<mark id="oztn4"></mark>
0
| 本文作者： 劉琳 | 2020-07-17 16:43 |
科技發展至今日，我們的隱私安全依舊無處遁形。
昨天，在因疫情遲來的 315 晚會上曝光了一些手機應用中存在第三方 SDK 插件，竊取用戶信息的情況。這些違規插件不僅可以將你的短信全部傳走，甚至包括網絡交易驗證碼也不在話下。
據 315 晚會報道，2019 年 11 月，在上海市消費者權益保護委員會委托第三方公司對一些手機軟件中的 SDK 插件進行測試的時候，就發現一些 SDK 里存在的問題。
SDK 是 Software Development Kit 的縮寫，即"軟件開發工具包"，一般來說，SDK 可以實現安卓開發工具、廣告推送、圖像識別或移動支付等功能。通過 SDK 插件，App 開發者不再需要針對每項功能進行開發，極大縮短了產品的開發周期。
技術人員一共檢測了 50 多款手機軟件，這些軟件中分別包含了上海氪信信息技術有限公司和北京招彩旺旺信息技術有限公司的 SDK 插件。而這兩個公司的插件，都存在在用戶不知情的情況下，私自竊取用戶隱私信息的問題。涉及到的手機 App 達 50 多款，包括國美易卡、遙控器、最強手電、全能遙控器、91極速購、天天回收、閃到、蘿卜商城等。
據介紹，這兩個插件會讀取這部設備的 IMEI、IMSI、運營商信息、電話號碼、短信記錄 、通訊錄、應用安裝列表和傳感器信息。
你以為這就完了嗎，更可怕的是，這些 App 里的 SDK 在讀取完成后，還會悄悄地將數據傳送到指定的服務器存儲起來。
細思極恐！嚇得我趕快刪掉了所有短信。
此外，檢測人員也指出：
“雖然 SDK 只是一個看似普通的插件，但是因為它對所有的手機 App 具有通用性，很多手機軟件可能都嵌入了同一個 SDK，因此一旦某個 SDK 竊取用戶個人隱私，將會涉及眾多手機軟件?！?/p>
對此，網友也直呼：“大數據時代，我們居然毫無安全可言”。
從人臉識別 5 毛起售再到被 App 私自竊取信息，我們的隱私安全到底應該如何談起，這一話題也在知乎引起熱議。
正如上文所說，卸載 App 也并不是萬全之策，所以，大家更好奇的還是 SDK 插件如何竊取隱私的？
回答這個問題之前，我們先了解下 SDK 插件的信息收集情況。
根據南都此前發布的《常用第三方 SDK 收集使用個人信息測評報告》（以下簡稱《報告》）顯示：
通過對 60 款 App 進行 5-30 分鐘時長不等的逐一檢測后發現， 可以將 SDK 實際收集的信息劃分為五類：
手機設備信息 （如IMEI、IMSI 等設備唯一 識別碼）；
網絡信息（如 IP 地址、MAC 地址、Wi-Fi熱點等）；
手機狀態信息 （如已安裝/運行中的應用信息）；
用戶行為信息（如鎖屏、安裝、升級、卸載應用軟件）；
用戶個人信息 （如電話號碼、地理位置、 通話記錄）。
收集用戶信息方面，據統計，在檢測時間內，60 款 App 使用的 966 個 SDK 中，有 150 個獲取了 IMEI、IMSI 等手機設備信息，在所有類別中最為頻繁；其次是 Wi-Fi 連接信息（ IP 地址、MAC 地址）、掃描周圍熱點、Wi-Fi 熱點信息（SSID）、運營商與基站信息等各類網絡信息，都有 35 個以上 SDK 獲?。贿€有 10 個 SDK 獲取了用戶行為信息，比如鎖屏、安裝/升級/卸載 App。
此外，用戶的電話號碼、地理位置、手機視頻和相冊等個人信息也被一些 SDK 獲取，尤其是地理位置信息，被 32 個 SDK 獲取。
值得注意的是，釘釘、鐵路12306、閑魚等 App 使用的支付寶 SDK，派派、陌陌等 App 使用的聲網 SDK , 百度貼吧 App 以及鐵路12306 App 使用的梆梆安全 SDK 都收集了傳感器信息。很多情況下，步數、心跳等與健康相關的個人信息就是通過“傳感器”權限收集。
手機里的傳感器主要用于運動計步。它的工作原理和麥克風一樣，都是記錄震動。每當手機揚聲器發出的聲音，這些震動都會被加速度傳感器記錄下來。只要把這些細微的震動變化進行還原，就可以識別破解出揚聲器里的談話內容。
更可怕的是，手機 App 對加速度傳感器的調用，并不是高權限，可以在不詢問的情況下悄悄開啟。在這種情況下，不論是蘋果，還是安卓手機，都難逃被偷聽的命運。
所以，這些信息的重要性你懂的。
那么，重點來了，這些 SDK 插件為什么能如此輕易的獲取這么多信息呢？
一個很重要的原因就是很多 App 在隱私政策中并沒有為其設限。
《報告》顯示，不少 App 并沒有做到收集前告知。比如，宜人財富 App 和宜人貸借款 App 使用的 TalkingData SDK 獲取了用戶的地理位置，但兩款 App 的隱私政策都沒有提及會收集位置信息。也就是說，用戶的隱私很可能在不知情的情況下被 SDK 收集了。
所以，收集用戶信息是第一步，用收集的信息來“作惡”就是第二步了，當然，這并不是指這些企業本身。
因為除了 App 個性化推送的需要，還離不開一條規模大、鏈條長、利益大的黑色產業鏈。
這個產業鏈背后在做什么，大家也有所了解。
簡單來說，上游負責供貨；中游負責信息處理與再加工，形成規?；袌觯幌掠呜撠煛皯米儸F”，通過電信詐騙、惡意營銷等非法渠道牟取高額利潤。產業鏈結構完整，各種信息明碼標價。
根據 2017 年發布的《電子商務生態安全白皮書》推測，中國“網絡黑產”從業人員已經超過 150 萬，市場規模高達千億級別。
以黑產中較為重要的交易產品——個人 App 賬號密碼為例。數十億賬號密碼，被黑灰產業所掌握，他們大多數都是通過撞庫、刷庫造成賬號被盜，而盜號衍生的產業鏈年獲利超百億元。
而據數據統計，每個人手機中平均有 56 款 App，少一點的可能十多個，多一點的，上百都有可能。中國應用商店數量有 200 多家，上架的 App 有 500 多萬款。
那么，這些 App 有可能停止收集你的數據嗎？
答案是：不可能。
App 不去挖掘用戶的數據，就很難獲得用戶痛點和喜好，沒有對用戶痛點和喜好的洞察，就無法提供合適的產品和解決方案，也就無法創造商業價值。
那么，一個老生常談的問題是如何避免我們的信息被竊取呢？可能很多人的第一想法當然是卸載這類 App ，但絕對禁止顯然不是一條好路子，還是要從源頭入手。
首先，對于企業而言，記錄用戶數據無法避免。很多廠商會記錄用戶的匿名數據，但侵犯用戶隱私的關鍵在于，拿到用戶數據后有沒有脫敏，如何運用這些數據。所以，對于廠商而言，更為重要的工作應該是通過系統層面的更新，盡可能嚴格規范開發者行為，而不是讓開發者舉著你根本不會看的用戶許可，冠冕堂皇拿走你的隱私。
對于開發商而言，則要盡可能選擇有一定市場基礎的第三方 SDK，盡量使用蘋果和谷歌商店里選用的 SDK 進行集成。
其次，從政策層面上來規范，《數據安全管理辦法（征求意見稿）》第三十條規定，網絡運營者對接入其平臺的第三方應用，應明確數據安全要求和責任，督促監督第三方應用運營者加強數據安全管理。
《信息安全技術 個人信息安全規范》修訂草案則要求，涉及 SDK 等第三方嵌入或接入的自動化工具的個人信息控制者，宜開展技術檢測確保第三方的個人信息收集、使用行為符合約定要求；宜對其收集個人信息的行為進行審計，發現超出約定行為的及時切斷接入。
在 315 曝光后，工信部今日也表示將在第一時間組織相關單位進行認真核查，依法依規嚴厲查處涉事企業。
下一步，將采取常態化監管措施，加強移動互聯網應用程序 App 綜合治理。集聚產業力量，推動技術手段建設，大幅提升技術檢測水平。加強監督檢查，加大對各類違規行為的處置和曝光力度，對未經用戶同意收集使用用戶個人信息等違規行為，依法予以查處，切實維護用戶合法權益。
最后，從個人層面來講，在下載 App 時，最好選擇惡意密度較低的應用商店，比如蘋果的 Appstore、安卓手機的應用商店，不要在一些惡意 App 密度高的應用商店下載。
在安裝 App 時，會彈出各種權限申請，此時一定要注意位置信息、手機通訊錄等隱私權限，不常用的不要給。
此外，要定期清理手機內存數據，不要把身份證照片、銀行卡號等關鍵信息留在手機內，定期查看手機應用權限。
還要警惕來源不明的二維碼掃描、注冊申請等，一些補貼、禮品很有可能是黑灰產為了收集個人信息的誘餌，2 塊錢獲得的數據被轉手就能賣出 10 塊錢。
發現信息被泄露后，也不要自認倒霉。按相關規定，消費者有權要求網絡服務提供者刪除個人隱私信息，還能向公安和互聯網管理部門進行投訴舉報。
當然，沒有人喜歡主動出賣隱私，也不會有人覺得數據被私自調用是合情合理的事情，一旦這些后臺行為的調用逐漸清晰和明朗化，系統也愿意給出更多限制性手段后，守住自己的私密數據，大概就不會成為一個難題了。
雷鋒網雷鋒網雷鋒網
參考資料：
【1】https://www.zhihu.com/question/407312260
【2】https://www.toutiao.com/a6850075339721310724/
【3】http://www.cfca.com.cn/upload/cpbg.pdf
【4】https://mp.weixin.qq.com/s/juIfg8EYI9cAaJ_bwcl-Hw
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
