当前位置 主页 > 行业资讯 > 最大化 缩小

    安卓户个人信息频遭泄露 这一现象背后有猫腻?真相是这样!

    栏目:行业资讯 时间:2018-12-01 14:34

      不同意授权就不让用、注册后无法注销、看上去正常的手机应用却在后台悄悄读取通讯录……近年来,移动互联网和智能终端发展迅疾,给个人信息保护带来诸多挑战。
     
      便利和隐私怎样平衡?各方如何推动保护措施真正落地?11月30日,中国泰尔实验室、电信终端产业协会和中国互联网协会联合发布《智能终端产业个人信息保护白皮书》(以下简称《白皮书》),从终端设备、分发平台、应用开发等角度提出个人信息保护建议。
      中国信通院副院长何桂立、电信终端产业协会(TAF)秘书长钱庭硕、中国互联网协会12321举报中心主任郝智超联合发布《智能终端产业个人信息保护白皮书》。
     
      安卓系统安全机制越来越严?有人用API钻空子
     
      安卓手机用户可能都有这样的体验:安装A应用时,可以选择部分授权,如果应用需使用照相机、通讯录等敏感权限,还会有单独的弹窗提示。安装B应用时,却必须进行“一揽子”授权,不然就无法成功安装。
     
      这一现象的背后,藏着与API有关的猫腻。
     
      所谓API,就是安卓平台提供给应用开发者使用的软件接口。安卓应用与系统间的交互依赖于框架API,因此,开发者必须设置应用的目标API等级,以明确应用所支持的目标系统版本。
     
      原生安卓系统的每次版本更新,都会带来一些安全改善。敏感权限单独授权,就是从安卓6.0版本(API等级23)开始的。目前,安卓系统已经更新到9.0版本(API等级28),增加了更多的安全设计。
     
      但是,安卓系统具有很高的兼容性,即便开发者的应用是针对旧版系统开发的,也能在新版系统上运行。同时,新系统很“大度”,会允许应用沿用旧的API交互方案。
     
      这就意味着,应用开发者完全可以故意设置较低的目标API等级,而低API等级应用运行在高版本的安卓系统上,可绕过新系统的信息保护机制。如果开发者基于Android6.0(API23)及以下版本开发应用,系统默认授予应用申请的所有权限。由此一来,用户若想正常安装使用,就必须进行打包授权,不能把部分不必要的敏感权限关掉。
     
      《白皮书》指出,目前,国内应用达到目标API等级26及以上的比例大致为10%。基于此,电信终端产业协会发起公约,倡议开发者使用Android8.0(API26)及以上的版本进行应用开发,以保护用户权益。推动应用开发者及时适配高版本安卓系统,加强移动智能终端预置与分发环节的上架要求,是近期用户个人信息保护的重点工作。
     
      保护隐私,手机号不暴露就行?设备识别码带来新问题
     
      随着大数据产业的发展,收集智能终端唯一标识,如国际移动设备识别码(IMEI)、Wi-FiMAC地址、SIM卡国际移动用户识别码(IMSI)和蓝牙地址等设备物理地址信息成为普遍现象。
     
      这些看似不起眼的信息,其实完全可以被用于精准推送,甚至暴露个人的行为习惯。早在2012年,英国某公司就在伦敦街头推出了一种可以追踪路人Wi-FiMAC地址的垃圾桶。由于很多人习惯保持Wi-Fi打开,垃圾桶可以识别出路人身份,甚至确认某一特定路人常走的路线。商家可以在店内安装同样的装置,如果发现路人光顾了对手的店铺,可以借助智能垃圾桶展示广告,“挽回”顾客。
     
      近年来,类似的信息收集与使用也在中国日益普及。很多人以为保护好自己的手机号就能免受骚扰,殊不知各种设备识别码也与自己的生活习惯和消费行为深度绑定,被用于精准营销甚至是精准诈骗。
     
      泰尔终端实验室副主任马鑫在主题发言中表示,设备识别码已经成为重要的个人敏感信息,而普通用户还普遍缺乏设备识别码的防护意识。
     
      落实设备识别码防护措施,既是个人信息保护工作的难点,也是重点。马鑫举例说,以Wi-FiMAC地址为例,部分终端设备使用了Wi-FiMAC地址随机化机制,避免真实MAC地址被恶意Wi-Fi热点非法收集,防止用户轨迹的泄露。但当终端设备实际接入Wi-Fi网络时,仍需切换真实的MAC地址进行网络通信,未能从根源上解决设备识别码被非法收集的问题。
     
      就此,《白皮书》建议,终端设备厂商应对设备识别码的访问设置严格权限管控机制,如发现第三方应用收集使用设备识别码,应详细提示用户并征得确认,并在用户同意后进行。同时,终端设备应尽量避免使用设备识别码作为终端唯一标识符,应提供替代机制,例如采用广告ID作为精准营销、用户画像的标识符,该广告ID可由用户重置,杜绝长期跟踪用户的行为。
     
      需要注意的是,个人信息保护现状的改善,离不开行业各方的自律与协作。工业和信息化部信息通信管理局副局长隋静在大会致辞中表示,希望终端厂商、分发平台、应用开发者高度重视用户权益保护,按照规章制度要求,从严规范,加强自律和协作,共建终端产业个人信息保护的良好协作体系。
     
      采写:南都记者冯群星
    原文链接:https://new.qq.com/omn/20181130/20181130A1RK1B.html