“憤怒的小鳥”要求短消息讀取和發(fā)送的權(quán)限,“水果忍者”會將你的電話號碼泄露給廣告商;“航班管家”需要讀取你的通訊錄……在智能手機(jī)和移動互聯(lián)網(wǎng)普及的今天,當(dāng)你安裝這些熱門應(yīng)用軟件時,你是否會留意安裝前的授權(quán)確認(rèn)?
“剛開始會(留意授權(quán)),但是后面就發(fā)現(xiàn)差不多,于是就不看了”、“我會看權(quán)限的,不過如果是我特別想用的應(yīng)用的話還是會安裝的”。這就是大多數(shù)受訪智能手機(jī)用戶的態(tài)度:會留意,但并不在意。
近日,國家“千人計劃”專家、復(fù)旦大學(xué)計算機(jī)學(xué)院院長王曉陽教授和系統(tǒng)、安全研究專家楊珉博士,對國內(nèi)7家最具代表性的安卓應(yīng)用商城的330款熱門應(yīng)用程序進(jìn)行了調(diào)查和分析,發(fā)現(xiàn)國內(nèi)安卓應(yīng)用商城的熱門應(yīng)用程序中,超過八成要求過度授權(quán),近六成造成用戶隱私泄露。
過度的授權(quán)正讓智能手機(jī)變得“太聰明”,并因此給用戶信息安全帶來隱患。
為此,王曉陽呼吁,我國應(yīng)盡快制定移動互聯(lián)及隱私信息領(lǐng)域相關(guān)的法律法規(guī)與管理辦法;普通用戶應(yīng)盡量選擇知名度高、負(fù)責(zé)任的應(yīng)用商城或者相應(yīng)程序的官方網(wǎng)站等下載應(yīng)用軟件。
安卓用戶隱私狀況堪憂
目前安卓系統(tǒng)占據(jù)全球智能手機(jī)中近70%的市場份額,蘋果iOS系統(tǒng)則不到20%,因此,王曉陽教授的課題組主要以安卓平臺的應(yīng)用程序作為調(diào)查對象。在國內(nèi)的第三方應(yīng)用商城,課題組隨機(jī)對100款軟件進(jìn)行分析,發(fā)現(xiàn)80余款過度要求授權(quán)。
為什么授予應(yīng)用程序過多的權(quán)限會引起隱私信息泄露?權(quán)限的組合之間又有什么玄機(jī)呢?
智能手機(jī)采用的是基于權(quán)限的安全管理機(jī)制,例如安卓系統(tǒng)就采用了約130個權(quán)限進(jìn)行系統(tǒng)資源管控,其中就有打開手機(jī)麥克風(fēng)或攝像頭,收集短消息、郵件、賬號信息、通訊錄、通話記錄以及地理位置等信息。
除了明顯的超出應(yīng)用程序功能所需的權(quán)限,王曉陽認(rèn)為一些分開看是合理合法的權(quán)限,合在一起用就產(chǎn)生很大的問題:“比方說智能輸入法,它要去讀通訊錄和短信;它也要去上網(wǎng),更新它的詞庫。但是會不會它把通訊錄讀下來以后,通過網(wǎng)上把它送出去了?這些權(quán)限合在一起使用的話,就可能出現(xiàn)問題,而用戶對此往往是很難區(qū)分的。”
為進(jìn)一步了解目前國內(nèi)安卓程序泄露用戶隱私信息的現(xiàn)狀,課題組選取了7個國內(nèi)安卓應(yīng)用商城作為樣本空間進(jìn)行實(shí)驗(yàn)研究。其中包括:3個國內(nèi)主流的第三方安卓應(yīng)用商城、兩個終端廠商運(yùn)營的應(yīng)用商城、1個電信運(yùn)營商運(yùn)營的應(yīng)用商城和1個即時消息平臺運(yùn)營的應(yīng)用商城。根據(jù)這7個應(yīng)用商城公布的下載排行榜,選取各應(yīng)用商城多種類的熱門程序,共計330個。
研究發(fā)現(xiàn),3個主流的第三方商城的用戶隱私信息泄露率都在60%左右;終端廠商運(yùn)營的商城信息泄露數(shù)相對較少,因其大多數(shù)程序是廠商自己開發(fā)的;運(yùn)營商的信息泄露率為65%;平臺的信息泄露率為72%。7個商城的總體泄露率達(dá)到58%。
其中,信息泄露最普遍的是國際移動設(shè)備身份碼(可以為開發(fā)者和廣告商提供精確的用戶身份信息);其次是國際移動用戶識別碼(可被用來輔助確定用戶位置)和通訊錄,其中通訊錄的泄露顯然有可能給用戶造成更大的損失。
通過跟蹤調(diào)查發(fā)現(xiàn),65%的程序會將信息泄露給開發(fā)者,38%的信息被發(fā)送給廣告商,還有12%的信息被發(fā)送給無法確認(rèn)身份的第三方。這表明程序的開發(fā)者對用戶隱私信息保護(hù)重視程度不夠。
隱私信息形成商業(yè)利益鏈
王曉陽分析說,一是智能手機(jī)上高附加值的信息越來越多。智能手機(jī)運(yùn)算能力高,可方便地安裝各種應(yīng)用程序。隨著各類云計算平臺的不斷推出,企業(yè)的業(yè)務(wù)系統(tǒng)客戶端(包括企業(yè)數(shù)據(jù))、個人通信和娛樂軟件逐漸集中到這類移動設(shè)備上,這會促使移動設(shè)備擁有很多高附加值的信息和資源。這些信息和資源不僅包含個人的手機(jī)信息、身份信息、地理位置信息,還有可能包含諸多賬號信息以及郵件、文件等信息。