警惕超范围采集隐私-移动APP违规十宗罪

随着科技的高度发展及互联网的广泛应用，智能手机成了人们工作生活中的必需品。但与此同时，智能手机在非法App的操纵下很可能沦为泄密“黑洞”。对此，监管部门应该强化监管，严厉追究这些流氓App开发者及平台的相关责任。

用户的个人信息成为移动互联网抢夺的目标，个人信息的保护也成为网络时代研究的热点。较早之前国家计算机病毒应急处理中心通过互联网监测发现15款移动App及1款SDK（软件开发工具包）存在隐私不合规行为，违反《网络安全法》及《个人信息保护法》等相关规定，涉嫌超范围采集个人隐私信息。

智能手机能告诉别人你的位置，跟谁通了电话，发了短信，你的手机出厂号码是多少，玩什么游戏，几点玩游戏，几点出现在办公室周围，是否喜欢吃川菜，搜索过什么新闻，看过什么网站……而通过你泄露的这些信息，就能判定你是不是高富帅，你的收入水平，你是否在家——如果单身的你刚刚在遥远的新疆某个饭馆“签到”的话，基本就可以断定是否现在适合到家中“拜访”。

你的这些庞杂信息正在被手机里的众多APP应用上传到无数服务器上，这些APP的拥有者、应用商店以及一些手机制造商，都在成为这个链条上的参与者，他们的提醒隐晦，措辞模糊，你不知道他们拿这些信息做什么用途，也不知道他们的公司可能只有几个工程师，根本无力保护你的这些信息的安全。

十大常见移动App违规问题

问题1：权限申请目的不明确

1)  目的告知不明确。如描述为“需要您开启存储权限，以保证存储相关功能的正常使用”，未说明具体明确的权限申请目的。

2)  未告知申请目的。App申请系统权限时未说明权限的申请目的，如仅通过操作系统弹窗向用户申请系统权限，未告知用户权限申请目的，未逐一列出收集使用个人信息的目的、方式，范围等。

问题2：超范围采集个人信息

强制收集非必要信息。首先，App存在强制收集情况（通常就是“不给就不能用”），即用户在打开App后或当使用到某项功能时，必须提供特定的个人信息/系统权限，否则无法正常进入App或无法正常使用该功能；其次，App所强制收集的个人信息/系统权限并非其正常运行或实现相关功能所必需。

问题3：无法注销账号或设置不合理条件

未提供有效的更正、删除个人信息及注销用户账号功能或注销用户账号设置不合理条件。比如未提供注销功能、注销成功后，未对其个人信息进行删除或匿名化处理、提供手持身份证照片，提供写有“当天日期、账号名、我自愿注销XX账号”的纸质字条等。

问题4：下载或使用App时常遇捆绑授权

必须同意开启App申请的所有权限，否则无法安装或者使用该App所有功能。常见的是以捆绑打包形式申请其向操作系统声明的所有权限，用户不同意则无法安装和开启功能，安装完成后申请的所有权限默认打开，同时将该类信息与实现App基本功能所必要的信息相捆绑，要求用户一并同意，用户不同意则无法使用App基本功能或所有功能。

问题5：无隐私政策声明

明示“用户隐私声明”的较少，服务协议与隐私声明不区分，用户隐私声明内容多作为章节或段落呈现在“服务协议”或“用户许可”等文本中。

问题6：默认“勾选同意”

由于智能手机屏幕小，用户隐私声明通常以二次链接或者多次跳转链接的形式呈现在注册或设置界面。安装App时默认勾选用户协议和隐私政策，若用户拒绝信息收集，则自动视为拒绝该服务，等于强制用户接受App开发商的隐私政策。

问题7：频繁索权，后台高频次搜集信息

对于用户可选提供的系统权限，在用户拒绝后，每当其重新打开App或进入相应界面，都会再次向用户索要或以弹窗等形式提示用户缺少相关权限，干扰用户正常使用，属于一种变相的强制索权。且存在App后台大量收集用户信息并频繁调用的情况。

问题8：隐私政策内容与实际不符

隐私政策所声明收集的个人信息/系统权限以及提供的业务功能等，与实际情况不一致，存在隐瞒、冗余、偏差、错误或内容不属实等问题。包括：实际收集个人信息超出隐私政策所述范围，即未完整告知所收集个人信息类型以及用于实现的功能或目的；实际收集个人信息少于隐私政策所述范围，即声明了实际并未收集的个人信息或实际并未提供的功能；以及隐私政策所述与实际情况存在明显偏差、错误，甚至出现大篇幅抄袭现象等。

问题9：隐瞒第三方SDK收集行为

App嵌入了收集用户个人信息的第三方SDK，未逐一列出收集使用个人信息的目的、方式和范围等，且向第三方提供个人信息未做匿名化处理。App对用户隐私声明的设置和呈现不够重视，也侧面体现了互联网企业对用户个人信息保护的力度不足。

问题10：未充分明示个人敏感信息使用规则

收集身份证号码、银行卡号，生物特征识别信息等个人敏感信息时，未以显著方式同步告知收集目的、使用规则，安全保护措施等。如App收集人脸信息前未展示单独协议或进行显著特殊说明，在用户点击“继续”后，App在无任何提示的情况下便开始采集用户的人脸信息。
 

如何进行个人隐私信息的保护建议

移动互联网时代，用户每天进行大量“数据排放”，有权了解个人信息被收集和使用的情况，并有权对不合理的收集和使用提出质疑，同时也呼吁广大企业主和平台重视个人信息保护。以下是针对上述情况，提出的三点安全建议：

• 用户方：建议通过正规的应用商店或官方渠道下载相关应用，同时要注意认真阅读其用户协议和隐私政策说明，不随意开放和同意不必要的隐私权限，不随意输入个人隐私信息，定期维护和清理相关数据，避免个人隐私信息被泄露。
• 应用开发商：应遵守相关规定，禁止超范围收集、使用个人信息，并重视个人信息保护。
• 应用分发平台：作为App走向市场的第一道关卡，应做好审核筛查工作，严格落实App信息审核、重点审核App上架流程等要求。

隐私保护与APP应用安全

重视隐私保护是对我们个人信息安全的保证。那么APP应用的安全才能从源头保证个人隐私信息不被非法利用和侵害。APP应用安全不仅是对APP开发者利益的保护也是对使用者的保护，黑灰产在攻击APP平台的时候不仅仅是侵害企业的利益，同时也在侵害APP使用用户的利益。当不法分子获取到了用户的隐私信息，进而会衍生出来了一些诈骗，用户信息贩卖等侵害用户的违法犯罪事件。

什么是APP加固：

所谓APP加固 ，简单说来就是对APP代码逻辑的一种保护。原理是将应用文件进行某种形式的转换，包括不限于隐藏，混淆，加密等操作，进一步保护软件的利益不受损坏。企业主不受损失。iOS 和 Android 的实现有所区别，但是核心逻辑和思路，大体是一致的。总之先了解破解的实现原理，再有针对性地加固APP，才能够在一定程度上保证不被分析、破解。

APP加固作用：

APP加固的作用就是为了提高软件的逆向成本，并能够降低软件被破解的几率。APP加固是可以防止APP被破解，二次打包以及外观和恶意篡改等操作的，这样就可以保障开发人员和广大用户的利益。但是APP加固是不能保证一定不会被破解的，但是在被破解之前，还是可以积极的提高加固强度的。

为了保证APP加固之后，软件能够正常使用，还需要提前做好加固方案，只有保证APP加固兼容性测试成功，才能够确保修改的共性问题可以得到同步解决。为此，不管大家选择的是付费加固还是免费加固，都需要重视这一点。当然，相对来说，付费进行APP加固所能够带来的优势更为显著一些。

APP加固方法：

1、源码加密。大家在做APP加固 的时候，是可以采用源码加密的方法的，这个可以防二次打包，可以做资源文件保护以及so文件和Dex文件保护。其实，每个加密项目又还包含了很多的小项目，比如对于dex文件来说，它进行加密保护的时候，是需要加壳保护的，还可以是加花以及动态类加载等的方法。

2、应用加密。这个APP加固的方法也是包括两种技术的，一种是清场技术，一种是log日志输入屏蔽技术。对于清场技术来说，它是依赖于云端的白名单，黑名单的，这个应用在每次启动的时候，就会自动的进行本地的白名单和黑名单的数据更新，如果它检测到异常的情况的话，就会对用户进行提示的。

3、数据安全。这种APP加固 方法的功能是非常多的，不仅可以进行页面的防劫持，进行截屏保护和本地数据的保护，还可以做内存数据的防查询，虚拟键盘和协议加密等的内容，对于它的防截屏，录屏的功能来说，它是通过hook技术监控系统来进行底层的截屏相关操作的，这样就能够防止相关函数的调用了。

综上所述，隐私保护与APP应用安全是同等重要的，都关系到了用户的切身利益。所以APP开发商在遵守相关规定，禁止超范围收集、使用个人信息的同时，需要加强对自身应用的安全风险的保护，需要重视APP加固，目前加固技术的特点是非常多的，正因如此才会使得越来越多的企业用户选择进行APP加固，就是为了能够最大限度的保障软件的使用安全，为了能够抵御各种动态破解攻击。保证企业利益的同时进而保护用户的隐私安全不受非法侵害。