華為小米商店多款APP暗開敏感許可權 代用戶審核遭質疑

　　暗開敏感許可權 小米華為“代用戶審核”？

　　記者下載多款APP測試，不同手機隱私許可權不同，華為、小米應用商店下載時默認開啟多個敏感許可權

在OPPO（左圖）、小米（右圖）手機應用商店首次下載打開優酷時開啟的許可權。

在vivo（上圖）、華為（下圖）手機應用商店首次下載打開優酷時開啟的許可權。

　　新京報記者此前調查測試各類APP發現，安卓系統下，多個常用APP存在未經明示提醒就收集敏感資訊的行為。近日，記者進一步調查發現，同一款APP在不同品牌手機的安卓系統下，讀取敏感資訊的行為也不同。

　　1月24日至2月8日，新京報記者在華為、小米、OPPO、vivo四款市面上常見手機的內置應用商店下載APP時發現，天貓、攜程、58同城、優酷、今日頭條、愛奇藝、趕集網七款APP在華為和小米應用商店下載時未經明示提醒就默認開啟了定位或其他敏感許可權，而在OPPO和vivo應用商店下載時則基本都對其許可權進行了明示提醒。

　　“正常的APP下載時都會有授予許可權的操作，個別APP沒有只能説明和手機內置的應用市場有關係。”從事安卓系統開發的李宇（化名）告訴記者，“事實上，當APP處於手機廠商的白名單列表中時，應用商店就有可能替用戶省略掉提示許可權的操作。”

　　北京郵電大學移動網際網路與大數據安全聯合實驗室主任馬兆豐博士曾表示，一些APP産品廠商和軟體商店有合作，以白名單模式放行本該提示用戶知情的選擇權，從而沒有進行“明示同意”的提示，這並不符合個人資訊安全使用規範和要求。

　　華為小米商店多款APP隱私提示不全

　　根據《網路安全法》第四十一條規定，網路運營者收集、使用個人資訊，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用資訊的目的、方式和範圍，並經被收集者同意。

　　中國國家標準化管理委員會發佈的《資訊安全技術 個人資訊安全規範》（下稱《規範》）對個人敏感資訊做出了定義，也明確了收集資訊的原則。其中重要的一條是“選擇同意原則”，即APP方需要向個人資訊主體明示資訊處理目的、方式、範圍等，徵求其授權同意。規範自2018年5月1日正式開始實施。

　　《規範》指出，收集個人敏感資訊時，應取得個人資訊主體的明示同意。明示同意則指個人資訊主體通過書面聲明或主動做出肯定性動作，對其個人資訊進行特定處理做出明確授權的行為。

　　“APP使用過程中，用戶在看到許可權要求彈窗時點擊了同意，這就是肯定性動作。”李宇稱，“具體來説，肯定性動作包括用戶主動做出聲明（電子或紙質形式）、主動勾選、主動點擊同意、註冊、發送、撥打等。”

　　但目前市面上並非所有APP都按規定對所要求的許可權進行了明示提醒。此前江蘇省消保委就曾以手機應用侵犯消費者個人資訊，兩次約談無整改為由，向百度公司提起民事訴訟。手機百度高級經理田彪此前回應稱，有的系統會授予它認為安全的APP一些許可權，安卓系統的許可權授予非常複雜，許可權授予完全取決於手機系統本身，並非由APP自身判斷和決定的。

　　為驗證許可權授予究竟是否會因手機系統的差異産生變化，1月24日至2月8日，新京報記者分別在華為、小米、OPPO、vivo四部安卓系統手機上安裝了相同的十一款APP。這十一款APP分別是天貓、攜程旅行、百度地圖、騰訊視頻、百度、京東、58同城、今日頭條、優酷、愛奇藝和趕集網。

　　測試結果顯示，同一款APP，在不同品牌手機應用市場下載時，所進行的明示提醒也不相同。其中，部分APP在vivo、OPPO手機安裝後對敏感許可權進行了明示提醒，在華為、小米手機安裝後則並未對敏感許可權索取進行明示提醒。

　　其中，百度、百度地圖、京東、騰訊視頻四款APP在上述4個品牌手機下載並首次打開時，都會對用戶進行明示提醒，而其餘七款APP所明示提醒的許可權則根據手機品牌的不同産生了不同的結果。

　　以天貓為例，當記者通過華為、小米、OPPO手機的內置應用商店下載該APP時發現，首次安裝使用時其並未出現任何明示提醒，而通過後臺的許可權設置則發現，天貓在小米手機安裝後，默認開啟了定位、相機、錄音許可權；在華為手機安裝後，默認開啟了定位、相機、讀取通話記錄許可權；OPPO手機安裝後，未開啟任何許可權；vivo手機安裝後，明示提醒並開啟了定位許可權。

　　記者測試發現，天貓、攜程、58同城、優酷、愛奇藝、今日頭條、趕集網七款APP在華為和小米手機內置應用商店下載時均在沒有明示提醒的條件下默認開啟了定位等敏感許可權，而在vivo和OPPO手機內置應用商店下載時，除優酷在OPPO安裝時默認開啟了攝像頭和錄音外，其餘APP均做到了明示提醒。

　　從上述實例來看，11款APP中，百度、京東等4款APP在小米和華為做到了所有敏感許可權的明示提醒，10款APP在OPPO上做到了所有敏感許可權的明示提醒，11款APP都在vivo上做到了所有敏感許可權的明示提醒。

　　手機應用商店“代”用戶“審核”APP許可權

　　“造成不同手機品牌上APP許可權索取情況不一樣的原因，是每家手機品牌應用市場上線APP的審核策略不同導致的。”李宇稱，“作為APP方，肯定要老老實實的申請許可權，再根據應用市場商家審核的要求有所改變。”

　　2月6日，新京報記者以開發者身份聯繫華為應用市場負責審核的相關人士，想要了解自身APP能否以默認開啟通訊錄許可權的方式上架華為應用市場。得到的答覆是，“許可權是否選擇默認開啟，開發者可以在自己的SDK（軟體開發工具包）中‘自行實現’。”但該人士同時表示，若應用索取許可權過高，可能存在讀取用戶通話記錄、讀取用戶通訊錄、讀取用戶短信記錄、獲取用戶手機號碼、通知欄推送廣告等情況，就不符合華為應用市場審核標準。

　　“應用市場一般執行最低許可權策略，除非許可權是剛需，比如讀取通訊錄是為了實現加通訊錄好友。”李宇解釋稱，“至於APP具體能夠開啟哪些許可權，要看應用商店的審核要求。如果應用商店覺得你索取的許可權出於正當目的，就可以上架，至於默認開啟許可權的功能，只能是與應用商店有關。”

　　需要注意的是，應用商店本身就具備審核功能，如《小米應用商店應用審核規範》明確規定應用未提示用戶或未經用戶授權情況下不得蒐集、傳輸或者使用用戶的位置資訊。而《OPPO應用市場審核規則》也規定未經用戶授權，不得蒐集、傳輸或者使用用戶的位置資訊。

　　根據華為發佈的《華為應用市場2017年度安全報告》，華為應用市場2017年全年接納了64.7萬次應用上架申請，其中20.2萬沒有通過審核，通過率為68.8%。在沒有通過審核的APP中，有15.4%的未通過原因是被華為判斷“存在惡意行為”。

　　“從應用商店下載APP本身必須要經過安全監測，對用戶的隱私保護是一則利好，但手機廠商賦予了內置應用市場一個更高的許可權，從而繞過了原版安卓系統的許可權提示，這本身也違反了《規範》中的選擇同意原則，不符合相關規定。”李宇表示。

　　2月5日，記者在華為手機上使用瀏覽器下載了天貓APP安裝包後發現，在安裝過程中確實對索取的許可權進行了明示。但當使用應用商店下載時，明示提醒就不見了。

　　“通過瀏覽器下載時，上面就列出了所有的許可權提示。你如果在應用商店裏邊裝的話，它就把這個過程給你省略掉了。因為應用商店本身是內置在這個系統裏的，它的許可權是叫廠商許可權，基本上和root的許可權差不多高，所以它有能力做這些事情。”梆梆安全研發中心副總裁方寧解釋稱。

　　在方寧看來，原版系統和應用市場上下載到的APP所採用的都是同一個程式，但當用戶通過手機內置應用商店下載APP時，應用商店佔主導地位，有話語權，APP方必須要通過應用商店的審核才能上架自己的應用。“這一點蘋果和其他手機廠商都不一樣，由於蘋果的作業系統無法像安卓一樣定制，所以就不會出現廠商許可權的問題。”

　　不同品牌手機隱私許可權判斷不同

　　新京報記者測試發現，不同手機品牌對隱私許可權的判定也不相同。

　　例如從小米和華為內置應用商店下載愛奇藝時，雖然沒有任何明示提醒，但從後臺許可權系統觀察，可以發現小米手機關閉了愛奇藝撥打電話許可權，但開啟了定位和錄音許可權；華為則相反，關閉了定位錄音許可權，卻恰恰對撥打電話許可權“網開一面”。

　　騰訊視頻在四款品牌手機上都明示了隱私協議，這也意味著在法理上騰訊視頻可以開啟隱私許可權。但記者查閱後臺許可權系統發現，騰訊視頻在華為和小米手機上沒有開啟任何隱私許可權，但在OPPO手機上則開啟了攝像頭和錄音許可權。

　　對此，一家APP負責開發定制的技術人員向新京報記者表示，雖然手機都是安卓的，但並非谷歌的純原版系統，由於不同手機廠家對用戶體驗以及産品設計上的理唸有區別，所以每個手機廠商都會對自己的系統做出些自己的優化。如OPPO可能會對一些許可權沒有設定默認使用，而另一些品牌手機可能就默認通過了。另一方面，開發者按照原型和産品需求，在軟體設計中也可以設定不進行彈窗提示，但在上架不同應用商店時，也會有不同的規則要求，這個規則可能也會影響APP最終許可權的表現方式。

　　不過，在獵豹安全專家李鐵軍看來，廠商對安卓系統進行的“優化”，從成本角度，一般不會改太多。因為“改動越大，之後的版本升級代價也就越大。”

　　實際上，手機廠商和APP對用戶隱私數據的博弈，早就已經開始。

　　2017年8月，華為和騰訊曾就用戶數據使用一事發生爭執。事情的起因是華為榮耀Magic手機主打的高度識別用戶場景，比如在聊天過程中提及“看電影”這樣的文字時，手機會自動給出當前熱門的電影推薦，並進一步推薦附近的影院甚至是選座買票。

　　但這一技術的實現需要進行相應的數據分析，騰訊因此指責華為“獲取騰訊的數據，侵犯了微信用戶的隱私。”

　　對此，騰訊副總裁丁珂曾在接受新京報記者採訪時表示，微信的價值導向是從來不會涉及用戶相互聊天，華為的AI技術可以更高效，但兩家公司理念確實不一樣。

　　在北京工作的任女士使用的是華為mate 10手機，她發現，該手機的“智慧生活”提醒頁面可以顯示她的火車票預訂資訊、快遞物流資訊，有一天甚至精準顯示了她的停車資訊。“我很驚訝，為什麼手機可以知道我有車，還知道我車停到哪。”

　　對此，獵豹安全專家李鐵軍表示，手機廠商為實現相關功能，可以專門設置自帶的官方應用，再向這些官方應用開放許可權訪問介面。這樣，訂票資訊、快遞資訊等就可以通過相應廠商的數據查詢介面，得以查詢用戶生活相關的服務。