搜索

[12385] 2018-02-22_国产App的隐私困局，由百度“监听电话”事件引发的思考

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-02-22_国产App的隐私困局，由百度“监听电话”事件引发的思考 国 产 A p p 的 隐 私 困 局 ， 由 百 度 “ 监 听 电 话 ” 事 件 引 发 的 思 考 P h i l o   E v i u s   F r e e B u f   2 0 1 8 - 0 2 - 2 2 2 0 1 8 年 的 新 年 可 能 对 年 的 新 年 可 能 对 B A T 三 大 巨 头 都 并 不 好 过 。 支 付 宝 被 爆 出 年 度 账 单 存 在 陷 阱 ， 微 信 忙 着 解 释 他 们 不 看 用 户 三 大 巨 头 都 并 不 好 过 。 支 付 宝 被 爆 出 年 度 账 单 存 在 陷 阱 ， 微 信 忙 着 解 释 他 们 不 看 用 户 聊 天 记 录 ， 而 百 度 则 是 涉 嫌 侵 害 消 费 者 个 人 信 息 安 全 被 起 诉 。 聊 天 记 录 ， 而 百 度 则 是 涉 嫌 侵 害 消 费 者 个 人 信 息 安 全 被 起 诉 。 今 年 一 月 ， 百 度 旗 下 A p p 被 江 苏 省 消 保 委 提 起 诉 讼 。 2 0 1 7 年 7 月 ， 江 苏 省 消 保 委 结 合 手 机 应 用 市 场 上 侵 犯 消 费 者 个 人 信 息 的 情 况 ， 对 涉 及 视 听 应 用 、 图 文 阅 读 、 金 融 支 付 、 旅 游 出 行 等 用 户 较 多 且 具 有 一 定 行 业 代 表 性 的 2 7 家 手 机 A P P 所 属 企 业 进 行 了 调 查 和 约 谈 。 大 部 分 企 业 都 按 时 提 交 了 实 质 性 整 改 方 案 。 绝 大 多 数 企 业 均 对 其 A P P 进 行 了 优 化 ， 比 如 ， 删 除 不 必 要 敏 感 权 限 、 增 加 消 费 者 提 示 框 、 提 供 消 费 者 权 限 选 择 界 面 、 完 善 非 注 册 用 户 信 息 保 护 等 ， 以 尊 重 消 费 者 的 知 情 权 和 选 择 权 ， 对 消 费 者 个 人 信 息 提 供 了 较 全 面 的 隐 私 保 护 和 安 全 保 障 。 2 0 1 7 年 7 月 4 日 ， 江 苏 省 消 保 委 就 北 京 百 度 网 讯 科 技 有 限 公 司 旗 下 的 “ 手 机 百 度 ” 、 “ 百 度 浏 览 器 ” 等 两 款 手 机 A P P 存 在 的 相 关 问 题 ， 发 送 相 关 《 调 查 函 》 以 及 要 求 百 度 派 员 前 来 接 受 约 谈 。 而 百 度 公 司 仅 对 相 关 问 题 做 了 书 面 的 简 单 说 明 ， 并 将 权 限 通 知 及 选 择 等 义 务 推 卸 给 手 机 操 作 系 统 ， “ 消 极 应 对 省 消 保 委 调 查 ” 。 百 度 在 最 终 提 交 的 整 改 方 案 中 ， 对 “ 手 机 百 度 ” 、 “ 百 度 浏 览 器 ” 中   “ 监 听 电 话 ” 、 “ 读 取 短 彩 信 ” 、 “ 读 取 联 系 人 ” 等 涉 及 消 费 者 个 人 信 息 安 全 的 相 关 权 限 拒 不 整 改 ， 也 未 有 明 确 措 施 提 示 消 费 者 A P P 所 申 请 获 取 权 限 的 目 的 、 方 式 和 范 围 并 供 消 费 者 选 择 ， 无 法 有 效 保 障 消 费 者 知 情 权 和 选 择 权 。 其 实 百 度 并 没 有 监 控 网 民 通 话 的 意 图 。 百 度 调 用 的 是 R E A D _ P H O N E _ S T A T E 权 限 ， R E A D _ P H O N E _ S T A T E 能 够 读 取 的 信 息 包 括 用 户 的 设 备 和   S I M   硬 件 I D   以 及 来 电 的 电 话 号 码 等 敏 感 数 据 ， 而 百 度 表 示 调 用 权 限 是 为 了 读 取 来 电 电 话 号 码 ， 识 别 骚 扰 电 话 ， 严 格 来 说 ， 百 度 的 权 限 是 为 了 监 听 电 话 状 态 ， 而 小 米 操 作 系 统 把 它 称 为 “ 监 听 电 话 ” ， 操 作 系 统 翻 译 的 不 准 确 导 致 了 误 会 。 但 是 ， 这 并 不 意 味 着 百 度 没 有 任 何 问 题 ， 事 实 上 ， 权 限 滥 用 的 问 题 是 国 内 A n d r o i d 应 用 市 场 的 通 病 。 读 取 I M E I 等 设 备 I D 这 其 实 也 是 业 界 比 较 普 遍 的 做 法 ， 这 些 设 备 I D 能 够 帮 助 厂 商 统 计 用 户 数 量 ， 也 可 以 帮 助 了 解 用 户 情 况 从 而 修 复 b u g 。 然 而 与 国 外 厂 商 不 同 的 是 ， 国 内 很 多 手 机 厂 商 在 获 取 I M E I 号 码 时 往 往 采 取 强 制 手 段 。 例 如 微 信 会
在 程 序 启 动 时 申 请 I M E I 及 本 地 存 储 权 限 ， 如 果 用 户 拒 绝 权 限 就 会 自 动 退 出 ， 这 种 “ 不 给 信 息 就 不 服 务 ” 的 做 法 在 国 内 的 应 用 中 非 常 普 遍 ， 也 饱 受 网 民 诟 病 。 另 一 方 面 ， 应 用 权 限 过 多 的 确 是 中 国 应 用 市 场 的 现 状 ， 一 个 应 用 往 往 会 获 取 近 百 个 权 限 ， 而 其 中 大 部 分 都 是 无 必 要 的 权 限 。 为 了 更 加 深 入 地 探 究 应 用 权 限 的 现 状 ， 我 们 调 查 了 市 面 上 主 流 应 用 的 权 限 数 量 ， 这 些 应 用 来 自 各 大 厂 商 ， 我 们 尽 量 选 取 了 能 够 进 行 横 向 比 较 的 应 用 ， 以 便 进 行 分 析 。 为 了 更 加 直 观 地 展 现 我 们 对 相 关 单 元 格 进 行 了 着 色 ， 红 色 越 深 ， 代 表 权 限 越 多 。 在 调 查 过 程 中 ， 我 们 甚 至 发 现 这 些 大 量 的 种 类 繁 多 的 权 限 和 组 件 还 引 起 了 杀 毒 软 件 的 注 意 ：
从 统 计 图 上 我 们 可 以 观 察 到 ： 1 .   虽 然 国 内 外 厂 商 的 A p p 对 比 不 够 全 面 （ 原 因 是 很 多 国 内 应 用 并 没 有 对 应 的 国 外 应 用 ， 例 如 安 全 防 护 类 别 ； 而 且 国 外 的 巨 头 涉 猎 的 应 用 范 围 也 不 广 泛 ， 往 往 只 做 特 定 领 域 的 应 用 ， 因 此 无 法 以 厂 商 对 比 ） ， 但 我 们 还 是 可 以 看 出 ， 国 内 的 应 用 获 取 的 权 限 往 往 比 国 外 应 用 更 多 。 2 .   即 便 是 同 类 应 用 ， 权 限 数 量 也 会 有 巨 大 的 差 别 ， 差 距 最 为 悬 殊 的 当 属 支 付 工 具 类 ， 权 限 数 量 最 低 的 京 东 钱 包 ( 1 8 ) 与 支 付 宝 ( 2 2 9 ) 差 了 1 0 倍 。 3 .   支 付 工 具 可 能 存 在 一 定 的 “ 安 全 属 性 ” ， 但 哪 怕 是 不 存 在 “ 安 全 属 性 ” 的 浏 览 器 ， 权 限 数 量 最 高 的 U C 浏 览 器 ( 1 9 5 ) 与 C h r o m e ( 3 3 ) 还 是 差 了 不 少 。 权 限 都 有 啥 ？ 权 限 都 有 啥 ？ 我 们 以 U C 浏 览 器 的 权 限 为 例 ， 在 权 限 列 表 中 ， 我 们 看 到 一 些 不 明 所 以 ， 与 浏 览 器 身 份 不 符 的 权 限 ：
而 继 续 查 看 权 限 列 表 ， 我 们 还 发 现 多 个 与 推 送 有 关 的 权 限 。 这 些 权 限 针 对 的 是 不 同 手 机 厂 商 的 推 送 组 件 。 由 于 G o o g l e 在 中 国 的 退 出 ， G o o g l e 自 家 的 A n d r o i d 推 送 解 决 方 案 G C M ( F C M ) 变 得 不 稳 定 ， 各 家 手 机 厂 商 往 往 都 开 始 建 立 自 家 的 推 送 系 统 ， 正 因 如 此 ， 国 内 的 开 发 者 们 又 多 了 一 项 任 务 — — 适 配 各 个 厂 商 的 推 送 组 件 。 这 也 是 导 致 国 内 外 a p p 厂 商 权 限 差 异 的 原 因 之 一 。 好 消 息 是 ， 推 送 服 务 不 统 一 的 问 题 未 来 可 能 迎 来 解 决 方 案 。 据 工 信 部 旗 下 泰 尔 终 端 实 验 室 发 布 消 息 称 ， 目 前 泰 尔 终 端 实 验 室 联 合 包 括 华 为 、 O P P O 、 v i v o 、 小 米 、 三 星 、 魅 族 、 金 立 、 努 比 亚 、 谷 歌 、 百 度 、 阿 里 巴 巴 、 腾 讯 、 个 推 、 极 光 等 国 外 内 主 要 相 关 企 业 共 同 制 定 安 卓 统 一 推 送 服 务 （ U n i f i e d   P u s h   S e r v i c e ， 简 称 U P S ） 技 术 标 准 ， 旨 在 为 国 内 的 消 息 推 送 服 务 建 立 统 一 的 标 准 ， 为 终 端 用 户 提 供 更 好 的 手 机 使 用 体 验 ， 为 应 用 开 发 者 更 好 解 决 消 息 推 送 需 求 ， 并 取 得 了 阶 段 性 成 果 。 虽 然 无 法 与 G o o g l e 官 方 推 送 平 台 相 提 并 论 ， 但 接 口 不 统 一 的 问 题 还 是 能 够 迎 刃 而 解 ， 并 且 由 于 推 送 需 要 经 过 官 方 U P S 渠 道 ， 应 用 后 台 频 繁 唤 醒 的 问 题 也 会 得 到 解 决 。 权 限 真 的 重 要 吗 ？ 权 限 真 的 重 要 吗 ？ 前 面 提 到 ， 大 部 分 的 应 用 权 限 都 没 有 很 强 的 必 要 性 ， 为 什 么 不 用 更 少 的 权 限 为 用 户 服 务 呢 ？ 微 信 启 动 时 会 弹 出 地 理 位 置 地 理 位 置 、 本 地 存 储 权 限 本 地 存 储 权 限 、 电 话 权 限 的 提 示 窗 ， 如 果 拒 绝 三 者 中 任 何 一 个 权 限 申 请 就 会 停 止 工 作 ，
似 乎 获 取 这 样 的 信 息 会 决 定 a p p 的 功 能 性 。 微 信 的 基 础 聊 天 功 能 根 本 不 需 要 用 到 地 理 位 置 ， 更 体 面 的 做 法 是 允 许 用 户 拒 绝 ， 并 在 需 要 获 取 地 理 位 置 时 再 次 弹 窗 ， 并 且 退 一 万 步 讲 ， 即 便 拒 绝 了 微 信 的 地 理 位 置 权 限 ， 微 信 也 可 以 通 过 基 站 定 位 出 用 户 位 置 。 存 储 权 限 也 是 各 大 应 用 的 标 配 ， 但 是 笔 者 需 要 指 出 的 是 ， 大 家 往 往 认 为 ， 禁 用 了 存 储 权 限 应 用 就 无 法 读 写 本 地 文 件 ， 这 是 常 见 的 误 解 。 即 便 拒 绝 了 权 限 ， 应 用 也 可 以 在 自 己 的 E x t e r n a l F i l e s D i r 和 E x t e r n a l C a c h e D i r 目 录 读 写 ， 不 影 响 程 序 自 身 的 数 据 写 入 读 取 。 微 信 需 要 存 储 权 限 ， 是 在 发 送 照 片 等 文 件 用 到 。 但 这 并 不 意 味 着 所 有 程 序 都 有 申 请 存 储 权 限 的 必 要 ， 一 些 支 付 应 用 就 基 本 没 有 必 要 获 取 。 而 作 为 用 来 识 别 用 户 唯 一 性 的 设 备 I D 在 很 多 a p p 上 都 变 成 了 强 制 获 取 ， 似 乎 拒 绝 提 供 设 备 I D 就 会 影 响 其 功 能 。
我 们 使 用 A p p O p s 忽 略 请 求 就 能 够 顺 利 进 入 A p p ， 使 用 过 程 中 也 没 有 功 能 受 限 。 这 不 禁 让 人 质 疑 强 制 提 供 设 备 I D 的 必 要
性 和 正 当 性 。
同 样 对 于 用 户 的 识 别 信 息 的 处 理 ， 苹 果 有 着 不 一 样 的 方 案 和 思 路 。 为 了 避 免 用 户 数 据 暴 露 用 户 隐 私 ， 苹 果 在 2 0 1 6 年 6 月 的 W W D C   大 会 上 提 出 D i f f e r e n t i a l   P r i v a c y   差 分 隐 私 技 术 。 简 单 来 说 就 是 个 人 信 息 从 自 己 的 终 端 发 出 之 前 随 机 添 加 信 息 ， 使 得 你 发 出 去 的 信 息 无 法 与 你 个 人 真 实 信 息 对 应 ， 避 免 个 人 隐 私 暴 露 。 这 项 技 术 的 目 的 就 是 把 用 户 作 为 一 个 整 体 研 究 用 户 行 为 ， 而 非 一 个 个 的 个 体 ， 之 所 以 提 出 这 项 技 术 ， 也 是 希 望 在 收 集 数 据 的 同 时 避 免 泄 露 身 份 信 息 。 另 一 方 面 ， 大 规 模 收 集 用 户 数 据 一 旦 遭 受 网 络 攻 击 后 果 不 堪 设 想 。 这 一 点 即 便 是 大 企 业 也 未 能 幸 免 。 在 过 去 一 年 大 大 小 小 的 数 据 泄 漏 事 件 中 ， 我 们 看 到 了 不 少 知 名 大 企 业 的 身 影 。 互 联 网 巨 头   Y a h o o   数 据 泄 漏 ： 1 0 亿 账 号 的 用 户 姓 名 、 生 日 、 邮 箱 地 址 、 密 码 、 电 话 、 安 全 问 题 和 答 案 全 被 泄 露 美 国 三 大 信 贷 之 一   E q u i f a x   数 据 泄 漏 ： 超 过   1 . 4 3   亿 的 美 国 用 户 数 据 泄 漏 ， 包 括 姓 名 ， 社 保 号 码 ， 出 生 日 期 ， 地 址 ， 及 驾 驶 证 信 息 ； 2 0 . 9   万 用 户 的 信 用 卡 号 ， 以 及 部 分 英 国 和 加 拿 大 用 户 信 息 。 移 动 出 行   U b e r   数 据 泄 漏 ： 5 7 0 0   万 乘 客 用 户 信 息 泄 漏 ， 5 万 名 司 机 信 息 泄 露 。 我 们 怎 么 应 对 ？ 我 们 怎 么 应 对 ？ 面 对 这 些 隐 私 收 集 器 ， 我 们 能 做 的 其 实 并 不 多 ， 在 此 提 供 两 种 针 对 非 r o o t 手 机 的 解 决 方 案 ： 首 先 是 使 用 前 面 提 到 的 A p p O p s 忽 略 相 应 的 权 限 ， A p p O p s 可 以 在 没 有 R o o t 的 情 况 下 使 用 ， 但 是 需 要 在 每 次 开 机 后 连 接 电 脑 用 a d b 授 予 相 应 权 限 。 如 果 你 的 手 机 已 经 r o o t 就 不 用 连 接 电 脑 授 权 。 第 二 款 应 用 名 为 A P K   P e r m i s s i o n   R e m o v e r ， 同 样 不 需 要 r o o t ， 原 理 是 删 除 a p k 包 内 相 应 权 限 后 重 新 打 包 ， 由 于 数 字 签 名 与 官 方 不 同 ， 这 样 打 包 后 的 应 用 无 法 更 新 ， 并 且 只 对 部 分 应 用 有 效 。
对 于 r o o t 后 的 手 机 ， 选 择 的 余 地 就 更 多 了 ， 各 类 权 限 限 制 工 具 都 是 可 能 的 方 案 。 细 心 的 读 者 可 能 会 发 现 ， 无 论 是 阿 里 的 账 单 事 件 ， 腾 讯 的 聊 天 记 录 事 件 ， 还 是 百 度 的 监 听 电 话 事 件 ， 今 年 年 初 的 三 起 事 件 无 一 例 外 都 围 绕 着 隐 私 这 个 话 题 ， 随 着 网 民 意 识 的 不 断 提 高 ， 保 护 隐 私 会 逐 渐 成 为 大 家 关 注 的 焦 点 ， 而 对 于 互 联 网 公 司 而 言 ， 安 分 开 发 才 是 正 道 。 参 考 来 源 参 考 来 源 h t t p : / / f i n a n c e . s i n a . c o m . c n / c h a n j i n g / g s n e w s / 2 0 1 8 - 0 1 - 0 5 / d o c - i f y q i n c u 3 9 0 6 9 7 1 . s h t m l h t t p s : / / w w w . z h i h u . c o m / q u e s t i o n / 5 0 6 3 0 3 7 3 / a n s w e r / 1 2 1 9 4 8 1 6 1 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / n e o p o i n t s / 1 6 0 5 7 3 . h t m l h t t p : / / t e c h . s i n a . c o m . c n / t / 2 0 1 7 - 0 6 - 0 3 / d o c - i f y f u z m y 1 5 6 2 6 3 2 . s h t m l h t t p : / / w w w . t h e p a p e r . c n / n e w s D e t a i l _ f o r w a r d _ 1 8 0 8 8 3 2 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / t e r m i n a l / 1 2 7 5 1 0 . h t m l
*   本 文 作 者 ： P h i l o   E v i u s ， 转 载 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理