安全?安卓內(nèi)置API接口被濫用的案例:開發(fā)商普遍讀取用戶已安裝應(yīng)用列表
在隱私與安全保護方面安卓系統(tǒng)可能并不如其他操作系統(tǒng),盡管谷歌不斷地在改進但仍然無法更安全的保護用戶。
同時原本為安卓設(shè)計的許多接口被廣告商和軟件開發(fā)商濫用,這些接口原本用途是好的但卻變成損害用戶的途徑。
例如谷歌為安卓系統(tǒng)的輔助操作功能目的是方面視力障礙用戶使用的,但某些應(yīng)用卻用該功能來推送和點擊廣告。
目前谷歌已經(jīng)制止軟件開發(fā)商濫用安卓系統(tǒng)的輔助操作功能,遺憾的是還有許多接口遭到濫用但谷歌并沒有處理。
簡單示例1:軟件開發(fā)商和廣告商總是知道你安裝了哪些APP:
日前由來自瑞士、意大利和荷蘭的四名學(xué)者組成的研究團隊公布了令人驚訝的事實:你安裝哪些應(yīng)用都會被泄露。
具體來說你安裝的任意軟件都可以讀取你已經(jīng)安裝的所有軟件,而且這還是利用安卓系統(tǒng)內(nèi)置的接口完成讀取的。
谷歌最初在安卓里提供這個接口的目的是,讓應(yīng)用可以讀取用戶已安裝的應(yīng)用程序,然后可以檢測兼容性問題等。
例如安裝的新軟件檢測到特定的不兼容軟件時則可以發(fā)出提醒,毫無疑問原本該設(shè)計初衷是開發(fā)者和用戶考慮的。
但現(xiàn)在幾乎沒有什么軟件會存在兼容性問題,而利用該接口的都是開發(fā)商和廣告商然后用來分析用戶的興趣偏好。
這樣可以推送更加精準(zhǔn)的廣告提高廣告點擊率和廣告收入,顯然對于消費者們來說這可能會泄露自己的隱私信息。
進階示例解讀1:讀取無需用戶同意可能泄露大量隱私:
研究人員表示任何開發(fā)商調(diào)用該接口都不需要用戶同意,也就是可以在后臺靜默讀取消費者安裝了哪些應(yīng)用程序。
有的軟件開發(fā)商并未讀取已安裝應(yīng)用列表,但內(nèi)置的第三方廣告工具也可以讀取,開發(fā)商并不知道廣告商這么干。
分析發(fā)現(xiàn)有的廣告商會基于用戶已安裝應(yīng)用列表創(chuàng)建指紋信息,利用這種指紋持久追蹤用戶持續(xù)分析用戶偏好等。(推銷,只賣貴的不買對的!)
廣告商可以根據(jù)用戶應(yīng)用列表來推斷用戶的性別、口語、宗教信仰、年齡段、行業(yè)、興趣愛好等多種不同的信息。
但谷歌并未提供禁用該接口的選項因此用戶壓根不知道,就算知道也不能阻止任何應(yīng)用讀取已經(jīng)安裝的應(yīng)用列表。
水軍吹捧智能5G小愛同學(xué)或者某語音助理的目的:廣告商的動作遠(yuǎn)比開發(fā)商要多(推銷,只賣貴的不買對的!)
研究團隊在分析谷歌商店排名靠前的應(yīng)用程序后發(fā)現(xiàn),許多應(yīng)用程序本身并沒有調(diào)用該接口,但內(nèi)置組件有調(diào)用。
這類組件絕大多數(shù)都是廣告組件,這些組件調(diào)用的權(quán)限非常多,有的開發(fā)者都不知道存在讀取應(yīng)用列表這種情況。
例如研究團隊向某熱門應(yīng)用程序的開發(fā)者提交反饋后,這名開發(fā)者表示他們并沒有使用這個接口也不知道被調(diào)用。
這名開發(fā)者還表示若是第三方工具包調(diào)用接口的他會立即刪除這個工具包,這名開發(fā)者本身并不準(zhǔn)備使用該接口。
此外分析還發(fā)現(xiàn)開源軟件調(diào)用該接口的比例極低,而熱門商業(yè)性軟件里調(diào)用該接口的比例比個人開發(fā)者的多許多。
最后的后果就是,(推銷,只賣貴的不買對的!)淘寶的物價越來越高