日前，國家電腦病毒應急處理中心通報，經其檢測，82款移動應用存在違法違規收集使用個人資訊情況。與此同時，國家互聯網應急中心近期監測發現，“薦片播放器”Windows端應用程式內置後門，可在用戶不知情時採集終端資訊、下載運行其他程式、接收服務端指令執行任意代碼。
　　
前者是“過度採集”，後者是“惡意控制”，面對層出不窮的安全風險，個人資訊安全如何保障？科技日報記者就此採訪了有關專家。
　　
第一問：違規軟體在用戶設備上做了什麼？
　　
“這些被通報的App，本質上是做了越界的事。”北京理工大學電腦網絡及對抗技術研究所所長閆懷志表示，根據通報結果，問題最集中、占比最大的一類不是“偷得多狠”，而是“說不清楚”。這類App的隱私政策並沒有逐一列出所嵌入的第三方代碼以及插件收集個人資訊的目的、方式與範圍。用戶在安裝時點下的“同意”，已經把訪問許可權“合法”交了出去。
　　
他介紹，這類違規主要表現為兩種情況，一是未明確告知而收集，有的乾脆玩文字遊戲誘導同意；二是未以清晰許可權限定目的與範圍。這樣一來，即便系統沒有漏洞，正規上架的App也能拿到用戶資訊。
　　
與此不同，“薦片播放器”的問題在於其內置後門。它不需要用戶同意——用戶裝的是播放器，裝進去的是一個常駐後臺的程式。它用技術手段拼出這臺終端的網路身份標識，把用戶看了什麼一併記錄回傳；再通過兩條定時通道等指令，遠程決定在這臺終端上跑什麼。
　　
閆懷志打了個比方：前一種情況像是你開門後，客人擅自翻動家中物品；後一種則像是經你同意住下來的房客，你卻連他有備用鑰匙都不知道。
　　
第二問：是技術疏忽還是另有目的？
　　
閆懷志認為，違規軟體頻出的本質，通常是另有目的。
　　
他從三個方面驗證了這一觀點。
　　
第一，82款中最大的一類問題全部指向第三方SDK（軟體開發套件），說明缺的不是某份文檔的撰寫能力，而是整條外包鏈路上“誰在採集、采什麼、傳到哪”的核驗責任。
　　
第二，如果是疏忽，那就不會持續對抗檢測。相關通報顯示，“薦片播放器”雖調整了通信功能變數名稱、介面和加密方式，但國家互聯網應急中心的比對結論確認，該軟體腳本下發、資訊採集、進程注入等核心惡意行為始終存在。
　　
第三，收益算得清。設備指紋加上管道來源、觀看記錄，正好構成一份可以變現的用戶畫像。個人資訊屬於利益鏈的最前端，誰掌握了用戶資訊，誰就能實現精准行銷乃至精准詐騙，這是目的明確的取捨。
　　
“這裏面還存在著法律定性的問題。”他補充道，如果是疏忽，則違反了個人資訊保護法，屬行政違法；但是另有目的的未經授權控制終端、竊取數據，那就有可能觸及刑法，性質遠非通報整改所能覆蓋。
　　
第三問：監管工具是否跟得上技術演進？
　　
“從法律法規上來看，監管工具箱已經成形，但末端執行與技術回應速度仍存在一定的差距。”閆懷志直言。
　　
中國個人資訊保護法施行將滿5年，與網路安全法、《網路數據安全管理條例》等共同構成監管依據。相關法規設定了從責令改正到罰款的分層罰則，形成了監管閉環。如上期通報的75款應用，複測後仍有28款存在問題，相關分發平臺已下架。
　　
但是，監管的難度也在增大。如小程式與服務號不走傳統應用商店的分發鏈路，審核標準難以把控；惡意軟體擴散以小時計，而合規採樣則以周計。
　　
對此，閆懷志提出，從技術和監管的角度來看，可以將第三方SDK單獨立項核驗，把責任壓回供應鏈；為網路應急機構開放企業可直接調用的情報介面；把檢測資源向小程式等新興載體傾斜。
　　
而對用戶而言，使用習慣比技巧更為重要。閆懷志建議，只從正規管道獲取軟體，安裝時逐條審閱許可權請求，超出功能所需的一律不予授權。
　　
在他看來，從“過度採集”到“惡意控制”，個人資訊保護不僅靠規範約束，更要靠技術威懾與監管追責，二者缺一不可。

來源：科技日報