如果问当下人们离不开什么科技产品，智能手机无疑是必选之一。智能手机满足了人们在社交、工作、娱乐、金融等方面不可或缺的需求。另一方面，随着手机功能的快速增长，也存在用户数据甚至个人隐私泄露的风险。
你能接受这些权利吗:“检索最近运行的其他应用的状态，阅读你的短信，监控和删除短信”？现实是，它们在你没有接受的情况下，已经以各种形式潜伏在你的手机里了。
最近，Caijing.com对安卓手机的应用程序进行了地毯式的权限检查，发现所有被测试的应用程序都不同程度地存在“过度获取信息”的情况。测试结果显示，超过84%的应用需要访问用户的地理位置，71%的应用需要授权通讯录，只有两款产品完全不需要访问上述权限。15%以上需要4个以上应用的过度授权。
谁动了你的隐私？
Caijing.com的测试人员随机选择了员工使用的三种不同品牌的安卓手机，并从他们内置的应用商店下载了44款应用。根据主要的核心隐私权限，他们逐一查看了每个app的访问需求，并做了表格。
根据上图，录音、摄像、访问通讯录三大功能是访问权限超标的重灾区。
图标，电商平台请求访问录音，音乐平台请求授权地理位置和摄像头，搜索平台请求查看短信，允许拍照录音，甚至读取通讯录，软件要求权限范围太广的情况也屡见不鲜。
以腾讯视频等软件为例。应用程序需要授权才能拍照、访问地理位置、记录等等。但在功能应用的体验中，都没有明显的对应地理位置权的功能。另外，视频软件需要接入通讯录功能，这也成为了值得关注的一点。相比之下，YouTube只有一个非核心功能。
在这次测试中，教育和招聘类app因为频繁越权成为重灾区。以51talk低龄儿童英语为例，7项主张排名第一，其中获取位置、阅读通讯录、修改短信等5项被标注为黄色。此外，ape辅导等应用的功能如遍历应用状态、引导、自启动等也超过了教育软件必备的功能要求。招聘软件中，行业领先的软件有猎聘、BOSS等三款以上。
根据测量结果，超过84%的应用程序需要访问地理位置，71%的应用程序需要授权的通讯录，89%和91%的应用程序分别希望获得记录和拍照的权限。只有两款应用完全不需要访问上述权限，分别是Kindle阅读和FT中文网。15%的应用程序需要同时对四个以上的项目进行过度授权。
据腾讯社会研究中心和DCCI互联网数据中心此前发布的《2018年互联网隐私与欺诈研究分析报告》显示，2018年上半年，安卓系统上接入隐私权限的移动app占比达到99.9%，这意味着安卓系统上几乎所有的移动app都不同程度地接入了用户的隐私权限。
业内人士表示，App收集的信息通常用于完善用户画像和数据分析。因为一些权限是授予非核心和必要的功能，所以人们对这些必需的权限感到困惑。但是因为这种情况，一些开发者会滥用他们的授权。比如产品设计，把未来可能用到的权限都加进去了，但是现在的版本可能根本用不到。
收集的信息安全吗？App开发工程师李丽丽告诉Caijing.com，一般来说，收集的用户信息不会用于除画像和分析之外的其他目的。但是在用户授权后，如果开发者需要访问授权的敏感内容，比如通讯录、录音、相册等，这从技术角度是可以实现的。
“搜索运行应用”多久调用一次？
在参与测试的手机品牌中，“搜索运行应用”的权限频频出现，引起了我们的关注。根据手机中的说明:“该权限允许应用程序检索最近运行和当前运行的任务及相关信息。这种许可允许应用程序知道设备供应商使用哪些应用程序”。
值得注意的是，在测试的44款app中，只有5款没有要求上述权限，如小红书、Farfetch、FT中文网、谷歌地图和YouTube。其他39个app都有“搜索正在运行的app”的权限，没有关闭的选项。同时，部分app拥有“对正在进行的应用进行排序”和“关闭其他应用”的权限。前者会在没有用户授权的情况下自行将任务移动到前台和后台，后者可以结束其他应用的后台进度，导致运行停止。
为什么「搜索正在运行的应用」的权限隐藏在应用中？某科技公司产品总监王海指出，这个权限是手机的底层权限，一般是关不掉的。开发者可以利用这个权利对用户的应用列表进行画像，就是根据用户手机里安装了哪些应用来判断用户是什么样的人。简而言之，这个权限有助于满足开发者的一些业务需求。
饿吗？作为回应，我们开放这个权限是为了保护用户的安全，提供更好的用户体验。相关权限的开放是为了防止用户在使用App的过程中被黑客攻击，被植入病毒或外挂软件，导致饿了么用户的账号或钱财被盗。这是安卓所有主流app都会有的权限。我们既不会检索用户其他app的信息，也要确保饿了么用户的账号等信息不被其他app看到。
一位不愿意透露姓名的360安全工程师的回答似乎印证了这一说法，称该权限主要是出于安全考虑，用于反作弊库检测用户环境，以及程序崩溃时报告当前运行环境。
最终，商业和安全的考虑是有区别的，解释这个功能是核心必需品成了很多开发者的说辞。
百慈印章回应称，这个权限是判断用户是否在使用百慈印章，用户设置了背单词提醒。需要提醒人背单词的时候，如果白瓷印章在前台，不会提醒，否则会提醒。
虾米音乐表示，依靠这个权限只是用来检查自己的推送任务是否处于活动状态，以保证推送任务的正常执行。
与自己无关也是一种说法:
按照一些视频app的说法，后台嵌入了第三方的SDK，这是第三方需要使用的权限，用来统计各种数据，和自己无关。
喜马拉雅FM认为，“搜索正在运行的应用”的权限是Android OS系统赋予所有app的默认权限，没有apps的额外申请，开发者无法关闭。喜马拉雅FM表示没有用这个功能测试用户。
招人科技负责人回应称，该权限可用于判断当前app是否在前台进程，获取当前用户后台运行的App数量，以及App的唯一标识。但是，猎奇并没有得到上述信息。据了解，通过查询logo可以知道对应的应用名称。招聘方补充道，目前谷歌已经在高配版安卓系统中限制了这一权限。Android5.0之前可以获得自己的App和第三方的进程信息，而在5.0版本之后的系统中，只能获得自己的进程信息。
想不到厂家的回答有这么大的出入。除此之外，大多数厂商，如腾讯、高德地图、爱奇艺等。选择了“不存在”或者干脆“沉默”作为他们的回答。陌陌回应，“我们这里都用苹果。找个安卓手机看看。”截至记者发稿时，陌陌并未对此做出任何进一步回应。
一位资深网络安全专家指出，所有需要使用的权限都应该开发出来，应用在代码中，写入代码。开发者只有申请了这个权限才能使用。Android分为敏感权限和非敏感权限，这个权限是非敏感的，所以不会有弹窗让用户确认。
专家表示，很难定义应用程序使用这一权利是否合理。比如每个App都有风控的需求。从风险控制的角度来说，这个权限可以从一个角度来判断对方的手机是否合理正常。但从另一个角度看，他也可以帮助应用公司分析画像用户。此外，他还表示，虽然这个界面在Android 5.0之后已经被抛弃，但是当用户需要点击授权时，应用程序仍然可以通过其他辅助功能获取信息。
北京支林律师事务所副主任、中国政法大学知识产权研究中心研究员赵占领认为，对于大多数app来说，这种权限对于产品本身来说并不是必须的，除非是安全软件。该功能收集用户未经用户同意使用其他app的行为信息，涉嫌侵犯用户隐私权。
是否有同样的权利申请同一个手机品牌系统？
为了了解同一个应用在不同的手机系统中是否会有授权变更，Caijing.com分别在华为和vivo手机上安装了几个app。经验证，在不同品牌的手机应用市场下载同一应用时，授权的内容和步骤也有所不同。据实测，在华为App Store下载应用时，部分App在下载过程中会强制要求你授权访问各种权限，用户只能选择“允许”或“取消”进行下载。
华为的应用市场在下载一些app之前，会提示app需要的权限，并且在其授权内容中都有非核心功能的权限。如果您想下载它们，您必须允许它们。下载后，无需点击应用，直接在设置中输入应用权限即可。Caijing.com发现，app要求的位置、日历、电话、通讯录、摄像头、麦克风等隐私权限全部开启。在vivo应用市场下载后，权限是关闭的，用户使用时可以逐个打开。
除了授权方式不同，在不同的手机设置中，应用权限的切换选项也不同。在测试的app中，关于访问和修改日历权限的请求，这个授权在华为手机中可以关闭，但在vivo手机中无法关闭。
值得注意的是，华为的管理权限区分了“开始录音”和“麦克风”，允许用户手动关闭单个权限。在vivo手机的权限管理中，两种权限是融合在一起的，统称为“录音”。这无疑为一些app窃取用户隐私搭建了快速通道。
同一个App不同权限的背后，是安卓定制的应用市场的不统一。一位业内人士告诉《财经》。没有官方唯一的标准，这将导致这种混乱的局面。
北京支林律师事务所副主任、中国政法大学知识产权研究中心研究员赵占领指出，不同的应用商店基于自身的经营策略和法律制定了不同的审核标准，属于企业自治范围，但应用商店的经营者必须履行法律规定的义务。
开源安卓，流水权限
事实上，安卓应用商店过度授权与安卓应用商店审核不严密切相关，也是用户隐私泄露的重要原因。
据了解，与审核严格的iOS应用市场不同，目前国产手机的操作系统都是基于谷歌的Android系统定制的，各个厂商在定制上存在差异。App的在线审核也是由各个手机厂商来完成的，不同的店铺有不同的审核规则。
App的开发工程师李丽丽说:“如果参照审核速度和所需材料来分析，iOS系统是最严格的一个，其他国产手机审核都差不多。”
针对目前国内的应用市场环境，王海表示，国内几个手机品牌自己的应用市场，为了提高审核速度，不会仔细检查每个app需要的权限，权限范围也不是他们审核的重点。
此前，据《IT时报》报道，有业内人士表示，除了理财、支付类app的明确资质审查外，其他权限并不是重点审查。同时，由于权限申请涉及地理位置、通讯录、通话记录等用户隐私，开发者无需提供相关资质，因此在审查过程中很难有据可查。
法律边缘的“越权”
根据《中华人民共和国网络安全法》第四章第四十二条规定:网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开设定收集、使用信息的规则，明示收集、使用信息的目的、方式和范围，并取得被收集者的同意。
实际上，当一个应用想要获取更多信息时，如果用户不同意，应用就无法获取。也就是说，你阅读的隐私是你有意无意授权的。“从用户那里获取更多的信息并不是越权，而是不择手段，而且这种现象在行业内比较普遍”，王海说。
据了解，去年，美国社交软件脸书遭遇了史上最大规模的用户数据泄露事件。脸书被指责从未关注用户信息泄露的隐患。据报道，脸书还利用性格测试获取用户的个人信息，并利用算法获取广告用户的信息，包括脸书用户的身份、朋友网络和“喜欢”的内容，从而对这些用户进行“精准营销”。
在脸书接连被曝出用户数据泄露后，有媒体分析认为，由于一些公司自身盈利模式的限制，类似的数据泄露迟早会发生。
回顾当前我们面临的环境，亟待规范应用软件厂商的权限，严控各手机应用市场的审核，保护用户的隐私信息。更多的责任，更少的权力。
2019年3月15日，为规范移动互联网应用程序收集和使用用户信息特别是个人信息的行为，加强个人信息安全保护，根据《中华人民共和国网络安全法》和《中华人民共和国认证认可条例》，市场监管总局、中央网信办决定开展App安全认证工作。
来源:钛金极客
