你所不了解的手机程序数据外泄

作者：Aaron Lewis

大约五年前，英国上议院在一篇报告中用“狂野西部（Wild West）混乱状态”来形容互联网，呼吁政府和业界要尽力保护用户的网络安全，以便重拾对互联网的信心。

今天，权威人士也使用了类似的形容词，不过这次他们所形容的目标是手机应用程序，尤其是今年初发生在iOS 上的事件，有程序在未经用户允许，甚至未告知用户的情况下就从手机通讯录中收集数据。

这个问题首次引起公众注意是在今年二月初，有开发人员发现一个名为 Path 的社交媒体应用会从用户的通讯录中获取几乎所有信息，包括姓名、电子邮件地址，以及电话号码，并且这些信息会在未获得用户许可的情况下传输到Path 的服务器。

经过国会议员介入并要求Apple 回答此问题时，一大堆应用程序开发商，包括 Foursquare、Hipster，以及最近刚被收购的Instagram 都在第一时间修改了自己的软件，并且在需要收集数据时会首先请求用户允许。

这里要澄清一点，Apple 对国会议员的说法是真实的：“应用程序未经用户许可收集或传输用户信息，这种做法已经违反了 Apple 的规定。”但很显然，这样的规定并不能阻止或预防不法开发商的“遗忘”。但Apple 已经表示，会在未来的新版本中解决这个问题。

在对两个最受欢迎的智能手机平台进行比较后会发现，Android 的安全性和隐私控制往往更糟糕。但这个系统已经包含了相应功能，会强制应用程序在访问手机通讯录之前必须首先获得用户的允许。

但在这里我还是要提出一个和一般人的习惯有关的，最基本的安全问题：大多数用户并不知道或不关心自己的手机，以及针对自己个人信息所执行的操作，因此这个要求许可的对话框往往只是流于形式。

就算现在大家都比较有隐私意识了，用户往往还是会直接点击手机上显示的任何信息。他们只想要能够尽快开始，好来感受一下新安装的手机软件。

而且显示在智能手机上的简短描述信息往往也很难解释清楚，当这些信息上传到程序开发商的服务器，然后会发生什么– 这些信息将被如何使用，会被用在哪里，以及传输过程和储存过程是否安全。因此这会造成我们所说的“疏忽型信息外泄”这种情况。

这里有好几个关于安全和隐私的问题，但最严重的还是在公司内部使用属于个人的智能手机，因为公司同事、客户，以及生意伙伴的机密数据都有可能会在不经意的情况下泄漏。

目前的应用程序在要求用户授权，以访问iOS 的通讯录时并不能针对不同联系人区别对待，就算可以区分，用户也有可能将商业上的联系人放在私人联系人的分组中，而随后又允许应用程序访问私人联系人，因此疏忽型信息外泄就再次发生了。

在最糟糕的状况下，疏忽型信息外泄都会导致什么危险呢？

首先，许多应用程序都只是说，自己会将信息以“安全”的方式发送到服务器，可并没有说明这一过程究竟是如何作的。就算真的用安全的方式发送，随后如何利用这些信息则更为重要。对方会用明文方式存储吗？开发人员使用的数据库足够安全吗？到底有多安全？谁可以访问这些信息？这些信息会用在何种情况下？

就算这些程序最开始想要复制用户信息的动机是善意的，因为这些程序本身的信誉都挺好，但也不能就保证这些信息到最后都还是安全的。如果用明文方式存储这些信息后果可能会很严重，而Path 就是这样做的。

再怎么说，大部分开发商只是想创造出最亲民，最引人注意的应用程序。如果是社交性质的软件，可能会希望找到你通讯录上的所有人，并利用这信息提升你使用该软件的感受。噢，当然也可能因此赚上个十亿美元…

不幸的是，他们多半不会使用哈希技术，这类技术可以将信息中用于识别个人身份的内容剔除掉，同时会让坏人拿到这些信息后毫无用处。更进一步，这些云端服务供应商应该使用基于策略的密钥管理机制，加密并保护他们所复制的，（对某人而言）非常珍贵的数据。

当然，如果应用程序背后的人或组织一开始就带有恶意的话，那么我们所看到的疏忽型信息外泄则可以让他们挖掘到丰富的个人数据，用来发动网络钓鱼诈骗攻击或其他社会工程学陷阱攻击。

另外一个问题是，当这家公司被第三者接手的话，用户数据会如何处置？不要真的以为信息会被直接销毁，或是你的权利会被新接手的人保留。

这里存在一个法律上的模糊地带，当用户不经意间将公司数据经由利用云计算技术的应用程序泄漏出去后，云服务商的使用条款可能会宣称，他们对这些数据拥有所有权，尽管这可能和你们公司的规定或是监管条例有所抵触。如果你去法院起诉，这些数据可能还是会属于你，但社交媒体也可能说这些数据是他们的，并且除非你可以采取法律行动进行阻止，否则就会真的当成他们自己的数据加以利用。这也许并不是什么大问题，但如果你的通讯录上有董事会成员的手机号码时，这就可能成为大问题。一旦数据脱离你的控制范围，你能做的就真的不多了。

疏忽型信息外泄所面临的困难点之一是没有简单的解决方法，而让这整件事情变得更加棘手的原因是，即使人们对自己的通讯录非常小心，又怎么知道自己的数据不会从朋友们的各种手机软件里被传输到云端呢？

Apple 的确开始要强制要求开发人员在访问 iOS 通讯录时要提出警告，以便获得用户的授权，但开发商也需要提供更加符合用户利益的隐私策略，让数据的储存过程更加安全。

＠原文出处：ObliviousData Loss and the Wild West of Mobile App Security

 

本文版权为趋势科技所有，对于非赢利网站或媒体转载请注明作者以及原文链接。谢谢合作！

       

爱趋势社区--下载/论坛/分享 http://www.iqushi.com

   

官方微博—拿礼品/分享最新IT资讯 http://t.sina.com.cn/trendcloud

   

趋势科技CEO：陈怡桦EvaChen的微博 http://weibo.com/evatrendmicro