北京時(shí)間7月9日早間消息，國際計(jì)算機(jī)科學(xué)研究所(ICSI)的研究人員發(fā)現(xiàn)，即使是在用戶明確拒絕授權(quán)之后，仍有多達(dá)1325個(gè)Android應(yīng)用能繞過限
北京時(shí)間7月9日早間消息，國際計(jì)算機(jī)科學(xué)研究所(ICSI)的研究人員發(fā)現(xiàn)，即使是在用戶明確拒絕授權(quán)之后，仍有多達(dá)1325個(gè)Android應(yīng)用能繞過限制，從用戶設(shè)備上收集精確的地理位置數(shù)據(jù)和手機(jī)序列號(hào)等信息。
這一研究結(jié)果凸顯了用戶想要保護(hù)自己的在線隱私是多么困難，特別是在連接到手機(jī)和移動(dòng)應(yīng)用時(shí)更是如此。科技公司擁有成億人的海量個(gè)人數(shù)據(jù)，包括他們?nèi)ミ^哪里、有哪些朋友以及有什么興趣愛好等。
立法者正試圖通過隱私法規(guī)來保護(hù)用戶，而應(yīng)用許可則本應(yīng)控制用戶選擇放棄哪些數(shù)據(jù)。蘋果公司和谷歌已經(jīng)發(fā)布了新的功能來改善用戶隱私，但應(yīng)用卻在繼續(xù)尋找隱藏的方法來繞過這種保護(hù)。
在6月底，國際計(jì)算機(jī)科學(xué)研究所的可用安全和隱私研究主任塞爾日·埃格爾曼(Serge Egelman)在美國聯(lián)邦貿(mào)易委員會(huì)(FTC)的“隱私大會(huì)”(PrivacyCon)上介紹了這項(xiàng)研究。“從根本上說，消費(fèi)者幾乎沒有什么工具和線索可以用來合理地控制隱私，并就此做出決定。”埃格爾曼在會(huì)議上說道。“如果應(yīng)用開發(fā)者可以直接繞過系統(tǒng)，那么向消費(fèi)者請求許可就沒有意義了。”
埃格爾曼表示，研究人員已在去年9月就這些問題向谷歌和美國聯(lián)邦貿(mào)易委員會(huì)發(fā)出了通知。谷歌回應(yīng)稱，該公司將設(shè)法解決Android Q中的問題，這個(gè)操作系統(tǒng)預(yù)計(jì)將于今年發(fā)布。
谷歌表示，此次更新將可解決上述問題，具體方法是隱藏照片中的位置信息，令應(yīng)用無法獲取;同時(shí)還將要求任何訪問Wi-Fi的應(yīng)用必須向用戶發(fā)出請求，才能獲取位置相關(guān)數(shù)據(jù)。
這項(xiàng)研究觀察了來自Google Play商店的8.8萬多個(gè)應(yīng)用，跟蹤了當(dāng)用戶拒絕向這些應(yīng)用給出權(quán)限時(shí)，數(shù)據(jù)是如何進(jìn)行傳輸?shù)摹Ｑ芯咳藛T發(fā)現(xiàn)，照片編輯應(yīng)用Shutterfly一直都在從照片中收集GPS坐標(biāo)，并將這些數(shù)據(jù)發(fā)送到自己的服務(wù)器，哪怕用戶拒絕授權(quán)該應(yīng)用訪問其位置數(shù)據(jù)也無濟(jì)于事。Shutterfly發(fā)言人則表示，不管研究人員發(fā)現(xiàn)了什么，該公司只會(huì)在獲得明確許可的情況下才會(huì)收集位置數(shù)據(jù)。
Shutterfly發(fā)表聲明稱：“跟許多照片服務(wù)一樣，Shutterfly使用這種數(shù)據(jù)來增強(qiáng)用戶體驗(yàn)，向其提供分類和個(gè)性化產(chǎn)品建議等功能，所有這些都符合Shutterfly隱私政策以及Android開發(fā)者協(xié)議。”
有些應(yīng)用依靠其他被授權(quán)查看個(gè)人數(shù)據(jù)的應(yīng)用來收集IMEI碼等手機(jī)序列號(hào)，這些應(yīng)用會(huì)讀取設(shè)備SD卡上不受保護(hù)的文件，并獲取他們本無權(quán)限訪問的數(shù)據(jù)。研究人員稱，雖然只有大約13個(gè)應(yīng)用這樣做，但其安裝次數(shù)之和達(dá)到了1700萬次以上，其中包括百度(NASDAQ:BIDU)的香港迪士尼樂園應(yīng)用等。
百度和迪士尼尚未就相關(guān)置評(píng)請求作出回應(yīng)。
研究人員發(fā)現(xiàn)，有153個(gè)應(yīng)用具備這種能力，包括三星的健康和瀏覽器應(yīng)用，而共有5億多臺(tái)設(shè)備安裝了這些應(yīng)用。三星也并未回復(fù)相關(guān)置評(píng)請求。
其他應(yīng)用則通過連接到Wi-Fi網(wǎng)絡(luò)、并計(jì)算出路由器的MAC地址來收集位置數(shù)據(jù)，其中包括被用作智能遙控器的應(yīng)用。
埃格爾曼稱，他將在8月Usenix Security安全大會(huì)上介紹這項(xiàng)研究，屆時(shí)將會(huì)公布研究人員發(fā)現(xiàn)的1325個(gè)應(yīng)用的詳細(xì)信息。(唐風(fēng))
