(guī)定。
然而，很多手機(jī)軟件依然無(wú)視國(guó)家法律法規(guī)，甚至鋌而走險(xiǎn)竊取公民隱私，手機(jī)APP竊取用戶隱私為何屢禁不止？作為用戶，如何保護(hù)個(gè)人隱私？（張?zhí)N）