“过度索权”成“军备竞赛” 手机APP咋这么“贪心”

本篇文章2059字，读完约5分钟

如果您不给予许可，您将不能使用该应用程序。当你的竞争对手请求许可时，他们“不愿意被落下”。在已经成为消费之痛的“权力过度索取”背后，是企业漠视个人信息保护心态在全行业蔓延带来的“军备竞赛”。

手机应用程序中的“过多声明”问题依然存在

阅读通讯录和地址簿，秘密监控拨出的电话，阅读电话记录，甚至打开录音功能。你的手机可能不“诚实”，即使你安装的移动应用来自领先的“大公司”，这些应用的安全性也不能完全让人放心。

上海消费者保护委员会最近评估了39款拥有领先市场份额的移动应用，如网上购物平台、旅游和生活服务，涉及个人信息权利。截至3月23日，共有9款手机应用存在请求权限和功能不一致的问题，涉及聚美、穷途、猫步鹰、中国租车、百度糯米等。

例如，糟糕的旅行应用程序要求用户有权“阅读联系人”，但没有提供相应的功能；中国租车应用要求用户拥有“录音”、“监控呼出电话和重置呼出电话”等权利，但它也未能提供相应的功能。

此次发布的评估结果是上海消费者保护委员会第三次对移动应用进行评估。对地图、浏览器、输入法和综合视频进行了两轮评估，发现有几十个权限申请没有实际功能比较，包括阅读通讯录、电话权限、短信权限和定位权限。

上海市消费者权益保护委员会秘书长陶表示，尽管有三个订单、五个应用，但过度主张应用权利的问题屡禁不止，就连行业龙头企业的应用问题也同样突出，成为消费者新的痛点。

“你要我就要”——四个“权力过分索取”的“怪物”

为什么移动应用的“过度主张权利”难以治愈？调查显示，有四种新趋势值得警惕，即由企业利益扩散引起的“军备竞赛”、缺乏诚信以及整个行业对个人信息安全保护的漠视。

-"只是不要升级"。在多轮评估中，我们发现移动应用使用的目标api级别太低。在本轮评估中，当安装百度糯米应用时，由于目标api级别太低，即使没有相应的使用场景，用户也已经“授予了一个包”的敏感权限，包括“阅读联系人”、“记录”和“阅读信息”，否则将无法正常使用该应用。

-"假装不知道"。一些企业声称，过度主张移动应用的权利对程序员来说是一个“大锅饭”。一位租车负责人表示，该企业程序员“犯了一个开发错误”，“在没有敏感权限的情况下意外上线使用场景，实际上并没有使用该权限。”Catwalk Eagle表示企业中存在监督，它不会主动检查是否存在为不再存在的应用场景请求许可的问题。

北京捷星鑫源信息技术有限公司技术支持部总经理盛大江指出，当目标api级别低于23时，Android将采用包授权模式进行权限管理，存在可以规避系统安全机制的漏洞，安全风险较大。“是否升级api级别并检查声明是否对应于使用场景是企业的独立选择。尽管包括工业和信息化部在内的监管部门正在倡导将目标api水平提高到28，以使用户的信息更加安全，但一些企业可能没有太多动力去主动改进。"

-"如果你一千年使用一次，你必须要求一项权利。"经过对专家的梳理和访谈，发现以短信阅读权为例，企业认为申请这一权利可以方便消费者阅读短信验证码。然而，除了金融应用等少数高频发送验证码的应用外，大量应用需要读取验证码，这是“百分之一”，但它们获得了如此敏感的权利，消费者的“隐私转移回报”显然是不够的。也有一些移动应用程序在使用过程中不断“骚扰”消费者以获得录制权，但它们提供的功能是很少有人使用的“语音广播”。

-“如果你不使用它，你必须创造条件。”许多移动应用程序都存在请求“不必要的许可”的问题。以日历权限为例，评估显示有10多个移动应用，尤其是网上购物平台，在获取用户日历方面存在问题。

在回应消费者保护委员会时，相关企业表示，日历权限的请求可以方便消费者了解促销信息，但专家指出，相应的功能可以通过后台推送实现，不需要另外获取和调用日历权限，有滥用使用场景的嫌疑。“万一明天用了呢？我想要我的竞争对手。一些公司认为，即使他们现在不能使用它，他们也不能立即将消费者的数据商业化。他们必须首先创造条件占领它，“为未来的麻烦做好准备”，甚至瞄准竞争对手“他想要我”"

自增压声称“清晰明了”

陶指出，希望开发商增强诚信意识，主动出击，更好地保护消费者的个人信息安全。“上海消费者保护委员会将密切关注并继续关注手机应用的过度索赔。”

上海市消费者权益保护委员会副秘书长唐建生表示，互联网企业应确保相关应用程序所要求的权利和功能必须匹配并正确使用这些权利。建议行业内大企业尽快引入集团标准，净化市场。与此同时，消费者应该更加重视应用程序的声明和授权。

一些互联网公司已经在“自我施压”，并主动向消费者“解释清楚”所要求的权利。例如，最新更新的手机淘宝应用不仅逐一解释了用户申请的权限及其使用场景，还明确告诉消费者，如果他们不愿意申请权限，可能影响其使用的功能将方便消费者做出选择。

在谷歌最近发布的安卓q测试版中，除了最初的拒绝和永久授权两个权限选项外，还增加了仅在使用期间(运行时)的授权选项。这个版本在未来正式发布后，基于这个最新版本的移动应用将更好地保护消费者的信息安全。

来源：环球邮报中文网