不給許可權也能收集數據，安卓難道是紙糊的嗎？

大家手機中安裝的各類APP可以說是其靈魂所在，通過各類APP用戶也得以實現各式各樣的功能。但是出於獲取更多利益的考量，這些APP的開發者往往會費盡心思的獲取系統許可權，以便收集用戶數據。

日前，來自國際計算機研究所（International Computer Science Institute，ICSI）的報告顯示，在研究人員針對Google Play商店中超過8.8萬個APP的調查中發現，多達1325個Android應用程序正在從用戶的設備上收集數據，即便在安裝時已經明確拒絕了其相關許可權的申請。

什麼！Android的許可權管理居然形同虛設，難道谷歌是在哄全世界消費者玩嗎？還真不是，就如我們此前介紹過的那樣，Android許可權管理遵循的是「最小特權原則」，即APP應該只具備執行其任務所需的最低能力。

因此APP如果想訪問其他文件、數據，以及相關資源，就必須在Android的Manifest.xml文件中進行聲明。谷歌在Android開發者頁面中也規定了APP開發中存在的四種系統許可權——正常許可權、危險許可權、簽名許可權，和系統簽名許可權。

正常許可權即不會對用戶隱私或設備造成很大風險的許可權，需要用戶明確授權的危險許可權則全部歸屬於許可權組，簽名許可權只對擁有相同簽名的應用開放，而系統簽名許可權則主要應用在預製應用上。因此開發者必須事先聲明APP所需的許可權，不然將無法調用相應的系統資源，因此如果用戶拒絕給予這些許可權，正常情況下APP也不能獲得對應的系統資源。

儘管通常情況確實不能，但Android是一個龐大而臃腫的生態系統，自然就會存在某些不正常的現象，比如說利用簽名許可權構建一個「秘密通道」。ICSI的研究人員在報告中指出，假設A應用獲得了IMEI許可權，但是B應用卻被拒絕，因此在通過簽名許可權機制的情況下，A應用將能夠合法的將IMEI數據傳輸給B應用。

這個秘密通道有很多構建方式，目前這項1325個APP之中使用比較頻繁的是「shared storage(共享存儲)」或者共享內存機制。既然是「共享」，那不就是你的就是我的，我的就是你的嗎？某些APP因此就可以通過「曲線救國」的方式收集到包括網路晶元型號、MAC地址、SSID、IMEI號碼等敏感信息。

還有的則是類似照片編輯應用Shutterfly這種監守自盜的方式，作為一款照片編輯應用，Shutterfly在用戶拒絕該應用訪問位置數據的情況下，依然能夠從照片中收集EXIF信息，將其中的GPS坐標發送到伺服器上。這種方式確實完美規避了谷歌的許可權管理，但同樣能收集用戶的數據信息，顯然也是防不勝防。

無獨有偶，在今年《華盛頓郵報》進行的一項實驗中，在將iPhone連接一個監控軟體，隨後竟然在其中發現了近5400個追蹤程序。這些追蹤程序可以利用蘋果的「後台刷新功能」，從手機向Demdex等第三方數據分析公司發送相關的用戶數據。

對於開發者來了說，出門做生意可不是開善堂的，在普通用戶技術水平上無法對抗的情況下，就只有依賴於平台與監管機構的努力了。但可惜谷歌的反應是遲緩和無力，ICSI的研究人員表示，需要等待即將到來的Android Q才會有一些問題得到修復，而不是每月的例行安全補丁更新，也就是說大量被OEM廠商和谷歌忽視的老機型，將會永遠暴露在這類隱私風險下。

好在隨著今年春天，中央網信辦、工信部、公安部、市場監管總局等多部門聯合開展的APP違法違規收集使用個人信息安全評估，並出台了《APP違法違規收集使用個人信息行為認定方法(徵求意見稿)》，將專項治理App強制授權、過度索權、超範圍收集個人信息等問題。也就說未來在國內市場，APP在索取許可權方面將有了法律法規的監管。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！