“憤怒的小鳥”要求短消息讀取和發(fā)送的權(quán)限，“水果忍者”會將你的電話號碼泄露給廣告商；“航班管家”需要讀取你的通訊錄……在智能手機和移動互聯(lián)網(wǎng)普及的今天，當(dāng)你安裝這些熱門應(yīng)用軟件時，你是否會留意安裝前的授權(quán)確認？
“剛開始會（留意授權(quán)），但是后面就發(fā)現(xiàn)差不多，于是就不看了”、“我會看權(quán)限的，不過如果是我特別想用的應(yīng)用的話還是會安裝的”。這就是大多數(shù)受訪智能手機用戶的態(tài)度：會留意，但并不在意。
近日，國家“千人計劃”專家、復(fù)旦大學(xué)計算機學(xué)院院長王曉陽教授和系統(tǒng)、安全研究專家楊珉博士，對國內(nèi)7家最具代表性的安卓應(yīng)用商城的330款熱門應(yīng)用程序進行了調(diào)查和分析，發(fā)現(xiàn)國內(nèi)安卓應(yīng)用商城的熱門應(yīng)用程序中，超過八成要求過度授權(quán)，近六成造成用戶隱私泄露。
過度的授權(quán)正讓智能手機變得“太聰明”，并因此給用戶信息安全帶來隱患。
為此，王曉陽呼吁，我國應(yīng)盡快制定移動互聯(lián)及隱私信息領(lǐng)域相關(guān)的法律法規(guī)與管理辦法；普通用戶應(yīng)盡量選擇知名度高、負責(zé)任的應(yīng)用商城或者相應(yīng)程序的官方網(wǎng)站等下載應(yīng)用軟件。
安卓用戶隱私狀況堪憂
目前安卓系統(tǒng)占據(jù)全球智能手機中近70%的市場份額，蘋果iOS系統(tǒng)則不到20%，因此，王曉陽教授的課題組主要以安卓平臺的應(yīng)用程序作為調(diào)查對象。在國內(nèi)的第三方應(yīng)用商城，課題組隨機對100款軟件進行分析，發(fā)現(xiàn)80余款過度要求授權(quán)。
為什么授予應(yīng)用程序過多的權(quán)限會引起隱私信息泄露？權(quán)限的組合之間又有什么玄機呢？
智能手機采用的是基于權(quán)限的安全管理機制，例如安卓系統(tǒng)就采用了約130個權(quán)限進行系統(tǒng)資源管控，其中就有打開手機麥克風(fēng)或攝像頭，收集短消息、郵件、賬號信息、通訊錄、通話記錄以及地理位置等信息。
除了明顯的超出應(yīng)用程序功能所需的權(quán)限，王曉陽認為一些分開看是合理合法的權(quán)限，合在一起用就產(chǎn)生很大的問題：“比方說智能輸入法，它要去讀通訊錄和短信；它也要去上網(wǎng)，更新它的詞庫。但是會不會它把通訊錄讀下來以后，通過網(wǎng)上把它送出去了？這些權(quán)限合在一起使用的話，就可能出現(xiàn)問題，而用戶對此往往是很難區(qū)分的。”
為進一步了解目前國內(nèi)安卓程序泄露用戶隱私信息的現(xiàn)狀，課題組選取了7個國內(nèi)安卓應(yīng)用商城作為樣本空間進行實驗研究。其中包括：3個國內(nèi)主流的第三方安卓應(yīng)用商城、兩個終端廠商運營的應(yīng)用商城、1個電信運營商運營的應(yīng)用商城和1個即時消息平臺運營的應(yīng)用商城。根據(jù)這7個應(yīng)用商城公布的下載排行榜，選取各應(yīng)用商城多種類的熱門程序，共計330個。
研究發(fā)現(xiàn)，3個主流的第三方商城的用戶隱私信息泄露率都在60%左右；終端廠商運營的商城信息泄露數(shù)相對較少，因其大多數(shù)程序是廠商自己開發(fā)的；運營商的信息泄露率為65%；平臺的信息泄露率為72%。7個商城的總體泄露率達到58%。
其中，信息泄露最普遍的是國際移動設(shè)備身份碼（可以為開發(fā)者和廣告商提供精確的用戶身份信息）；其次是國際移動用戶識別碼（可被用來輔助確定用戶位置）和通訊錄，其中通訊錄的泄露顯然有可能給用戶造成更大的損失。
通過跟蹤調(diào)查發(fā)現(xiàn)，65%的程序會將信息泄露給開發(fā)者，38%的信息被發(fā)送給廣告商，還有12%的信息被發(fā)送給無法確認身份的第三方。這表明程序的開發(fā)者對用戶隱私信息保護重視程度不夠。
隱私信息形成商業(yè)利益鏈
王曉陽分析說，一是智能手機上高附加值的信息越來越多。智能手機運算能力高，可方便地安裝各種應(yīng)用程序。隨著各類云計算平臺的不斷推出，企業(yè)的業(yè)務(wù)系統(tǒng)客戶端（包括企業(yè)數(shù)據(jù)）、個人通信和娛樂軟件逐漸集中到這類移動設(shè)備上，這會促使移動設(shè)備擁有很多高附加值的信息和資源。這些信息和資源不僅包含個人的手機信息、身份信息、地理位置信息，還有可能包含諸多賬號信息以及郵件、文件等信息。