看世界：手机应用监听用户讲话？美国有人测试近2万个应用发现…

手机应用监听用户讲话？

“我今天跟朋友聊天，说想买个吸尘器，晚上就有APP弹出了吸尘器广告。肯定是这个APP偷听我讲话了！”身边一定有人跟你说过类似的话。手机APP会监听用户的讲话内容，然后用于精准营销——这究竟是阴谋论还是真实存在？

近日，美国东北大学的研究团队测试了从Google Play、应用汇、小米应用商店和安智等四个安卓应用市场下载的17,260个常用APP，试图解答这个问题。结果显示，偷录音频的情况在测试中并未出现，但未经用户允许擅自发送截屏的APP却不少。

这次测试的目的是识别和测量安卓应用泄露照片、截屏、音频和视频的情况。研究团队认为，媒体泄露是一种新的隐私隐患。比如图像可能成为泄露个人信息的另一个渠道，而屏幕截图能记录用户在提交数据之前的行为，可能更加敏感。

不同应用市场下载的APP获取各种权限的数量占比。图片来自《Panoptispy: Characterizing Audio and Video Exfiltration from Android Applications》

研究团队发现，不少APP都要求获取媒体权限——43.8%要求麦克风权限，75.6%要求照相机权限，89.9%要求外部存储访问权限——尤其是从Google Play和小米应用商店下载的APP。

然而，绝大多数APP虽然要求获取这些权限，但是实际上调用相关功能的百分比很低。也就是说，APP通常一开始就会申请未来可能用到的全部权限，至于什么时候用，就另说了。

在音频、照相机、截屏和视频四种功能中，截屏功能的调用率最高，其他三种都极低。不过，这与个人信息泄露的程度并不成正比。

研究团队发现，外卖类应用GoPuff在启动的同时，会将可能包含用户住址邮编的截屏录像发送至一家APP分析公司——AppSee，而用户对此并不知情。在这个情景里，AppSee的角色是第三方工具包（SDK），跟GoPuff是合作关系。它毫不避讳地在官网上展示自己是如何记录用户在APP上的操作行为的。

AppSee在官网上写道：每一个轻触、滑动和动作都被记录在案。图片来自AppSee官网

事件曝光后，AppSee把“锅”甩给了GoPuff，称其违反了自己和Google Play的服务条款。但一位Google发言人不认为Appsee像自己声称的那样无辜，“我们发现AppSee的部分服务可能置开发者于违反Google Play政策的境地之中。”据悉，GoPuff已经修改了隐私政策，并移除了AppSee的SDK。

另一个很难被察觉的隐私泄露方式是屏幕截图。SAHIC是一个社交类APP，它在测试中给TestFairy（移动应用程序的beta测试平台）发送了45张屏幕截图，图像上的信息包括给联系人发送的短信以及对问卷的回答等。TestFairy通常被用于测试版，并在正式版中被移除。但是没有证据显示SAHIC只是测试版。

测试结果显示，研究团队没有在近2万个APP中发现监听用户讲话的情况。但他们强调，这个结论并不是绝对的，因为测试环境存在局限性。

测试环境。图片来源：研究团队David Choffnes

首先，用于测试的手机是由自动化程序操作的，可能导致与真实人类的使用方式不同；其次，整个测试环境是受到严格控制的，而非自然环境；另外，如果APP把音频转化成预计以外的格式，或分成好几个音频流外传，都可能逃过测试程序的捕捉。

事实上，“APP是否监听用户说话”的迷思或许有另外的解释。当企业收集了你足够多的个人信息，同时又知道和你收入、爱好相近的人会对哪些商品感兴趣，也就不难解释，为什么你会觉得APP有时候比你更了解你自己。

“我们将继续监测多媒体内容的泄露情况”，研究团队提到，AppSee和TestFairy也在iOS平台上提供SDK，所以未来还将研究iOS应用是否也呈现类似的泄露行为。

报料请点击 

推荐阅读：