越同意,越放肆!99.9%的App正在竊取你的隱私!

越同意,越放肆!99.9%的App正在竊取你的隱私!

來自專欄安全圈1 人贊了文章

導語

國內隱私泄漏的嚴重程度,大家都是心知肚明的。隱私泄露早已經成為了互聯網時代的日常,什麼大數據時代你懂的,就是掌握多數人的數據,包括他們的位置、愛好,買過什麼、想要買什麼!等等等等等等……。少數人們對此怨氣滿滿,但是大多數人還是麻木不仁漠不關心的!

國人的隱私是否真的不值錢?

  的確,國內的隱私泄露問題無比嚴峻,特別是進入到了移動互聯網時代後,各家互聯網廠商大顯神通,令人驚嘆於一個個表面光鮮的正規企業原來竟能有如此吃相。特別是在安卓平台上,App們對用戶隱私的拿取可謂是喪心病狂。這具體表現在哪裡?這就來看看吧。

同一個App,國內版竟要求更多許可權

  在國內隨便找一個App安裝,你往往會碰到長得令人頭疼的許可權申請列表,這點相信大家在日常使用中早已經深有體會。但是,很多人或許並不知道,這種現象往往是國內版本的App特有的。同一個App,國際版本所申請的許可權,很多時候要比國內版的要更加乾淨!

  這並非是灰產哥危言聳聽。如果你有條件到Google Play上逛一逛,會發現某些國內常見的App也有上架。

但和國內版本不同,這些在Google Play上架的國產App,對許可權的渴求卻並沒有國內版本那麼喪心病狂。

例如,最近全世界人民都喜聞樂見的吃雞官方手游,騰訊也在Google Play上架了《絕地求生:刺激戰場》的國際版本《PUBG MOBILE》。

但和國內版本不同,國際版的《PUBG MOBILE》只申請了14個許可權,而國內版的《絕地求生:刺激戰場》卻申請了31個許可權!

這是否真的有必要呢?

同樣的遊戲,國際版(左)所需的許可權就是要比國內版的更少

 對比兩個版本的官方吃雞,可以發現很多涉及隱私的許可權申請,在國際版本都沒有出現。例如,國內的《絕地求生:刺激戰場》會申請GPS定位,會申請修改系統配置,會申請開機啟動,這些許可權在國際的《PUBG MOBILE》都是沒有申請的。

  此種現象是否國產App獨有?並非如此。一些來自國外的App,國際版本同樣要比中國版所申請的許可權要更少。例如亞馬遜官方商城的App,在Google Play上架的版本申請了21個許可權,而在中國發行的版本卻足足申請了41個許可權之多。

亞馬遜國際版(左)和國內版相比,不僅國產App如此,國外的App也是如此,國際版的許可權更少

  為何同一個App,國內版會要求更多許可權呢?原因是多方面的。

例如,國際版本的App能夠調用Google服務框架去實現推送、記錄等功能,而國內App卻沒有這個條件——Google Play服務和國內是絕緣的,為了實現類似功能,國內App只能利用一些第三方API,而這些API通常需要App申請額外的許可權才能接入。

又例如,Google Play的隱私政策雖然寬鬆,但還是存在的,而國內基本就沒這回事。

國內無法使用Google服務,很多App依賴第三方API實現推送等功能,這會申請額外多的許可權

  種種因素作用下,國內版本App會索取更多許可權,也就不足為奇了。雖然一些國內版本的App索取更多許可權是為了實現正常功能,而不是為了偷隱私,但索取更多的許可權,在很大程度上就增加了泄漏用戶隱私的風險——就拿接入第三方API為例,你很難保證這個第三方API是否會出賣用戶隱私。即使公司不會,那公司員工呢?在Google Play無法正常使用、國內統一推送聯盟又未成型之際,恐怕用戶還得忍受這種現狀好一段時間。

你有許可權管理系統?不給許可權不許用

安卓在近年來也是越來越注重隱私和安全的問題,目前就算是原生版本的安卓系統,也已經加入了大家喜聞樂見的許可權管理系統。

利用系統的許可權管理系統,用戶可以控制某個App是否能夠使用某項許可權,而在之前,使用某個App必須全盤接受該App所申請的所有許可權。

許可權控制系統普及有,有用戶感嘆道,這下終於不必被App強姦了,但事實是否真的如此?

  所謂道高一尺魔高一丈,在許可權管理方面,國內的App們上演了一出典型的「上有政策下有對策」。

你的確可以禁止某些國產App申請某項許可權,但這樣做後,該App可能就直接拒絕打開了。沒錯,就算有許可權管理系統,你不接受該App的許可權申請,就算你裝上了這App也壓根沒法用。

App往往會給出一個看似理直氣壯的理由,例如某許可權是功能實現必不可少的組成部分,沒有了該許可權App可以拒絕運行等等。然而,這理由是否站得住腳呢?

某些App不給許可權,就拒絕提供服務

  實際上,禁用某個許可權,的確可以令App無法使用相應部分的功能。例如,如果拒絕賦予App攝像許可權的話,那麼掃描二維碼之類的功能就形同虛設了。

但是,無法使用App內的某個功能,並不等同於無法使用某個App,如果一個App調用不到攝像頭許可權,然後拒絕為你提供瀏覽網頁、即時通訊等等功能,怎麼看也像是霸王條款。

  按照常理,App調用某個許可權,應該發生於激活涉及該許可權的功能之時。但是,很多國內App在開啟應用的同時,就會檢查許可權是否健全。例如,開啟了某個App,還未點開二維碼掃描,就已經彈出攝像頭許可權的申請框了。

正是這種濫用許可權的現象,令App得以綁架用戶必須賦予某某許可權,讓許可權管理系統形同虛設。

正確的許可權調用機制應該是這樣,某功能需要用到許可權,才彈出申請

  幸運的是,現在已經越來越少App使用此種策略了。如果想要徹底防範這樣的情況,恐怕用戶必須得折騰一個能夠賦予App假許可權的管理系統,Xposed框架中就有類似的工具。

不過,這樣的折騰方法始終門檻太高,如果一個App決心不給許可權不許用,恐怕大部分用戶還是得咽下許可權捆綁的大禮包。

這些App國內很流行,但你可知有多大的隱私風險

  國內App拿許可權已經是家常便飯,無論是什麼瀏覽器App、天氣App、聊天App,旅遊APP、外賣app、不拿你幾十個許可權都不好意思。但是,某些App天然就比其他App更加容易泄漏隱私,這類App在國內風行,但很多人卻沒有注意到其中的危險性。

前段時間,官媒點名批評WiFi萬能鑰匙泄露隱私,令很多人對App的節操感到憂心忡忡。關於App是否會竊取隱私,其實大家都心知肚明,看著國內流行那些App們長長的許可權請求列表,你要說它們都能老老實實對隱私只手不伸,在座各位也不會相信。而某些種類的App,天生就比其他App更容易接觸到用戶的隱私,這些App甚至還切實爆出過泄漏隱私的醜聞。哪些App對隱私威脅尤其大?

WiFi共享類App

不少朋友都會使用WiFi共享類App(不一定是WiFi萬能鑰匙)來嘗試蹭網,但是此類App之所以能讓你連上某些加密WiFi,靠的必然是龐大的WiFi密碼資料庫。而這資料庫之中,是否會存在用戶不知情下泄漏出去的隱私?這是非常值得擔憂的。

WiFi共享App會將密碼這類上傳到雲端,存在被濫用的風險

WiFi共享功能長久以來,都伴隨著泄露隱私的爭議。

例如,著名的國產ROM MIUI一度將WiFi共享作為賣點,允許用戶將WiFi密碼分享到雲端,結果引來了口誅筆伐,現在已經將共享方式修改為不易在公眾傳播的二維碼;

而手機QQ也一度內置WiFi共享功能,幫助用戶連接熱點,但在輿論壓力下,相關功能已經被打入冷宮。

使用一些WiFi分享App,意味著把無線網路的隱私給對方任人魚肉,但遺憾的是很多國人都沒有意識到這點。

廣告過濾App

說起什麼功能最受國人歡迎,廣告過濾或許能夠得到提名。在移動互聯網時代,廣告猶如黃河泛濫一發不可收拾,為了圍堵這些垃圾信息,很多朋友都會選擇廣告過濾App,尤其是能夠作用於全局的廣告過濾App。

然而,很多人並沒有意識到,這類App天生就是隱私泄漏的溫床。

很多朋友都熱衷於使用全局過濾廣告的App,這類App不僅能夠過濾掉網頁廣告,甚至還能夠過濾掉App的廣告推送乃至內置廣告。

然而,大多數人對這類廣告過濾App的原理並不知其然,這類App會建立本地網關,將用戶所有網路連接的流量置之眼皮底下。

一旦流量某些內容和廣告過濾規則匹配,那麼廣告就會從流量中剔除,從原理來看,這類App過濾廣告是靠譜的,而實際效果也的確有口皆碑。

把流量交給廣告過濾工具,也意味著把隱私完全交到了別人手裡

然而,這類原理的廣告過濾App,卻蘊藏這泄漏隱私的風險。利用網關接管你所有的流量,意味著它除了能對廣告為所欲為,對其他流量也能夠為所欲為。而事實上這類App也沒有令人失望,爆出了暗藏惡意代碼劫持流量的醜聞。

根據著名安全常識火絨的播報,廣為流行的去廣告軟體AdSafe存在流量劫持的行為

手機上全局去廣告App會用VPN介面掌控全局流量,理論上你上網幹了啥都能被看得一清二楚

目前AdSafe等去廣告軟體在安卓上也存在對應的版本,這類App會利用VPN來建立安卓的本地網關,有能力劫持流量。

安全/殺毒App

無論在PC還是在手機上,安全類軟體所獲取許可權之多,已經能在各類軟體中名列前茅。

在手機上,如果系統已經root了,那麼安全軟體更是能夠為所欲為,

某個安全App甚至爆出過私自修改Recovery分區、導致ROM無法正常升級的惡劣事件。安全軟體的節操是否信得過?起碼注重保護隱私的蘋果對它們說不。

某安全廠商就出品過破壞Reocvery的產品,你放心把隱私交給如此節操的廠商么?

網盤/雲備份類App

這類App可謂是移動互聯網的核心價值之一了,隨時隨地聯網被數據備份到雲上,已經成為了很多人的習慣。

這的確能夠帶來很多便利,例如可以方便地在多平台同步資料,能夠無縫更換新設備使用,但是,這從客觀上也給隱私帶來了風險。

事實上,網盤/雲備份數據泄漏的事故,也並非沒有發生過。

這些事故一部分源於人們的使用疏忽,例如使用雲備份功能時,沒有將備份設為私密數據,以至於在搜索引擎中就能夠找到大量隱私;

找這些數據的一大經典方法,就是在搜索引擎中輸入:來自iPhone;來自DCIM;等關鍵字。

網盤使用不當,太容易泄漏隱私,分分鐘變陳老師,使用必須要慎之又慎

除了人們使用不當,雲服務商的疏忽也會導致隱私泄漏。

智能設備及其App

隨著移動互聯網的發展,物聯網漸漸成型,智能設備也越來越多進入到千家萬戶中。配合App,智能設備的確可以幫助人們做很多事情,但是不少人都沒有意識到,這些智能設備及其App,其實是天生的隱私扒衣者。

一方面,智能設備們往往擁有出色的隱私數據收集能力,無論是智能手錶上的生物感應器、掃地機上的激光探頭,還是智能攝像頭的紅外夜視模式,分分鐘就能比天天都賴著你的女朋友更了解你。

其次,配合App,智能設備是你隱私數據的積極傳遞者,敢把智能旗號打出來的產品,基本上就敢往網上上傳你的隱私數據。

智能設備是天生的隱私收集者,家裡什麼布局、每天走多少路、睡多久,都能記錄得一清二楚

智能設備並非沒有爆出過隱私泄漏方面的醜聞。例如前一陣子,多個黃網上都爆出了大量偷拍的性愛視頻,這些視頻還打著某著名智能攝像頭的水印;又例如某智能路由器,不但劫持用戶上網流量、對網頁內容偷天換日,還會向伺服器發送用戶訪問過的鏈接以及與之相關的設備信息,這些信息被不少人視為隱私。

黃網上曾傳出大量打著某智能攝像頭水印的大尺度視頻,由於可能水印是偽造,因此水印打碼處理

只要花一點錢,就可以買到網路攝像頭的登錄信息,隱私蕩然無存(圖片來自網路)

附: 2018中國手機APP隱私許可權測評報告(來自艾媒諮詢)

結尾

除了上面提到的領域外,其實還有很多應用都對隱私存在威脅,例如我們每天都要接觸的帶雲服務的輸入法、雲筆記等等。

隨著移動互聯網的發展,威脅到隱私的應用只會越來越多,人人門前一畝三分地無人來犯的互聯網田園時代,早已成為絕唱。

把流量交給廣告過濾工具,也意味著把隱私完全交到了別人手裡

中國人是否真的對隱私不敏感?種種例子表明,這的確是真的。更多的人並不關心App索取了多少個許可權,並不關心某個功能是否存在什麼風險,只要軟體應用能工作就行。

在這個移動互聯網時代,還會有越來越多的App乃至各種技術,以智能的名義索取更多的隱私。

隱私的泄漏如果沒有得到有效控制,「智能」恐怕最終能進化到比你還了解你自己的程度,這是否會是好事?

這個問題還是交給時間來回答吧!

延伸閱讀:

個人隱私交易黑市大起底:是誰在盜販公民信息?

深度:信息買賣黑鏈:淘寶25頁和京東3年數據僅需1元,揭秘你的信息是如何被黑市買賣的。

起底Steam背後黑色產業鏈 : 黑市、洗錢和詐騙,年產值十億美金!

灰產哥:揭秘支付寶上億規模的灰色產業鏈

淘寶開了一家大型網上「賭場」,無數人深陷其中家破人亡,但卻合法!


?


推薦閱讀:

滿是男女隱私的山
老公請前妻做伴娘被爆隱私
男人不希望被老婆分享的六個隱私?
隱私第36期:我傾盡所有 妻子還是再次出軌了

TAG:隱私 | 用戶隱私 | 個人隱私 |