手機竊聽(tīng)用戶(hù)說(shuō)話(huà)竟是行業(yè)公開(kāi)秘密！ 周鴻祎再揭手機“偷聽(tīng)”現象 信息安全亟待完善
“手機應用會(huì )偷偷打開(kāi)錄音功能竊取用戶(hù)消息這已經(jīng)是行業(yè)公開(kāi)的秘密了，但利益牽連實(shí)在太廣，不太方便細聊。”一位網(wǎng)絡(luò )安全從業(yè)者因利益相關(guān)性婉拒了采訪(fǎng)。
8月15日，360集團董事長(cháng)兼CEO周鴻祎在訪(fǎng)談節目中談到個(gè)人隱私泄露話(huà)題時(shí)表示，應關(guān)注互聯(lián)網(wǎng)廠(chǎng)商搜集和使用用戶(hù)數據的方式是否正當。周鴻祎稱(chēng)，有的手機軟件會(huì )打開(kāi)用戶(hù)攝像頭或麥克風(fēng)偷偷錄音，從中找關(guān)鍵詞試圖匹配用戶(hù)每天的興趣愛(ài)好。他稱(chēng)自己也遇到過(guò)類(lèi)似情況，但不指名字了。
周鴻祎認為從很多消費者描述的情況來(lái)看，被竊取的數據應該是被轉賣(mài)了，但現在缺乏證據。
“偷錄”行為需證據
周鴻祎認為手機軟件其實(shí)是可以進(jìn)行用戶(hù)錄音的，但需要提前得告，不應該悄悄地打開(kāi)麥克風(fēng)。他主張手機軟件在采集用戶(hù)數據時(shí)需要做到真正讓用戶(hù)有知情權和選擇權。
但同時(shí)周鴻祎也指出，個(gè)人數據與個(gè)人隱私很難明確界定，如今想要換取互聯(lián)網(wǎng)服務(wù)，將個(gè)人數據賦能給廠(chǎng)商已成為客觀(guān)存在的事實(shí)。應對廠(chǎng)商提出要求——善待用戶(hù)數據。“如果處理得好就保護了用戶(hù)隱私，大家皆大歡喜，老百姓的數據托管在廠(chǎng)商的服務(wù)器上，老百姓也能得到各種免費的互聯(lián)網(wǎng)服務(wù)，自己的數據也沒(méi)有被泄露。”
因此周鴻祎建議，在使用互聯(lián)網(wǎng)服務(wù)過(guò)程中，用戶(hù)向互聯(lián)網(wǎng)公司提供的數據所有權應明確定義屬于用戶(hù)，數據只是暫時(shí)委托廠(chǎng)商，存在廠(chǎng)商的服務(wù)器和數據庫里。當消費者不再使用服務(wù)時(shí)，該互聯(lián)網(wǎng)廠(chǎng)商應做到將用戶(hù)數據刪除，廠(chǎng)商更沒(méi)有權利轉賣(mài)該數據。“如果廠(chǎng)商認為這個(gè)數據是我收集的，我擁有的，我想干什么就干什么，消費者的權益就很難得到保護了。”
愛(ài)加密研究院院長(cháng)魏超對第一財經(jīng)記者表示，偷偷打開(kāi)錄音進(jìn)行數據采集這個(gè)行為本身就是“偷聽(tīng)”，是非法行為，但這需要證據來(lái)證明。另外用“偷聽(tīng)”來(lái)的數據或未授權的數據來(lái)進(jìn)行盈利活動(dòng)屬于不當得利，系違法行為。
信息安全保護尚處于努力過(guò)程中
遺憾的是，用戶(hù)數據隱私保護這件事沒(méi)有那么容易達成。
“剛剛我還在跟朋友聊到想喝某個(gè)牌子的奶茶，轉頭打開(kāi)某款外賣(mài)應用，第一欄的美食推薦就是這個(gè)牌子，很詭異。”一位孫姓用戶(hù)向第一財經(jīng)記者分享了過(guò)往一則“巧合”案例。
魏超稱(chēng)，用戶(hù)保護方面依托于手機廠(chǎng)商的隱私防護技術(shù)，監管單位的隱私保護要求，app下載流通的市場(chǎng)渠道上架檢測，以及事件發(fā)生后的溯源追責。而直到如今隱私數據竊取行為仍未得到根治，在魏超看來(lái)，一方面的原因在于竊取行為定性上的邏輯障礙——APP申明業(yè)務(wù)需要錄音功能，但錄音功能錄取得來(lái)的數據是否僅限于業(yè)務(wù)必需，很難界定。“只能通過(guò)發(fā)生財產(chǎn)損失的事件后進(jìn)行回溯追責。”
所幸，試圖對消費者手機數據進(jìn)行安全保護的努力一直在進(jìn)行著(zhù)。此前浙江大學(xué)網(wǎng)絡(luò )空間安全學(xué)院院長(cháng)任奎帶領(lǐng)團隊研究發(fā)現了利用加速度傳感器竊聽(tīng)的行為。簡(jiǎn)略來(lái)講就是手機應用利用內置加速度傳感器采集手機揚聲器所發(fā)出聲音的震動(dòng)信號，實(shí)現對用戶(hù)語(yǔ)音的竊聽(tīng)。
基于這項研究發(fā)現，任奎建議手機廠(chǎng)商提高加速度傳感器權限級別，避免各類(lèi)應用在非必要情況下采集加速計數據；對加速計的采樣頻率進(jìn)行限制，或通過(guò)系統內置濾波器提前過(guò)濾掉加速度傳感器信號中包含最多語(yǔ)音信息的高頻部分。
另外，為了避免將來(lái)出現類(lèi)似的漏洞，任奎建議手機廠(chǎng)商重新評估各個(gè)傳感器的安全性和敏感性，修改Android操作系統對手機App調用各種傳感器數據的使用權限，如鴻蒙OS等自主可控的操作系統可以從系統層面考慮，杜絕未來(lái)的側信道攻擊路徑。
（責編：梅亞川）
