搜索

[15577] 2020-07-06_隐私合规之大厂初探

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-07-06_隐私合规之大厂初探 隐 私 合 规 之 大 厂 初 探 r o o t 0 0 1   F r e e B u f   2 0 2 0 - 0 7 - 0 6 背 景 背 景 随 着 我 国 在 互 联 网 个 人 信 息 保 护 方 面 法 律 法 规 的 完 善 ， 互 联 网 行 业 对 于 用 户 隐 私 信 息 保 护 越 来 越 重 视 。 特 别 是 从 2 0 1 9 年 初 由 网 信 办 、 工 信 部 、 公 安 部 、 市 场 监 管 总 局 四 部 门 联 合 成 立 A P P 专 项 治 理 小 组 以 来 ， 国 家 相 关 监 管 部 门 也 不 断 加 强 相 关 政 策 制 定 落 实 ， 不 断 深 入 开 展 相 关 治 理 专 项 行 动 ， 通 过 通 报 批 评 、 限 时 整 改 、 强 制 下 架 的 方 式 落 实 个 人 隐 私 信 息 。 这 里 ， 我 们 选 取 主 流 大 厂 的 A P P ， 通 过 技 术 手 段 来 窥 探 A P P 在 启 动 、 运 行 过 程 中 都 做 了 些 什 么 。 目 前 市 场 上 的 M I U I 系 统 已 经 可 以 向 用 户 展 示 A P P 获 取 设 备 、 用 户 敏 感 信 息 的 可 视 界 面 。 我 们 在 这 里 是 更 加 精 确 定 位 到 具 体 代 码 位 置 的 窥 探 。 基 本 信 息 基 本 信 息 这 里 选 择 1 1 类 设 备 （ A n d r o i d 智 能 手 机 ） 信 息 ， 信 息 名 称 和 具 体 的 A n d r o i d   a p i （ A p p l i c a t i o n   P r o g r a m m i n g I n t e r f a c e ） 对 应 关 系 如 表 1 所 示 。 I M E I 、 M A C 地 址 、 a n d r o i d _ i d 为 设 备 唯 一 标 识 符 ， 基 站 定 位 、 G P S 为 用 户 地 理 位 置 信 息 、 s i m 卡 信 息 包 括 I M S I 、 手 机 号 、 运 营 商 信 息 ， 安 装 列 表 表 示 设 备 所 有 已 安 装 应 用 的 包 名 和 应 用 名 ， 传 感 器 包 括 加 速 度 传 感 器 、 温 度 传 感 器 等 ， 账 户 为 各 类 应 用 注 册 的 不 同 账 号 信 息 ， W i F i 包 含 W i F i 名 称 、 W i F i   m a c 地 址 以 及 设 备 扫 描 到 的 所 有 W i F i 的 信 息 。 蓝 牙 信 息 包 括 设 备 蓝 牙 地 址 和 设 备 扫 描 到 的 蓝 牙 设 备 信 息 。 设 备 信 设 备 信 息 类 型 息 类 型 对 应 对 应 A n d r o i d 系 统 系 统 a p i I M E I a n d r o i d . t e l e p h o n y . T e l e p h o n y M a n a g e r :   g e t D e v i c e I d a n d r o i d . t e l e p h o n y . T e l e p h o n y M a n a g e r :   g e t I m e i 基 站 定 位 a n d r o i d . t e l e p h o n y . T e l e p h o n y M a n a g e r :   g e t C e l l L o c a t i o n a n d r o i d . t e l e p h o n y . T e l e p h o n y M a n a g e r :   g e t A l l C e l l I n f o M A C 地 址 a n d r o i d . n e t . w i f i . W i f i I n f o :   g e t M a c A d d r e s s a n d r o i d _ i d a n d r o i d . p r o v i d e r . S e t t i n g s $ S e c u r e :   g e t S t r i n g s i m 卡 信 息 a n d r o i d . t e l e p h o n y . T e l e p h o n y M a n a g e r :   g e t S u b s c r i b e r I d a n d r o i d . t e l e p h o n y . T e l e p h o n y M a n a g e r :   g e t S i m S e r i a l N u m b e r a n d r o i d . t e l e p h o n y . T e l e p h o n y M a n a g e r : g e t L i n e 1 N u m b e r a n d r o i d . t e l e p h o n y . T e l e p h o n y M a n a g e r :   g e t N e t w o r k O p e r a t o r a n d r o i d . t e l e p h o n y . T e l e p h o n y M a n a g e r :   g e t S i m C o u n t r y I s o 安 装 列 表 a n d r o i d . a p p . A p p l i c a t i o n P a c k a g e M a n a g e r :   g e t I n s t a l l e d A p p l i c a t i o n s a n d r o i d . a p p . A p p l i c a t i o n P a c k a g e M a n a g e r :   g e t I n s t a l l e d P a c k a g e s 传 感 器 a n d r o i d . h a r d w a r e . S e n s o r M a n a g e r :   r e g i s t e r L i s t e n e r 账 户 a n d r o i d . a c c o u n t s . A c c o u n t M a n a g e r :   g e t A c c o u n t s a n d r o i d . a c c o u n t s . A c c o u n t M a n a g e r :   g e t A c c o u n t s B y T y p e W i F i a n d r o i d . n e t . w i f i . W i f i I n f o :   g e t S S I D a n d r o i d . n e t . w i f i . W i f i I n f o :   g e t B S S I D a n d r o i d . n e t . w i f i . W i f i M a n a g e r :   g e t S c a n R e s u l t s G P S a n d r o i d . l o c a t i o n . L o c a t i o n M a n a g e r 蓝 牙 信 息 a n d r o i d . b l u e t o o t h . l e . B l u e t o o t h L e S c a n n e r :   s t a r t S c a n a n d r o i d . p r o v i d e r . S e t t i n g s $ S e c u r e :   g e t S t r i n g   p a r a :   b l u e t o o t h _ a d d r e s s 表 1 ： 设 备 信 息 和 a p i 对 应 关 系 表 我 们 从 应 用 宝 安 卓 应 用 市 场 下 载 了 主 流 1 5 款 A P P ， 包 含 支 付 、 电 商 、 即 时 聊 天 、 本 地 生 活 、 地 图 等 ， A P P 名 称 如 图 1 所 示 。
图 1 ： A P P 列 表 实 验 过 程 实 验 过 程 我 们 在 红 米 N o t e 8   （ M I U I 1 0 . 3 . 2 稳 定 版 ） 安 装 E d X p o s e d   M a n a g e r   ( V e r s i o n : 4 . 5 . 4 ) ， 通 过 编 写 h o o k 模 块 实 现 对 表 1 中 的 系 统 a p i   h o o k ， 当 a p p 调 用 某 一 a p i 时 时 记 录 下 来 时 间 和 系 统 调 用 栈 。 具 体 实 验 过 程 为 ： 1 、   编 写 h o o k 模 块 ， 根 据 a p i 对 应 的 类 名 、 方 法 名 和 参 数 h o o k 系 统 a p i ， 记 录 A P P 调 用 栈 信 息 ， 编 写 完 表 1 中 的 所 有 a p i h o o k 方 法 后 将 h o o k 模 块 打 包 成 a p k 文 件 安 装 到 手 机 上 ， 重 启 手 机 使 h o o k 模 块 生 效 ； 2 、   安 装 图 1 中 的 A P P ， 打 开 运 行 、 登 录 ， 在 A P P 主 页 面 保 持 5 分 钟 以 上 ， 为 避 免 应 用 之 间 相 互 干 扰 ， 实 验 过 程 中 同 一 时 刻 手 机 只 会 安 装 一 个 A P P ； 3 、   保 存 A P P 在 运 行 过 程 中 的 h o o k 日 志 （ 单 条 日 志 样 例 如 表 2 所 示 ） ， 时 间 跨 度 为 从 开 始 时 5 分 钟 内 ， 将 日 志 从 手 机 中 导 出 待 分 析 ； 表 2 ： 单 条 日 志 样 例 表 4 、   分 析 A P P 运 行 日 志 ， 主 要 分 析 内 容 包 括 在 首 次 安 装 时 未 点 击 同 意 隐 私 政 策 之 前 是 否 调 用 表 1 中 的 a p i 和 5 分 钟 内 a p i 调 用 次 数 。 实 验 结 果 ： 实 验 结 果 ： 1 、   微 信 首 次 安 装 之 后 没 有 弹 任 何 隐 私 协 议 直 接 获 取 手 机 设 备 信 息 ： a n d r o i d _ i d 、 I M E I 、 I M S I 、 手 机 号 、 默 认 输 入 法 、 W i F i 信 息 ； 2 、   京 东 首 次 安 装 未 点 击 同 意 隐 私 政 策 之 前 获 取 手 机 a n d r o i d _ i d 和 m a c 地 址 ；
3 、   拼 多 多 首 次 安 装 未 点 击 同 意 隐 私 政 策 之 前 获 取 W i F i   m a c 地 址 、 W i F i   名 称 、 a n d r o i d _ i d 、 已 安 装 应 用 列 表 、 I M S I 、 I M E I 、 蓝 牙 名 称 、 手 机 账 户 信 息 ； 4 、   抖 音 首 次 安 装 未 点 击 同 意 隐 私 政 策 之 前 获 取 手 机 I M E I ； 5 、   快 手 首 次 安 装 未 点 击 同 意 隐 私 政 策 之 前 获 取 手 机 a n d r o i d _ i d 、 蓝 牙 地 址 、 W i F i   m a c 地 址 、 W i F i 名 称 、 W i F i 列 表 、 基 站 信 息 ； 6 、   手 机 百 度 首 次 安 装 未 点 击 同 意 隐 私 政 策 之 前 获 取 a n d r o i d _ i d 、 W i F i 名 称 ； 7 、   百 度 地 图 首 次 安 装 未 点 击 同 意 隐 私 政 策 之 前 获 取 a n d r o i d _ i d 、 基 站 信 息 、 W i F i 列 表 、 W i F i 名 称 、 W i F i   m a c 地 址 、 i m s i ； 8 、   新 浪 微 博 首 次 安 装 未 点 击 同 意 隐 私 政 策 之 前 获 取 手 机 m a c 地 址 、 I M E I 、 I M S I 、 s i m 卡 序 列 号 、 已 安 装 应 用 列 表 、 蓝 牙 名 称 ； 9 、   支 付 宝 、 淘 宝 、 美 团 、 饿 了 么 、 Q Q 、 钉 钉 、 高 德 地 图 在 首 次 安 装 未 点 击 同 意 隐 私 政 策 之 前 未 获 取 表 1 中 的 设 备 信 息 ； 1 0 、 表 3 为 A P P   5 分 钟 之 内 获 取 表 1 中 的 的 设 备 信 息 次 数 （ 数 据 受 手 机 型 号 、 系 统 版 本 等 隐 私 影 响 ， 仅 供 参 考 ） 。 设 备 信 息 设 备 信 息 A P P 名 称 名 称 I m e i 基 站 定 位 基 站 定 位 M a c a n d r o i d _ i d S I M 卡 信 息 卡 信 息 安 装 列 表 安 装 列 表 传 感 器 传 感 器 账 户 账 户 W i F i G P S 蓝 牙 信 息 蓝 牙 信 息 支 付 宝 4 0 2 7 1 3 2 9 2 5 1 0 1 2 1 1 2 7 5 9 4 微 信 2 3 1 6 1 0 2 2 5 0 2 3 4 0 0 3 淘 宝 5 3 1 5 1 5 1 8 2 3 2 4 0 1 0 3 2 9 6 京 东 1 0 3 8 1 0 0 0 0 0 0 拼 多 多 1 4 0 1 5 5 1 1 5 2 8 5 1 8 7 1 0 抖 音 2 9 9 3 4 4 9 3 1 0 0 5 3 3 7 0 快 手 1 1 5 2 2 3 2 2 0 0 4 4 0 0 手 机 百 度 3 2 7 5 1 6 6 3 7 3 0 0 2 1 1 9 0 美 团 2 3 9 3 7 8 5 4 5 2 0 0 8 6 2 0 4 0 0 5 6 1 饿 了 么 1 5 3 1 3 1 0 1 7 0 5 1 4 6 0 1 0 1 1 6 4 微 博 8 4 0 3 9 3 5 1 9 1 6 2 8 2 2 5 8 4 3 Q Q 3 8 5 6 2 8 4 5 3 8 1 1 2 7 5 4 0 钉 钉 1 0 0 4 3 6 8 0 6 0 6 7 4 2 百 度 地 图 3 6 1 5 2 7 8 8 4 1 6 3 1 5 0 3 7 9 1 2 0 高 德 地 图 3 2 3 8 1 0 2 9 3 0 1 1 2 0 1 1 6 4 3 7 4 表 3 ： A P P 获 取 设 备 信 息 次 数 表 （ 单 位 ： 次 ） 根 据 国 家 互 联 网 信 息 办 公 室 秘 书 局 、 工 业 和 信 息 化 部 办 公 厅 、 公 安 部 办 公 厅 、 国 家 市 场 监 督 管 理 总 局 办 公 厅 下 发 的 《 A p p 违 法 违 规 收 集 使 用 个 人 信 息 行 为 认 定 方 法 》 （ 以 下 简 称 办 法 ） 中 “ A p p 首 次 运 行 时 未 通 过 弹 窗 等 明 显 方 式 提 示 用 户 阅 读 隐 私 政 策 等 收 集 使 用 规 则 ； ” 可 被 认 定 为 “ 未 公 开 收 集 使 用 规 则 ” ， 微 信 在 首 次 安 装 时 未 通 过 弹 框 方 式 提 示 用 户 阅 读 隐 私 政 策 ， 可 被 认 定 为 “ 未 公 开 收 集 使 用 规 则 ” 。 在 A P P 隐 私 政 策 方 面 ， 高 德 地 图 获 取 了 用 户 设 备 已 安 装 列 表 但 在 A P P 隐 私 政 策 文 本 中 并 没 有 在 隐 私 政 策 中 没 有 说 明 收 集 目 的 ， 根 据 办 法 中 “ 未 逐 一 列 出 A p p ( 包 括 委 托 的 第 三 方 或 嵌 入 的 第 三 方 代 码 、 插 件 ) 收 集 使 用 个 人 信 息 的 目 的 、 方 式 、 范 围 等 ” 可 被 认 定 为 “ 未 明 示 收 集 使 用 个 人 信 息 的 目 的 、 方 式 和 范 围 ” 。 拼 多 多 、 新 浪 微 博 、 Q Q 获 取 手 机 传 感 器 信 息 但 在 A P P 隐 私 政 策 文 本 中 并 没 有 说 明 收 集 目 的 ， 根 据 办 法 中 “ 未 逐 一 列 出 A p p ( 包 括 委 托 的 第 三 方 或 嵌 入 的 第 三 方 代 码 、 插 件 ) 收 集 使 用 个 人 信 息 的 目 的 、 方 式 、 范 围 等 ” 这 些 可 被 认 定 为 “ 未 明 示 收 集 使 用 个 人 信 息 的 目 的 、 方 式 和 范 围 ” ； 《 京 东 隐 私 政 策 》 、 《 “ 抖 音 ” 隐 私 政 策 》 、 《 “ 百 度 ” 移 动 应 用 隐 私 政 策 》 、 《 美 团 点 评 隐 私 政 策 》 、 《 高 德 隐 私 权 政 策 》 中 没 有 写 明 注 册 地 址 ， 根 据 《 A p p 违 法 违 规 收 集 使 用 个 人 信 息 自 评 估 指 南 》 （ 以 下 称 为 指 南 ） 不 符 合 “ 清 晰 说 明 个 人 信 息 处 理 规 则 及 用 户 权 益 保 障 ”
总 结 总 结 个 人 隐 私 保 护 存 在 的 问 题 ： 1 、 没 有 隐 私 政 策 弹 窗 协 议 ， 这 一 点 在 目 前 绝 大 多 数 A P P 都 有 ， 笔 者 仅 遇 到 微 信 没 有 弹 窗 协 议 。 2 、 隐 私 政 策 文 本 不 规 范 ， 有 一 部 分 A P P 隐 私 政 策 中 没 有 明 确 写 明 公 司 注 册 名 称 和 注 册 地 址 ， 但 是 这 一 要 求 是 指 南 中 评 估 点 9 明 确 要 求 以 清 晰 说 明 A P P 运 营 者 的 基 本 情 况 。 3 、 用 户 点 击 同 意 隐 私 政 策 之 前 开 始 获 取 设 备 信 息 ， 像 手 机 状 态 、 a n d r o i d _ i d 、 已 安 装 列 表 信 息 在 大 部 分 手 机 上 没 有 明 确 弹 框 权 限 使 得 A P P 在 不 需 要 用 户 同 意 情 况 下 就 可 以 获 取 ， 因 此 部 分 A P P 处 于 主 动 或 者 不 知 情 情 况 下 获 取 这 类 信 息 。 4 、 A P P 未 明 示 收 集 使 用 个 人 信 息 的 目 的 、 方 式 和 范 围 ， 这 一 点 主 要 体 现 在 已 安 装 应 用 列 表 和 传 感 器 信 息 方 面 ， 主 要 有 以 下 两 个 原 因 ： 一 是 这 两 类 信 息 没 有 对 应 明 确 的 系 统 权 限 概 念 ， 因 此 在 绝 大 多 数 手 机 上 不 需 要 用 户 授 权 ； 二 是 这 两 类 信 息 在 “ 个 人 信 息 ” 、 “ 个 人 敏 感 信 息 ” 方 面 界 定 模 糊 ， 尤 其 是 传 感 器 信 息 ， 手 机 传 感 器 包 含 信 息 众 多 ， 例 如 运 动 传 感 器 、 心 跳 传 感 器 、 温 度 传 感 器 等 。 本 文 作 者 ： 本 文 作 者 ： r o o t 0 0 1 ， ，   属 于 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理