拨打电话发送短信…热门App获取敏感权限藏安全隐患

许多人的手机上都会有或多或少的应用软件，也就是俗称的App，但是有多少人知道，在享用这些应用软件便利的同时，你付出的代价有多大呢？答案可能令您震惊。

上海市消费者权益保护委员会、副秘书长唐健盛：从测试情况来看，可以说情况非常不理想，很多的头部App实际上在权限的申请和调用方面，其实是违反了一些必要性、正当性等等原则的。

我国《网络安全法》第四十一条规定：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。

网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。

手机中涉及大量的用户隐私信息，一款手机App获得用户授予的敏感数据“访问和使用”权限时，一方面有能力获取用户的隐私；另一方面，这些权限又是App实现功能所需要的，因此，手机应用软件App在申请和使用敏感权限时，应该遵循“合法、正当、必要”原则，合理申请、合理使用。

上海市消费者权益保护委员会副秘书长唐健盛：我们觉得权限就类似于钥匙，你拿了消费者家的钥匙当然您可以说，我是来你们家拖个地，可能要来烧个菜，但是你给消费者带来方便的同时，你也应该充分考虑到消费者的安全性。你拿了钥匙以后，你把这些活干完了以后，是不是钥匙你能把它给还回去。当然消费者也希望能够知道整个过程中，你确实除了扫地、拖地、烧菜没有干别的事。

上海市消费者权益保护委员会副秘书长唐健盛：第一款(类)输入法可能是跟安全性，我们觉得是非常紧密的；第二款(类)可能浏览器是现在消费者反响相对比较强烈的；视频网站我们认为可能是消费者使用时长比较长的。

14款手机应用软件申请敏感权限目的不明

除了浏览器以外，本次评测的5款输入法，有3款申请的短信和位置等敏感权限，找不到对应的功能。

评测工程师盛大江：(这款)输入法同样它申请了11款敏感权限，其中位置权限的两个详细的小权限，和短信权限的两个，一个是读取一个是接收权限，我们并没有在应用中找到对应的功能。

少部分应用软件擅自开启敏感权限

在进一步的评测中还发现，有4款App的目标版本过低。工程师告诉记者，应用软件的目标版本过低，首先可能在权限管理方面存在用户可知而不可控的问题，其次可能存在可规避系统安全机制的漏洞，容易造成用户个人信息泄露，引发终端安全和个人信息保护风险。

评测工程师盛大江：它的官方解释是说，允许该应用处理呼出以及更改拨打的号码，此权限可以监视重新定向和阻止呼出，所以这个权限还是比较敏感的。

工程师分析认为，目前普遍存在申请权限与功能不匹配的情况，一个主要的原因是在开发设计App的时候，程序员缺乏对功能和权限的对应考量。

评测工程师阳雄：因为应用在开发初期，程序员为了省事，可能将未来可能用到的权限还没有用到的也都申请了，就是为了方便。

另一方面原因，可能和App的升级迭代有关。

评测工程师阳雄：有可能是应用曾经有功能用到了这个权限，但是在应用版本升级之后，这个功能没有了，但是相应的权限忘了把它去掉。

此外，评测工程师还认为，除了这两方面原因以外，也有一些App存在申请敏感权限过度的可能。

评测工程师一方面以最大的善意解读了手机应用软件过度搜集用户信息的原因，另一方面也指出，就好像把家门钥匙给了外人，外人可以随意进出你的家门之时，看着你满屋子的财产，这个外人究竟会不会动点别的心思呢？这个答案可就不好说了。

上海市消费者权益保护委员会副秘书长唐健盛：这些开发者，必须知道红线在哪里。我们在第一步所做的是你要这个权限你就必须要有功能相对应，再往下面走，可能就涉及到这个功能你设置的是否必要，可能到了第三步我们可能就会在想着你拿了这个权限以后，你能不能用好了以后就还给消费者。你考虑的是消费者的痛点，你考虑的是我们App的功能。但是我们觉得这些都是要给消费者带来足够的安全性，以此为前提。

上海市消费者权益保护委员会副秘书长唐健盛：消费者并非专业的，你必须在拿这些数据的时候，一定要帮消费者把它的安全性全都考虑清楚，而我们认为这个事恐怕不是哪一家企业凭着自己的善心就会去做的，这可能需要整个一个市场整个一些头部的企业。我们要通过一定的机制，在保障市场的竞争和效率的前提下，我们怎么样能够把规则更加好的迭代。我想这可能是我们解决个人信息保护方面的一条非常有价值的探索。