凤凰时尚网移动版

　　在现实情况中，一款A pp在应用商店或首次开启后显示申请的权限并不意味着实际只调取这些权限。对用户而言，也很难知晓相关代码是否被执行，或者有无足够必要性。

　　为此，除了考察被测A pp隐私政策透明度、用户端实际操作行为是否合规外，在此次测评中，南都个人信息保护研究中心分别通过两个途径，利用技术手段对部分App的iOS客户端和Android客户端个人信息收集情况进行分析。这两种渠道分别是利用“直节隐私合规助手”进行测评分析，以及联合第三方测评机构中国金融认证中心（CFCA）技术检测手段进行分析。

　　根据中国金融认证中心（CFCA）的测试结果，Android版本号为3.4.6的“融360”存在如果用第三方账号登录，会将用户第三方平台上的社保与公积金查询账号密码发送至己方的业务服务器，由后台代为查询的问题，并且使用的是明文传输。中国金融认证中心认为，如果明文传输，黑客很容易就能通过网络嗅探和劫持的方法获得这些信息，存在安全风险。

　　另一款名为“榕树贷款”的Android3.3.3版本App，除了存在上述行为，还被检测捕捉到应用调用系统接口获取通话记录、联系人信息、短信记录等行为，并在数据流量中发现上送信息。在对“榕树贷款”的短信记录权限进行检测时，类似“老板该给我涨工资了”的短信内容明文可见。

　　值得一提的是，铁友火车票则被检测到应用在运行过程中会不断获取系统的剪贴板内容。

　　此外，这款A pp还存在向第三方服务器明文传输用户的个人信息行为。比如传输能够标记到个人的用户与设备之间的绑定信息，在运行中不断获取的地理位置信息不仅上传到自身服务器，还向数个第三方服务器发送，过程中包含其他隐私信息。

　　直节隐私合规助手的测试结果显示，铁友火车票A pp向系统申请了17个敏感权限，但安装包里存在敏感权限相关的A PI调用（有使用可能）则有19个，其中，读取短信、接收短信等敏感权限是A pp中未申请但调用A PI的相关权限。这意味着，这款A pp自身或者集成的第三方工具包代码中存在冗余代码。冗余代码具备在A pp版本更新时，在用户不知情的情况下调用敏感权限的可能。

　　此外，直节隐私合规助手测评结果显示，一些A pp会使用大量的SD K（软件开发工具包，可以理解为一种植入App的第三方工具包），这些SD K也会获取使用权限，例如铁友App嵌入了56款SDK，融360也嵌入了49款SD K.不少SD K需要获取用户的网络连接、精确地理位置、手机状态与身份等用户信息。

　　专家指出，获取权限首先应该符合必要性原则，即与一定的场景与功能相关，没有该项权限这一功能无法实现；其次应该获取用户的知情同意。但第三方SDK获取的权限往往不会在一款A pp的隐私政策中提及，更不用说告知用户具体使用的场景和功能，因此很难说已经获取了用户的同意。

　　观察

　　如何破解一揽子授权？

　　专家建议动态单独授权、区分功能授权

　　不难理解，在经济利益的驱使下，网络运营者有着天然的冲动最大限度地收集个人信息。

　　“对厂商来讲，能拿到的用户信息越多越好，这有利于分析用户的使用习惯。而知道了用户习惯就能更好地推送产品。”中国网络空间安全人才教育联盟秘书长、广州大学鲁辉副研究员告诉南都记者，“但是绝对不能以牺牲用户的隐私为前提。”

　　“从根本上说，这些为了占有更多数据的不合理的权限申请是对消费者基本权益的严重侵害，也是垄断和不正当竞争无限孵化的温床。”南京信息工程大学法政学院教授蒋洁直言。

　　如何打破一揽子授权，解决A pp过度收集个人信息的问题？有观点认为，应对A pp调用的权限进行动态的单独授权，以达到用户信息最小化授权的效果。

　　南都记者注意到，这也是此次《个人信息安全规范》修订草案提出的新方案，即当产品或服务提供多项需收集个人信息的业务功能时，平台不得违背用户的自主意愿，强迫用户接受信息收集请求，不得通过捆绑各项业务功能的方式，要求个人信息主体一次性接受并授权同意各项业务功能收集个人信息的请求。