当前位置: 主页 > 八卦娱乐 >

APP权限“越界”:今日头条饿了么明示储存暗开定位-新华网

时间:2018-06-11 00:27来源:未知 作者:admin 编辑:admin 点击:
1月11日,工信部信息通信管理局约谈了百度、支付宝和今日头条,指出对照《网络安全法》、《电信和互联网用户个人信息保护规定》等有关规定,三家企业均存在用户个人信息收集使用规则、使用目的告知不充分的情况,并要求三家企业进行整改。根据《网络安全法》第四十一条规定,网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意。“APP收集个人信息应遵循我国《信息安全技术-个人信息安全规范》,个人信息收集、使用其一是要保证收集信息的合法性要求,其二是满足收集个人信息的‘最小化要求’,例如原本APP给用户的提示是开启位置权限,结果APP同时把录音、读取通讯录,或其他获取个人信息或资源的权限隐含地开启了,这就不符合个人信息安全的最小化要求。”北京邮电大学移动互联网与大数据安全联合实验室主任马兆丰博士表示,个人信息的使用、保存、委托处理、共享、转让或公开披露等必须满足个人信息安全基本原则和规范,个人信息的不当获取、使用、加工处理涉嫌违法犯罪要负法律责任。“APP软件,包括PC程序在内,在用户行使知情权时弹出的提示属于‘明示同意’,如果APP软件采取非明示同意的隐含同意,或者以超越法律法规事实上强迫用户不得不同意的方式获取用户个人信息属于个人信息的不当使用。”马兆丰博士称。比如,今日头条、喜马拉雅FM和饿了么在首次使用时均弹窗提示用户开启电话以及储存权限,携程旅行则在首次使用时只提示用户开启储存权限,但当记者点击同意后,却在后台发现上述应用实际也开启了位置权限。对于这一现象,手机百度高级经理田彪曾表示,有的系统会授予它认为安全的APP一些权限,安卓系统的权限授予非常复杂,权限授予完全取决于手机系统本身,而并非由APP自身判断和决定的。在梆梆安全研发中心副总裁方宁看来,这一说法确有其道理。“通过原生安卓系统安装时,谷歌规定安装APP时是一定要提示所有权限的。但用户在品牌手机自带的应用商店里安装APP时,如果该APP处于手机厂商的白名单列表里,有时应用商店本身会替你忽略掉这一过程。”马兆丰表示,一些APP产品厂商和软件商店有合作,以白名单模式放行本该提示用户知情的选择权,从而没有进行“明示同意”的提示,这也不符合个人信息安全使用规范和要求。新京报记者在测试20款APP时发现,蘑菇街未经提示就在后台开启了“读取本机识别码”权限。“许多APP需要从手机中读取标识符来标识用户,相当于在用户未登录的情况下让服务器知道用户身份,属于较为普遍的权限要求,相对之下较为‘无害’。由于手机厂商可以二次定制开发安卓系统拥有厂商权限,所以如果手机厂商认为某些权限是安全的,有可能会不提示给用户。”方宁称。“而定位功能属于较为敏感的权限。”西安邮电大学副教授任方表示,“一般系统不会直接无条件给APP打开,不过由于一些APP开发者在软件设计时就设置了这样的条件,你不开放它就不让安装,用户也没有什么办法。”在用户李艳看来,一些APP开启敏感权限情有可原,另一些则不合情理。“比如微信要发语音开启录音权限,以及滴滴需要定位开启位置权限我可以理解,但一些购物和视频网站也要位置就有些说不通了。”在实际测评中,记者发现不少APP开启的权限和自身核心业务交集不大,如主业为视频播放的腾讯视频在首次使用时向用户明示了使用协议,并只开启了“读取本机识别码”,同类APP爱奇艺则没有在软件打开时做到弹窗提示,还开启了使用呼叫转移以及读取运动数据权限,并在记者安装后立刻尝试读取位置信息。也有不少APP有明确的理由开通与主业无关的功能。例如资讯类APP今日头条在上线“发布小视频”功能后,就有理由开启相机和麦克风录音权限。对此,有用户曾经质疑今日头条“通过麦克风窃取用户隐私”,今日头条则回应称“今日头条旗下所有产品,都不存在未经用户许可、擅自获取用户隐私的行为。”在方宁看来,虽然目前相关法规有“不得收集服务所必需以外的用户个人信息,不得将信息用于提供服务之外的目的”之类的表述,但其实这个说法空子还是很大的。“什么叫‘服务必需以外’?比如优酷,我们认为它只提供视频播放服务,但是它也可以说我获取用户信息是为了做大数据分析,比如根据用户喜好推荐想看的视频,根据用户行为习惯做用户画像分析等。事实上,APP可以把它的服务装饰成很多维度,然后就可以通过这种方式获取主业之外的权限,即找一个合适的理由来采集你的信息。”1月18日,记者在后台的“权限访问记录”中发现,一些敏感权限的读取记录来自和主业完全不符的APP,如搜狗输入法、爱奇艺、蜻蜓FM在安装后不久就尝试读取位置信息。而被访问最多的权限之一是“读取已安装应用列表”。方宁介绍,这是APP做运营分析或者用户画像时很常见的方式。他认为,只要开启了录音权限,技术上APP确实可以获取用户的录音;而开启了通讯录权限,技术上APP也可以得到你的联系人名单。换言之,只要拿到相关权限,APP完全可以在正常提供相关服务的同时,“顺手”获取用户的隐私数据,不管这些数据是否属于“服务必需之外”。比如,为了方便用户导入联系人名字,一些输入法要求读取用户通讯录,但这也意味着它得到了通讯录个人信息(包括姓名、号码、甚至家庭住址等)。对此,马兆丰分析称,如果输入法获取了通讯录信息后只是为了本地使用方便,不做数据上传或进一步用于其他目的,获取权限的理由也成立,那么,在很大程度上就不一定能涉及隐私泄露。“事实上,如果一些应用程序涉嫌非法收集、使用加工用户隐私信息,通过深度数据解析、网络通讯行为分析、相关操作访问等技术手段是可以监测到的,即使在网络传输层面是加密的,但在本地数据解析、数据构造层面也是可以分析监测到是否涉嫌用户隐私侵犯。因此,个人信息的使用无论是软件开发者、公司或机构都要遵循相关法律法规,否则,一旦涉嫌用户信息不当使用都要承担相应后果。”马兆丰指出。方宁表示,通过做逆向分析、渗透测试等方式可以检测出一个应用是否上传了用户隐私数据,但这需要具备专业的技术能力,普通老百姓不可能做到。“目前主要依靠企业行为自律或寻找专业的安全企业进行合作,以达到为用户提供安全的使用环境。”根据我国《信息安全技术-个人信息安全规范》要求,收集个人敏感信息时,应取得个人信息主体的明示同意,确保其在完全知情的基础上自愿给出具体、清晰、明确的愿望表示,并且允许个人信息主体选择是否提供或同意自动采集。为了解决权限安全问题,谷歌公司曾建议开发者在上传应用时发布隐私条例,即开发者需要声明用户相关的隐私信息如何被使用、收集或分享,其目的是使用户了解隐私信息如何被使用,从而更好地保护用户隐私。1月17日,在新京报记者测试的20款APP中,京东、苏宁易购和腾讯视频在首次安装时就将其隐私协议进行了弹窗提示,用户可以选择是否同意,支付宝在安装后不会立即提示隐私协议,而是在用户登录时弹窗进行相关提示。此前,南都个人信息保护研究中心发布的《关于收集个人信息“明示同意”的测评报告与建议》显示,在100款常用APP中,在用户注册前,“默认勾选”同意企业用户协议和隐私政策的情况并不少见,有的甚至存在用户不可自主选择同意与否的问题。仅有11%的APP做到了合乎法规及规范的“明示同意”。相关隐私条款中,今日头条和百度浏览器均有“使用APP就视为同意条款”的表述。百度浏览器还特别列出了一个免责声明,表示“您可以选择不使用百度,但如果您使用百度,您的使用行为将被视为对本声明全部内容的认可。”这意味着,用户在安装并使用该APP时,就已经默认同意了上述条款。在他看来,我国现行法律将同意视为个人信息收集和使用的一般规则,但在实践中,“同意”被大量地使用,很难起到保护个人权利的目的。这主要是因为,在实践中的同意大多数是与服务捆绑的,用户协议的同意是接受服务的前提,因而要接受服务就必须同意,否则无法享受服务。而用户协议又是涵盖经营者可能列举的各种情形,包括向所有关联方、业务合作方等提供信息。这也就是大家通常讲到的“概括式同意”。在这种概括式的协议中不乏各种不合理条款。高富平认为,法律尚没有明确否定概括式同意,实践中的做法并不违反法律。但涉及具体的个案纠纷,法院有权对不合理条款进行实质审查,否定其效力。“何为有效的同意,需要今后法律予以明确。”“通过APP或者网站提供的相关协议属于格式合同,APP方在格式合同中肯定会弱化用户的权利。”盈科律师事务所律师方超强告诉新京报记者,“这一个格式条款算不算用户承诺值得商榷。事实上,如果该格式条款过于限制用户权益,可以认定无效。例如目前很多APP都在隐私协议中表示会把用户资料提供给合作方或第三方,但却没有提及第三方的身份,在这种情况下默许用户‘同意’的格式条款就涉嫌侵害了用户的权益。”(记者 罗亦丹 实习生 李晓丽)
澳门拉斯维加斯官方网站 澳门明升官方网站 澳门申博官网 澳门皇冠娱乐官方网站 澳门英皇官方网址 澳门钻石官方网站 拉斯维加斯官方赌场网站 澳门新濠天地官方网站 澳门兰桂坊官方网站 澳门英皇赌场官方网站 澳门百乐门官方网站 必赢彩票官方网站 澳门皇家赌场官方网址 澳门新葡京官方网址 澳门威尼斯人官方网站 澳门威尼斯人官网|注册开户 澳门永利官方网站 澳门新濠天地官网|网址 澳门新濠天网站 澳门新濠天地网址 澳门金沙官方网站 澳门金沙网站 澳门金沙官网 澳门金沙网址 澳门金沙注册 澳门威尼斯人网站 澳门永利网站网址 澳门永利 澳门威尼斯人网址 新澳门金沙网址