移动应用漏洞频发威胁个人信息安全 相关厂商签署自律公约

7月10日，2018中国人工智能移动安全高峰论坛在北京召开。在移动安全联盟的倡议下，国内外相关厂商签署了《移动安全联盟漏洞信息披露和处置自律公约》，承诺高度重视产品漏洞的危害，进一步规范漏洞信息发布和处置行为。 

据了解，移动安全联盟由移动设备厂商、互联网厂商、安全厂商、安全检测机构、科研机构组成，目前共有会员单位47家，其中包括中国信息通信研究院、北京大学、华为、360、小米、腾讯、阿里巴巴、百度等知名科研院所和企业。 

近年来，移动应用安全漏洞频发，成为用户信息泄露的新主体。仅在2017年，国家互联网应急中心就发现73个窃取用户个人信息的恶意程序变种，攻击者利用该类型漏洞私自窃取用户短信内容和通讯录，泄露用户短信中的账户或密码。黑龙江、江苏、安徽、内蒙古等地感染用户达2.9万。 

中国信息通信研究院泰尔终端实验室新业务发展部副主任、移动安全联盟秘书长杨正军表示，联盟正推动建立移动安全事件应急响应机制。对于影响较大的安全事件，联盟将协调检测机构快速发布检测工具，推动操作系统供应商和设备厂商进行漏洞修补，同时向用户发布安全公告，提醒用户及时防范。 

北京大学教授郭耀在主题发言中介绍，目前恶意应用、盗版应用盛行，给国内的移动应用生态发展带来了诸多挑战。其中，安卓应用普遍存在权限滥用问题，在用户不知情的情况下获取和泄露用户隐私，严重地威胁着用户的个人信息安全。 

针对这种情况，郭耀和研究团队探索使用机器学习的方法建立移动应用隐私评级模型，通过比对每个应用实际使用的敏感权限、使用意图以及其他的特征数据，判断应用行为是否合理。目前，相关研究已经取得一定进展。“我们希望利用新的分析技术，帮助开发者构建更安全的应用，也帮助用户更好地理解应用功能。”郭耀说。他还建议应用市场使用更高级的审查功能，以更好地过滤恶意开发者。