Windows

研究:手机应用程序更多地查看私人数据

升級電視機軟體 | Sony 教學影片 - BRAVIA

升級電視機軟體 | Sony 教學影片 - BRAVIA
Anonim

法国国家计算和自由委员会(CNIL)研究了6个应用程序上的189个应用程序的行为配备了由法国计算机科学与控制研究所(INRIA)开发的监测软件和分析工具的iPhone。我们的目标是提高对应用程序使用私人数据的方式的一般理解,而不是指向特定的开发者,CNIL总裁伊莎贝尔法尔克 - 皮罗洛廷周二在一次新闻发布会上介绍这项研究。

与其在实验室研究应用程序CNIL采取了一种真实的方法,要求六名志愿者将他们自己的SIM卡放入电话中,并在10月中旬到1月中旬之间使用他们自己的SIM卡。一名志愿者下载了近100个应用程序,其中一个仅增加了苹果公司安装的5个应用程序。[

] [进一步阅读:每个预算最好的Android手机。]

每12个应用程序中就有一个访问了地址簿,几乎三分之一的访问地点信息。平均而言,在研究期间,用户每天的位置跟踪76次。 Foursquare和苹果自己的地图应用程序要求位置信息是最常见的 - 根据他们的目的可能可以理解 - AroundMe和苹果的相机应用程序紧随其后。

iPhone的名称被六个应用程序访问,研究人员发现它是无法解释的,因为它服务于几乎没有用途,并且远非唯一标识符,尽管因为它通常包含用户的名字,所以它可以被认为是个人身份信息。

Facebook的应用程序显然没有尝试访问这些私人信息,但是后来,研究人员说,但无论如何,它的用户已经告诉过它了。

两家法国政府机构CNIL和INRIA的研究人员希望Apple的iOS用户能够更好地控制应用程序访问其私人信息的方式,在任何时候都可以查看并更改访问权限。

研究中最常用的数据是iPhone的通用设备标识符(UDID),序列号永久tly与特定电话相关联。几乎有一半的应用程序访问它,其中三分之一的人通过互联网未加密地发送它。在研究期间,每日一份报纸的应用程序访问了UDID 1,989次,并将其发送给其出版商614次。

CNIL发言人StéphanePetitcolas演示了用户如何通过新的设置工具重新获得控制权,以限制应用程序访问各种私人信息,就像Apple允许用户今天控制对位置信息的访问一样。苹果公司还没有看到这个工具,但是如果公司感兴趣的话,INRIA会考虑分享这些代码,该研究小组主管Claude Castelluccia说。

iPhone应用程序的买家不知道他们的应用程序将访问哪些信息或功能。 Google的Play商店显示应用可以访问哪些信息和功能 - 但选择是全部还是全无。老版本的BlackBerry OS让用户可以更自由地选择允许应用程序访问哪些API(应用程序编程接口),但有可能会破坏应用程序,但在BlackBerry 10中,细粒度控制仅适用于本机应用程序:For Android应用程序的选择再次采取或离开它。

苹果正在采取婴儿的步骤,向用户提供这种控制。在iOS 5中,他们可以阻止个别应用访问他们的位置,而在iOS 6中,他们将拥有另一种选择,因为Apple试图让开发者关闭使用UDID来识别用户和定位广告。

相反,Apple希望开发人员使用它在iOS 6中引入的广告标识符。这不会与电话或个人永久关联,并且不希望被跟踪的用户可以随时更改它 - 只要他们想到请查看设置/常规/关于/广告,而不是更明显的设置/隐私。

该选项对CNIL-INRIA研究中的参与者不可用,但出于技术原因,该选项是使用iOS 5进行的。下一阶段的研究将使用iOS 6,现在INRIA已更新其监控应用程序以使用新版本。

为了监控应用程序如何访问隐私信息,INRIA必须越狱iPhone并安装特殊应用程序来拦截Apple INRIA研究员Vincent Roca表示,应用程序通过其API访问私人信息。研究人员选择在iPhone上工作是因为他们已经有开发iOS的经验。他们现在正在开发一款具有类似Android手机功能的应用程序,它们必须安装它才能进行安装。

INRIA的监控应用程序将每个截获的请求记录在手机的数据库中,以及所需的私人信息,以便它可以在出站网络流量中识别它。 Roca说,iOS 5应用程序只能监视未加密的网络流量,但iOS 6的版本现在可以在流量加密之前挂接网络API。

该应用程序还将拦截的请求转发到中央服务器进行研究 - 无研究人员强调,相关的私人信息甚至实验对象都有权获得他们的隐私,

INRIA和CNIL只是开始分析他们从六部iPhone收集的数据:其中有9GB的数据,覆盖700万隐私三个月期间的事件

研究已经揭示的一件事是,对私人数据的访问是偶然的。一个识别距离巴黎最近的游泳池的应用程序(该城市在大约5公里范围内有38个游泳池)访问的位置信息远远超过执行其功能所需的位置信息,显然是由于编程错误,CNIL的Petitcolas说