优酷首次在vivo和华为手机应用商店下载打开时打开的权限。优酷首次在vivo和华为手机应用商店下载打开时打开的权限。
优酷首次在OPPO和小米手机应用商店下载打开时打开的权限。优酷首次在OPPO和小米手机应用商店下载打开时打开的权限。
新京报记者此前调查测试各种app发现，在安卓系统下，很多常用的app在没有明确提醒的情况下收集敏感信息。近日，记者进一步调查发现，同一款APP在不同品牌手机的安卓系统下，存在不同的读取敏感信息的行为。
1月24日至2月8日，新京报记者在华为、小米、OPPO、vivo的内置应用商店下载app时，发现天猫、携程、58同城、优酷、今日头条、爱奇艺、Jiji.com 7款APP在华为、小米应用商店下载时，默认开启了定位或其他敏感权限，而在OPPO、vivo应用商店下载时，基本都有明确的权限提醒。
“下载正常的APP，会有授予权限的操作。个别app没有，只能说明和手机内置应用市场有关系。”从事安卓系统开发的李宇告诉记者，“其实APP上手机厂商白名单的时候，app store可能会省略提示用户权限的操作。”
北京邮电大学移动互联网与大数据安全联合实验室主任马兆峰博士曾表示，部分APP产品厂商和软件商店合作，在白名单模式下发布了应提示用户知晓的选项，因此不存在“明示同意”的提示。这不符合个人信息安全使用的规范和要求。
小米商店各种app隐私提示不全。
根据《网络安全法》第四十一条规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用信息的规则，表明收集、使用信息的目的、方式和范围，并征得被收集者的同意。
中国国家标准化管理委员会发布了《信息安全技术个人信息安全规范》，对个人敏感信息进行了定义，明确了信息收集的原则。其中重要的一条是“选择性同意原则”，即APP方需要向个人信息主体明示信息处理的目的、方式和范围，并征求其授权和同意。该规范自2018年5月1日起正式实施。
《守则》规定，在收集敏感个人信息时，应获得个人信息主体的明确同意。明示同意是指个人信息主体以书面声明或主动采取肯定行动的方式，对其个人信息进行明确授权的行为。
“当应用程序正在使用时，用户在看到权限请求弹出时单击同意，这是一个肯定的操作。”李瑜说，“具体来说，平权行动包括用户主动声明、主动勾选、主动点击同意、注册、发送、拨打等。”
但目前市面上并不是所有的app都按照规定明确提醒需要的权限。此前，江苏省消保委已经以手机应用侵犯消费者个人信息，两次约谈仍无整改为由，向该公司提起民事诉讼。资深手机经理田彪此前回应称，部分系统会对其认为安全的app授予部分权限。Android系统的权限授予非常复杂，权限的授予完全取决于手机系统本身，而不是由app本身来判断和决定。
为了验证权限授予是否会因手机系统差异而改变，1月24日至2月8日，新京报记者分别在华为、小米、OPPO、vivo安卓手机上安装了相同的十一款app。这11款应用分别是天猫、携程、地图、腾讯视频、JD.COM、58同城、今日头条、优酷、爱奇艺和Jiji.com。
测试结果显示，同一个APP，在不同品牌的手机应用市场下载时，有不同的显性提醒。其中，部分app在vivo、OPPO手机安装后明确提醒敏感权限，而在华为、小米手机安装后未明确提醒敏感权限。
其中，地图、JD.COM、腾讯视频四个app在从上述四个品牌的手机下载并首次打开时会明确提醒用户，而其他七个app的权限根据手机品牌不同，明确提醒用户的结果也不同。
以天猫为例。记者通过华为、小米、OPPO手机内置应用商店下载该APP时发现，首次安装使用时并无明确提醒。但通过后台的权限设置，发现小米手机上安装了天猫。之后默认开启定位、摄像、录音权限；华为手机安装后，默认开启定位、拍照、读取通话记录的权限；OPPO手机安装后，不开权限；手机安装后，明确提醒并开启定位权限。
记者发现，天猫、携程、58同城、优酷、爱奇艺、今日头条、Jiji.com七款APP，在没有明确提醒的情况下，从华为、小米手机内置应用商店下载时，均默认开启了定位等敏感权限。从vivo和OPPO的手机内置应用商店下载时，除了优酷在安装OPPO时默认摄像头和录音外，其他所有app都做了明确的提醒。
从上面的例子来看，11个app中，有4个app，比如，JD.COM等。，已经在小米和华为做了所有敏感权限的显性提醒，10个app在OPPO做了所有敏感权限的显性提醒，11个app在vivo做了所有敏感权限的显性提醒。
APP store为用户“批准”应用权限。
“不同手机品牌对APP权限要求不同的原因是各手机品牌应用市场对在线APP的审核策略不同。”李瑜说，“作为APP一方，一定要老老实实申请权限，然后按照应用市场商家的要求去改。”
2月6日，新京报记者以开发者身份联系华为应用市场审核相关负责人，想了解其app是否可以通过默认打开通讯录的方式放到华为应用市场。答案是，“无论是否默认开启权限，开发者都可以在自己的SDK中‘自行实现’。”但该人士也表示，如果应用请求权限过高，可能会出现读取用户通话记录、读取用户通讯录、读取用户短信记录、获取用户手机号码、在通知栏推送广告等情况，不符合华为的应用市场审核标准。
“应用市场一般实行最低权限政策，除非是刚需权限。比如看通讯录就是加通讯录好友。”李瑜解释道，“至于APP具体可以开放哪些权限，要看app store的审核要求。如果app store觉得你要求的权限是出于正当目的，可以上架。至于默认开启权限的功能，只能和app store有关。”
需要注意的是，app store本身就有审核功能。例如，小米应用商店应用审核规范明确规定，未经用户提示或用户授权，App不得收集、传输或使用用户的位置信息。OPPO应用市场审核规则还规定，未经用户授权，不得收集、传输或使用用户的位置信息。
根据华为发布的《华为应用市场2017年安全报告》，2017年华为应用市场受理64.7万个应用，其中20.2万个未通过审查，通过率为68.8%。在没有通过审核的app中，有15.4%因为华为判断为“恶意行为”而失败。
“从app store下载APP本身必须经过安全监控，这对用户的隐私保护有好处。而手机厂商却赋予了内置app市场更高的权限，从而绕过了原安卓系统的权限提示，这本身就违背了《规范》中的选择同意原则，不符合相关规定。”李玉说。
2月5日，记者使用浏览器下载华为手机上的天猫APP安装包，发现安装过程中明确提示请求权限。但使用App Store下载时，明示提醒消失。
“通过浏览器下载时，上面列出了所有权限提示。如果你在app store安装，它会为你省略这个过程。因为app store本身内置在这个系统中，它的权限叫做厂商权限，基本上和root的权限一样高，所以它有能力做这些事情。”邦邦安全研发中心副总裁方宁解释道。
在方宁看来，原来的系统和从APP市场下载的APP都是用同一个程序。但用户通过手机内置的app store下载应用时，app store是主导，有话语权，应用方必须通过app store的审核，才能上架自己的应用。“这是苹果和其他手机厂商不同的地方。既然苹果的操作系统不能像安卓一样定制，就不会有厂商权限的问题。”
不同品牌的手机对隐私权的判断是不一样的。
新京报记者发现，不同手机品牌对隐私权的判断不同。
比如在小米和华为的内置应用商店下载爱奇艺时，虽然没有明确提醒，但是从后台权限系统可以发现，小米手机关闭了爱奇艺的通话权限，但是开启了定位和录音权限；而华为关闭了位置记录权，却只是“让电话打过来”。
腾讯视频在所有四个品牌的手机上都明示了隐私协议，这也意味着腾讯视频可以合法开放隐私权。但记者查看后台权限系统发现，腾讯视频在华为和小米手机上并未开放任何隐私权限，但在OPPO手机上开放了摄像和录音权限。
对此，一位负责开发定制的APP技术人员对新京报记者表示，虽然手机都是安卓系统，但并不是谷歌纯原创系统。因为不同的手机厂商在用户体验和产品设计上的理念不同，所以每个手机厂商都会对自己的系统做一些自己的优化。比如OPPO可能对某些权限不设置默认使用，而其他品牌的手机可能默认通过。另一方面，根据原型和产品需求，开发者也可以在软件设计中设置无弹出提示。但是在上架不同的应用商店时，会有不同的规则，这也可能影响到app最终权限的表达。
不过，在猎豹安全专家李铁军看来，厂商对Android的“优化”，从成本角度来看，一般不会有太大改变。因为“变化越大，后期版本升级就越贵。”
其实手机厂商和APP之间关于用户隐私数据的博弈早已开始。
2017年8月，华为与腾讯就用户数据的使用发生纠纷。事情的起因是华为荣耀Magic手机的高辨识度用户场景。比如聊天过程中提到“看电影”这几个字，手机就会自动给出当前热门电影推荐，进一步推荐附近的电影院甚至选座买票。
但这项技术的实现需要相应的数据分析，所以腾讯指责华为“获取了腾讯的数据，侵犯了微信用户的隐私。”
对此，腾讯副总裁丁可在接受新京报采访时表示，微信的价值取向是从不涉及用户之间的聊天。华为的AI技术可以更高效，但是两家公司的理念真的不一样。
在北京工作的任女士用的是华为mate 10手机。她发现这款手机的“智慧生活”提醒页面可以显示她的火车票预订信息、快递物流信息，甚至可以准确显示她某一天的停车信息。“我很奇怪为什么我的手机能知道我有车，我的车停在哪里。”
对此，猎豹安全专家李铁军表示，为了实现相关功能，手机厂商可以设置自己的官方应用，然后对这些官方应用开放访问接口。这样，订票信息，快递信息等。可以通过相应厂商的数据查询接口查询与用户生活相关的服务。来源:新京报
