会员投稿
手机版
部分App的权限访问记录。
优酷开启位置、运动数据等权限。
拼多多未明示的情况下开启了多项涉隐权限。
赶集网索取的手机权限。
中国电商网（www.cndsw.com.cn）1月19日消息，1月11日，工信部信息通信管理局约谈了百度、支付宝和今日头条，指出对照《网络安全法》、《电信和互联网用户个人信息保护规定》等有关规定，三家企业均存在用户个人信息收集使用规则、使用目的告知不充分的情况，并要求三家企业进行整改。
1月12日至17日，新京报记者使用安卓系统手机测试了市面上使用较多的20款App，发现其中16个App要求读取位置、通讯录等较敏感权限；多个App开启的权限与其主营业务无关；4个App未经明示提醒就开启了包括相机、录音在内的多个敏感权限。
根据《网络安全法》第四十一条规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
“App收集个人信息应遵循我国《信息安全技术-个人信息安全规范》，个人信息收集、使用其一是要保证收集信息的合法性要求，其二是满足收集个人信息的‘最小化要求’，例如原本App给用户的提示是开启位置权限，结果App同时把录音、读取通讯录，或其他获取个人信息或资源的权限隐含地开启了，这就不符合个人信息安全的最小化要求。”北京邮电大学移动互联网与大数据安全联合实验室主任马兆丰博士表示，个人信息的使用、保存、委托处理、共享、转让或公开披露等必须满足个人信息安全基本原则和规范，个人信息的不当获取、使用、加工处理涉嫌违法犯罪要负法律责任。
5款App涉及隐私权限提示不全
今日头条饿了么明示“储存”暗开“定位”
当用户在安装一款App时，手机界面往往会弹窗提示要求用户开启某项权限，用户可以选择开启或关闭。
“App软件，包括PC程序在内，在用户行使知情权时弹出的提示属于‘明示同意’，如果App软件采取非明示同意的隐含同意，或者以超越法律法规事实上强迫用户不得不同意的方式获取用户个人信息属于个人信息的不当使用。”马兆丰博士称。
新京报记者从华为应用商店安装20款主流App发现，其中14款App在首次安装使用时对可能涉及的敏感权限进行弹窗提示，但有5款App对涉及隐私权限的提示有“疏漏”。
在这5款App中，“储存”权限是被要求最多的权限，但“位置”权限是最多被默认开启的权限。
比如，今日头条、喜马拉雅FM和饿了么在首次使用时均弹窗提示用户开启电话以及储存权限，携程旅行则在首次使用时只提示用户开启储存权限，但当记者点击同意后，却在后台发现上述应用实际也开启了位置权限。
百度浏览器则在首次安装时提示要求用户开启“储存”、“位置”、“电话状态”三项权限，但实际除上述三项权限外还开启了麦克风录音权限。
对于这一现象，手机百度高级经理田彪曾表示，有的系统会授予它认为安全的App一些权限，安卓系统的权限授予非常复杂，权限授予完全取决于手机系统本身，而并非由App自身判断和决定的。
在梆梆安全研发中心副总裁方宁看来，这一说法确有其道理。“通过原生安卓系统安装时，谷歌规定安装App时是一定要提示所有权限的。但用户在品牌手机自带的应用商店里安装App时，如果该App处于手机厂商的白名单列表里，有时应用商店本身会替你忽略掉这一过程。”
但在专家看来，“白名单”不能作为App对涉敏权限不进行明示提醒的理由。
马兆丰表示，一些App产品厂商和软件商店有合作，以白名单模式放行本该提示用户知情的选择权，从而没有进行“明示同意”的提示，这也不符合个人信息安全使用规范和要求。
新京报记者在测试20款App时发现，蘑菇街未经提示就在后台开启了“读取本机识别码”权限。“许多App需要从手机中读取标识符来标识用户，相当于在用户未登录的情况下让服务器知道用户身份，属于较为普遍的权限要求，相对之下较为‘无害’。由于手机厂商可以二次定制开发安卓系统拥有厂商权限，所以如果手机厂商认为某些权限是安全的，有可能会不提示给用户。”方宁称。
“而定位功能属于较为敏感的权限。”西安邮电大学副教授任方表示，“一般系统不会直接无条件给App打开，不过由于一些App开发者在软件设计时就设置了这样的条件，你不开放它就不让安装，用户也没有什么办法。”
在互联网安全专家刘海（化名）看来，不管App是否进入了厂商的“白名单”，能开启哪些权限还是App开发者自身决定的。
“目前安卓平台上广泛存在权限被滥用的现象，很多应用经常申请不必要的敏感权限，使用户隐私面临被泄露的风险。造成权限‘滥用’现象的除安卓系统自身的开放性之外，App没有做到约束自己的行为也是原因之一。”刘海说。
多款App开启与主业无关的敏感权限
优酷开启位置权限，爱奇艺读取运动数据
在1月15日的测试中，记者发现除了上述明示不全的外，赶集网、滴滴出行、拼多多、优酷、爱奇艺和蘑菇街6款App在首次安装使用时没有对用户权限进行任何明示。
其中，滴滴出行、赶集网、拼多多、优酷四款App在后台直接开启了包括录音等多个敏感权限。
在用户李艳看来，一些App开启敏感权限情有可原，另一些则不合情理。“比如微信要发语音开启录音权限，以及滴滴需要定位开启位置权限我可以理解，但一些购物和视频网站也要位置就有些说不通了。”
在实际测评中，记者发现不少App开启的权限和自身核心业务交集不大，如主业为视频播放的腾讯视频在首次使用时向用户明示了使用协议，并只开启了“读取本机识别码”，同类App爱奇艺则没有在软件打开时做到弹窗提示，还开启了使用呼叫转移以及读取运动数据权限，并在记者安装后立刻尝试读取位置信息。
优酷则开启了位置、运动数据、获取浏览器上网记录等多个与视频观看交集不深的敏感权限。记者打开优酷和爱奇艺App后，并未发现有哪些选项与读取位置或者拨打电话有关。
也有不少App有明确的理由开通与主业无关的功能。例如资讯类App今日头条在上线“发布小视频”功能后，就有理由开启相机和麦克风录音权限。对此，有用户曾经质疑今日头条“通过麦克风窃取用户隐私”，今日头条则回应称“今日头条旗下所有产品，都不存在未经用户许可、擅自获取用户隐私的行为。”
在方宁看来，虽然目前相关法规有“不得收集服务所必需以外的用户个人信息，不得将信息用于提供服务之外的目的”之类的表述，但其实这个说法空子还是很大的。“什么叫‘服务必需以外’？比如优酷，我们认为它只提供视频播放服务，但是它也可以说我获取用户信息是为了做大数据分析，比如根据用户喜好推荐想看的视频，根据用户行为习惯做用户画像分析等。事实上，App可以把它的服务装饰成很多维度，然后就可以通过这种方式获取主业之外的权限，即找一个合适的理由来采集你的信息。”
1月18日，记者在后台的“权限访问记录”中发现，一些敏感权限的读取记录来自和主业完全不符的App，如搜狗输入法、爱奇艺、蜻蜓FM在安装后不久就尝试读取位置信息。而被访问最多的权限之一是“读取已安装应用列表”。方宁介绍，这是App做运营分析或者用户画像时很常见的方式。
开启权限是否泄露隐私？
技术上可以读取隐私，但难判断是否泄露
在刘海看来，随着市场上App的功能越来越丰富，申请的权限也越来越多，这也同样说明以窃取泄露用户信息为目的的恶意App和仅是提供服务的非恶意App申请的权限交集更大了。“例如目前许多App都有‘语音搜索’功能，即便这并非其核心功能，开启与否区别不大，但一旦开启，就意味着App有了窥探用户隐私的能力。”
他认为，只要开启了录音权限，技术上App确实可以获取用户的录音；而开启了通讯录权限，技术上App也可以得到你的联系人名单。换言之，只要拿到相关权限，App完全可以在正常提供相关服务的同时，“顺手”获取用户的隐私数据，不管这些数据是否属于“服务必需之外”。
比如，为了方便用户导入联系人名字，一些输入法要求读取用户通讯录，但这也意味着它得到了通讯录个人信息（包括姓名、号码、甚至家庭住址等）。对此，马兆丰分析称，如果输入法获取了通讯录信息后只是为了本地使用方便，不做数据上传或进一步用于其他目的，获取权限的理由也成立，那么，在很大程度上就不一定能涉及隐私泄露。
“事实上，如果一些应用程序涉嫌非法收集、使用加工用户隐私信息，通过深度数据解析、网络通讯行为分析、相关操作访问等技术手段是可以监测到的，即使在网络传输层面是加密的，但在本地数据解析、数据构造层面也是可以分析监测到是否涉嫌用户隐私侵犯。因此，个人信息的使用无论是软件开发者、公司或机构都要遵循相关法律法规，否则，一旦涉嫌用户信息不当使用都要承担相应后果。”马兆丰指出。
方宁表示，通过做逆向分析、渗透测试等方式可以检测出一个应用是否上传了用户隐私数据，但这需要具备专业的技术能力，普通老百姓不可能做到。“目前主要依靠企业行为自律或寻找专业的安全企业进行合作，以达到为用户提供安全的使用环境。”
