信息保护靠规范约束，更要靠技术与监管追责

日前,国家计算机病毒应急处理中心通报,经其检测,82款移动应用存在违法违规收集使用个人信息情况。与此同时,国家互联网应急中心近期监测发现,“荐片播放器”Windows端应用程序内置后门,可在用户不知情时采集终端信息、下载运行其他程序、接收服务端指令执行任意代码。

前者是“过度采集”,后者是“恶意控制”,面对层出不穷的安全风险,个人信息安全如何保障?科技日报记者就此采访了有关专家。

第一问:违规软件在用户设备上做了什么?

“这些被通报的App,本质上是做了越界的事。”北京理工大学计算机网络及对抗技术研究所所长闫怀志表示,根据通报结果,问题最集中、占比最大的一类不是“偷得多狠”,而是“说不清楚”。这类App的隐私政策并没有逐一列出所嵌入的第三方代码以及插件收集个人信息的目的、方式与范围。用户在安装时点下的“同意”,已经把访问权限“合法”交了出去。

他介绍,这类违规主要表现为两种情况,一是未明确告知而收集,有的干脆玩文字游戏诱导同意;二是未以清晰权限限定目的与范围。这样一来,即便系统没有漏洞,正规上架的App也能拿到用户信息。

与此不同,“荐片播放器”的问题在于其内置后门。它不需要用户同意——用户装的是播放器,装进去的是一个常驻后台的程序。它用技术手段拼出这台终端的网络身份标识,把用户看了什么一并记录回传;再通过两条定时通道等指令,远程决定在这台终端上跑什么。

闫怀志打了个比方:前一种情况像是你开门后,客人擅自翻动家中物品;后一种则像是经你同意住下来的房客,你却连他有备用钥匙都不知道。

第二问:是技术疏忽还是另有目的?

闫怀志认为,违规软件频出的本质,通常是另有目的。

他从三个方面验证了这一观点。

第一,82款中最大的一类问题全部指向第三方SDK(软件开发套件),说明缺的不是某份文档的撰写能力,而是整条外包链路上“谁在采集、采什么、传到哪”的核验责任。

第二,如果是疏忽,那就不会持续对抗检测。相关通报显示,“荐片播放器”虽调整了通信域名、接口和加密方式,但国家互联网应急中心的比对结论确认,该软件脚本下发、信息采集、进程注入等核心恶意行为始终存在。

第三,收益算得清。设备指纹加上渠道来源、观看记录,正好构成一份可以变现的用户画像。个人信息属于利益链的最前端,谁掌握了用户信息,谁就能实现精准营销乃至精准诈骗,这是目的明确的取舍。

“这里面还存在着法律定性的问题。”他补充道,如果是疏忽,则违反了个人信息保护法,属行政违法;但是另有目的的未经授权控制终端、窃取数据,那就有可能触及刑法,性质远非通报整改所能覆盖。

第三问:监管工具是否跟得上技术演进?

“从法律法规上来看,监管工具箱已经成形,但末端执行与技术响应速度仍存在一定的差距。”闫怀志直言。

我国个人信息保护法施行将满5年,与网络安全法、《网络数据安全管理条例》等共同构成监管依据。相关法规设定了从责令改正到罚款的分层罚则,形成了监管闭环。如上期通报的75款应用,复测后仍有28款存在问题,相关分发平台已下架。

但是,监管的难度也在增大。如小程序与服务号不走传统应用商店的分发链路,审核标准难以把控;恶意软件扩散以小时计,而合规采样则以周计。

对此,闫怀志提出,从技术和监管的角度来看,可以将第三方SDK单独立项核验,把责任压回供应链;为网络应急机构开放企业可直接调用的情报接口;把检测资源向小程序等新兴载体倾斜。

而对用户而言,使用习惯比技巧更为重要。闫怀志建议,只从正规渠道获取软件,安装时逐条审阅权限请求,超出功能所需的一律不予授权。

在他看来,从“过度采集”到“恶意控制”,个人信息保护不仅靠规范约束,更要靠技术威慑与监管追责,二者缺一不可。(记者 崔 爽)

(编辑:朗杰拉增)