谷歌和蘋(píng)果（仍然）大規(guī)模采集用戶(hù)隱私數(shù)據(jù)
谷歌和蘋(píng)果公司近來(lái)在用戶(hù)隱私保護(hù)和透明度方面高調(diào)行事，例如Google上月宣布停止Chrome第三方cookie，而蘋(píng)果公司則在iOS14中禁止開(kāi)發(fā)者不經(jīng)用戶(hù)同意采集IDFA(廣告客戶(hù)識(shí)別碼)，后者是廣告行業(yè)跨應(yīng)用追蹤消費(fèi)者，精準(zhǔn)推送廣告的關(guān)鍵數(shù)據(jù)。
但是，近日愛(ài)爾蘭三位一體學(xué)院的研究員道格拉斯·萊思(Douglas Leith)在最新發(fā)表的一份學(xué)術(shù)報(bào)告中寫(xiě)道：“盡管蘋(píng)果的iOS和谷歌的Android設(shè)備用戶(hù)選擇了拒絕，但兩個(gè)平臺(tái)仍然在悄悄傳送遙測(cè)數(shù)據(jù)。”
這項(xiàng)名為“手機(jī)隱私：測(cè)量iOS和Android發(fā)送給蘋(píng)果和谷歌的數(shù)據(jù)”的研究還發(fā)現(xiàn)，與蘋(píng)果從iOS收集的數(shù)據(jù)量相比，谷歌從其Android Pixel手機(jī)用戶(hù)那里采集的數(shù)據(jù)最多高出20倍!
報(bào)告稱(chēng)：“用戶(hù)手機(jī)的IMEI、硬件序列號(hào)、SIM序列號(hào)和IMSI、手機(jī)號(hào)等已(默認(rèn))與蘋(píng)果和谷歌公司共享。”“插入SIM卡后，iOS和Google Android都會(huì)向蘋(píng)果/谷歌發(fā)送詳細(xì)信息。iOS設(shè)備會(huì)將附近設(shè)備(例如其他手機(jī)和家庭網(wǎng)關(guān))的MAC地址及其GPS位置發(fā)送給蘋(píng)果公司。目前，幾乎沒(méi)有(如果有的話(huà))防止這種數(shù)據(jù)共享的現(xiàn)實(shí)選擇。
蘋(píng)果、谷歌默認(rèn)采集大量用戶(hù)隱私數(shù)據(jù)
此次測(cè)試并未覆蓋上述移動(dòng)操作系統(tǒng)中預(yù)裝的應(yīng)用程序和后裝的第三方應(yīng)用程序。相反，研究的重點(diǎn)是操作系統(tǒng)級(jí)別的手機(jī)組件和功能收集的數(shù)據(jù)，例如蘋(píng)果的藍(lán)牙UniqueChipID，安全元件ID和設(shè)備的Wi-Fi MAC地址的傳輸。
“與蘋(píng)果相比，谷歌收集的手機(jī)數(shù)據(jù)量要大得多，”Leith寫(xiě)道。“在啟動(dòng)的前10分鐘內(nèi)，Pixel手機(jī)向谷歌發(fā)送了大約1MB的數(shù)據(jù)，而iPhone向蘋(píng)果發(fā)送了大約42KB的數(shù)據(jù)。當(dāng)手機(jī)閑置時(shí)，Pixel每12小時(shí)向谷歌發(fā)送大約1MB的數(shù)據(jù)，而iPhone向蘋(píng)果發(fā)送52KB的數(shù)據(jù)–也就是說(shuō)，谷歌收集的手機(jī)數(shù)據(jù)比蘋(píng)果多20倍。”
他指出，無(wú)論是否使用操作系統(tǒng)，操作系統(tǒng)平均每4.5分鐘連接一次其后端服務(wù)器。
Leith還抽樣檢查了一些手機(jī)制造商預(yù)裝的應(yīng)用程序和服務(wù)。他指出，盡管從未打開(kāi)或使用過(guò)，但它們也建立了網(wǎng)絡(luò)連接。
“尤其是在iOS上，這些應(yīng)用包括Siri、Safari和iCloud;在Google Android上，后臺(tái)建立連接的應(yīng)用包括YouTube、Chrome、Google Docs、Safetyhub、Google Messaging、Clock和Google SearchBar。”Leith說(shuō)道。
移動(dòng)設(shè)備共享太多數(shù)據(jù)的隱私風(fēng)險(xiǎn)是什么?
研究人員指出，共享此類(lèi)遙測(cè)數(shù)據(jù)的手機(jī)會(huì)產(chǎn)生兩個(gè)方面的隱私風(fēng)險(xiǎn)。首先，谷歌和蘋(píng)果可以使用數(shù)據(jù)來(lái)識(shí)別用戶(hù)并跟蹤購(gòu)買(mǎi)情況。其次，蘋(píng)果和谷歌可能濫用用戶(hù)的信任并跟蹤他們的活動(dòng)。
研究人員指出，將用戶(hù)數(shù)據(jù)傳輸?shù)皆O(shè)備制造商的后端對(duì)于為特定設(shè)備型號(hào)推送安全更新是必要的，但是當(dāng)將用戶(hù)數(shù)據(jù)綁定到特定用戶(hù)時(shí)，收集數(shù)據(jù)開(kāi)始變得危險(xiǎn)。
他說(shuō)：“許多研究表明，隨著時(shí)間的推移，手機(jī)位置數(shù)據(jù)可以被用來(lái)泄漏個(gè)人真實(shí)身份信息。”
參考資料：https://www.scss.tcd.ie/doug.leith/apple_google.pdf
【本文是51CTO專(zhuān)欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過(guò)安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
