个人隐私安全该何去何从-大量APP秘密收集追踪个人信息-低调大师

个人隐私安全该何去何从-大量APP秘密收集追踪个人信息

2017-07-31 611

研究人员在上周的IEEE欧洲议会上表示，他们在近期的一项研究中发现了234种安卓应用会向用户发出“允许使用麦克风”的请求，以此通过超声波信号追踪用户信息。基于超声波跨设备追踪技术(Ultrasonic Cross-Device Tracking，uXDT)是许多市场和广告公司的“宠儿”。

超声波音频信标可以植入电视广告或网页广告，而装有接收器的移动APP则可以收集这些信标。由此，广告商可以通过此项技术跨设备追踪用户信息，创建用户的个性化档案，通过分析设备收集的数据了解用户的兴趣所在，从而为每位用户推荐他们感兴趣的广告。

越来越多的APP开始使用uXDT技术

在这项研究中，研究人员针对VirusTotal服务的数百万Android应用进行了分析，他们发现一小部分应用采用名为Shopkick和Lisnr的超声波音频技术。还有不少应用则采用了SilverPush SDK，这是个可让开发者对用户进行跨设备追踪的SDK。SilverPush、Lisnr和Shopkick都是为开发者准备的SDK，这三款SDK都采用超声波信标给移动设备发送信息。

开发者可以通过SilverPush跨多个设备追踪用户信息，而 Lisnr 和Shopkick 则用于对用户进行位置追踪。研究人员在分析了大量Android应用之后发现，使用 Lisnr和Shopkick SDK的厂商并不多，但是使用SilverPush SDK的却大有人在。这份报告还提到，在研究人员走访的35家德国零售商店中，就有4家店内存在超声波信标。

早在2015年，就有一份研究显示，样本中有6-7个APP使用了SilverPush SDK，该企业由此监视了大约1800万台智能手机，但这一数量正在不断上升。

在2016年的BlackHat黑客大会上就有研究人员对uXDT技术进行了展示，并指出这种技术可以通过反匿名暴露Tor用户的真实信息。(例如，在正常情况下，用户通过比特币进行交易不会留下真实的身份信息，但一家恶意网站可以追踪出用户的真实身份，或揭露出通过匿名网络，如Tor洋葱网络，浏览网页的用户身份。)

隐私安全将何去何从?

虽然uXDT技术的应用目前尚未“误入歧途”，但它仍然引发了许多对隐私的担忧——app只需通过麦克风接收超声波就可进行追踪活动，而无需任何移动网络或无线网络。该研究报告提到：

“SilverPush的存在实际上缩小了监控和合法追踪之间的距离。SilverPush和Lisnr采用相似的通讯协议和信号处理方式。即便用户指导Lisnr会进行地理位置追踪，SilverPush也不会公开采用这种追踪功能的应用名称。”

2014年斯诺登事件曝光后，泄露文档提到美国情报机构如何获取国外旅客在不同城市间的动向：机场会收集这些人所用设备的MAC地址，而全国各地咖啡厅、餐厅和零售店的WiFi热点也会进行MAC地址识别，情报机构再对两者进行比对。国外媒体认为，超声波技术对于夸设备追踪用户动向甚至会有更好的效果。

如何进行自我保护?

既然我们无法阻止超声波信号在自己周围传输，那么为了减少智能手机被监听的风险，最好的方法就是严格限制通过APP对设备发起的“请求”。

换而言之，这里我们只需运用自己的常识。例如，如果Skype请求“使用麦克风”，显然十分合理的，因为在Skype中将用到这一功能。但倘若美妆或服饰APP发送这一请求，结果又将如何?作为用户，应该严格拒绝请求。

为了取消这些不需要的APP请求，一些Android手机厂商，例如一加为用户提供了一种叫做“隐私指南”(Privacy Guard)的功能，用户可以通过这一功能禁止一些与APP基本功能无关的请求。 Android 7和iOS 10用户同样可以通过设置实现这一操作。

【本文为51CTO专栏“柯力士信息安全”原创稿件，转载请联系原作者(微信号：JW-assoc)】

戳这里，看该作者更多好文

作者：柯力士信息安全
来源：51CTO

微信关注我们

原文链接：https://yq.aliyun.com/articles/182295

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

黑莓手机可以绕过运营商提供Android安全补丁

各家Android手机制造商设法每月按时进行安全更新，但是他们面临一个很大的难题：安全更新通常需要获得运营商的批准，这就意味着在更新前需要等上几个星期。然而，黑莓选择不妥协。黑莓公司打算提供每月安全更新，并且不需要得到运营商批准。黑莓公司表示，黑莓甚至可以在手机锁定在特定网络的情况下，对其(Priv model)直接打补丁。智能机厂商会和其合作伙伴共同完成修复工作，但是在出现重大漏洞时，他们会跳出在固定时间周期更新的队列，提供一个完整版的补丁消除漏洞。黑莓还为逐渐失去智能机更新控制权的IT从业人员带来了福利。如果你使用的是企业发布的Priv，公司可以决定你什么时候可以打补丁。所有重要的企业级app不会因为你想要最新版本的Android就受到破坏。这对你总是想要最新版本的Android系统影响不大，但是可以避免一些办公混乱。这些政策并不代表让你折腾你现有的安卓系统，尤其是如果你是用Nexus或者其他运营商控制的未锁定的设备。但是，如果你经常在工作中使用你的手机，这些政策就变得非常重要。很多公司选择智能机时倾向于iOS系统而不是安卓系统，部分原因是安卓无法保证定时更新，也就无法保...

2017-08-01

505

有一种说法认为平板电脑属于安全系数最低设备阵营里的，然而很多员工会将平板电脑用于工作中。那么究竟平板是不是不如笔记本电脑(在企业中仍较为普遍)安全?我在为我的公司制定设备安全策略，是否应该禁用平板?或者采取特定的平板安全策略来限制特定厂商/OS的平板设备的使用? Mike O. Villegas：对于消费者和企业来说，平板的流行让其更成为了恶意软件的攻击目标。很多企业优先选择平板来开展业务，替代原有的笔记本和工作站，其优势在于用户识别上，以Apple的Touch ID指纹识别为例，它增强了移动设备的密码，减少了安全风险，不过这仅限于用户识别问题。相较来说，下载恶意的移动应用则带来更大的风险，这是企业在制定任何关于平板安全策略时都应考虑到的问题。尽管带有移动设备磁盘加密，平板电脑仍易受到越狱攻击。在《2015移动威胁报告》(对逾250万移动应用进行的调查)中，Pulse Secure报告称73%的恶意软件将目标瞄准企业和消费者的Android设备。这不是说iOS设备就比Android设备安全，只是因为Apple通过对从Apple Store中下载的移动应用进行审批从而缓解了相关风险。然...

2017-08-01

551

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。