國際計算機科學研究所（ICSI）的研究人員發現，即使是在用戶明確拒絕授權之後，仍有多達1325個Android應用能繞過限制，從用戶設備上收集精確的地理位置數據和手機序列號等信息。這一研究結果凸顯了用戶想要保護自己的在線隱私是多麼困難，特別是在連接到手機和移動應用時更是如此。科技公司擁有成億人的海量個人數據，包括他們去過哪裡、有哪些朋友以及有什麼興趣愛好等。

訪問文檔：

按一下以存取 privacycon2019_serge_egelman.pdf

立法者正試圖通過隱私法規來保護用戶，而應用許可則本應控制用戶選擇放棄哪些數據。蘋果公司和谷歌已經發布了新的功能來改善用戶隱私，但應用卻在繼續尋找隱藏的方法來繞過這種保護。

在6月底，國際計算機科學研究所的可用安全和隱私研究主任塞爾日·埃格爾曼（Serge Egelman）在美國聯邦貿易委員會（FTC）的“隱私大會”（PrivacyCon）上介紹了這項研究。“從根本上說，消費者幾乎沒有什麼工具和線索可以用來合理地控制隱私，並就此做出決定。”埃格爾曼在會議上說道。“如果應用開發者可以直接繞過系統，那麼向消費者請求許可就沒有意義了。”

埃格爾曼表示，研究人員已在去年9月就這些問題向谷歌和美國聯邦貿易委員會發出了通知。谷歌回應稱，該公司將設法解決Android Q中的問題，這個操作系統預計將於今年發布。

谷歌表示，此次更新將可解決上述問題，具體方法是隱藏照片中的位置信息，令應用無法獲取；同時還將要求任何訪問Wi-Fi的應用必須向用戶發出請求，才能獲取位置相關數據。

這項研究觀察了來自Google Play商店的8.8萬多個應用，跟踪了當用戶拒絕向這些應用給出權限時，數據是如何進行傳輸的。研究人員發現，照片編輯應用Shutterfly一直都在從照片中收集GPS坐標，並將這些數據發送到自己的服務器，哪怕用戶拒絕授權該應用訪問其位置數據也無濟於事。Shutterfly發言人則表示，不管研究人員發現了什麼，該公司只會在獲得明確許可的情況下才會收集位置數據。

Shutterfly發表聲明稱：“跟許多照片服務一樣，Shutterfly使用這種數據來增強用戶體驗，向其提供分類和個性化產品建議等功能，所有這些都符合Shutterfly隱私政策以及Android開發者協議。”

有些應用依靠其他被授權查看個人數據的應用來收集IMEI碼等手機序列號，這些應用會讀取設備SD卡上不受保護的文件，並獲取他們本無權限訪問的數據。研究人員稱，雖然只有大約13個應用這樣做，但其安裝次數之和達到了1700萬次以上，其中包括百度（NASDAQ:BIDU）的香港迪士尼樂園應用等。

百度和迪士尼尚未就相關置評請求作出回應。

研究人員發現，有153個應用具備這種能力，包括三星的健康和瀏覽器應用，而共有5億多台設備安裝了這些應用。三星也並未回復相關置評請求。

其他應用則通過連接到Wi-Fi網絡、併計算出路由器的MAC地址來收集位置數據，其中包括被用作智能遙控器的應用。

埃格爾曼稱，他將在8月Usenix Security安全大會上介紹這項研究，屆時將會公佈研究人員發現的1325個應用的詳細信息。