圖片來源于網(wǎng)絡(luò)

DCCI互聯(lián)網(wǎng)數(shù)據(jù)研究中心聯(lián)合騰訊社會研究中心針對Android端和iOS端的手機(jī)APP進(jìn)行的隱私安全評測發(fā)現(xiàn)，2018年上半年，Android端獲取隱私權(quán)限的手機(jī)APP達(dá)到99.9%，未獲取隱私權(quán)限的手機(jī)APP僅占0.1%。

調(diào)查還發(fā)現(xiàn)，iOS端獲取手機(jī)隱私權(quán)限的APP比例呈上升趨勢，2018年上半年iOS端獲取手機(jī)隱私權(quán)限的APP比例已達(dá)到93.8%。

數(shù)據(jù)來源：DCCI2018年上半年手機(jī)APP隱私權(quán)限評測

近日，網(wǎng)上流傳“第三代身份證增加新功能”的消息，其中新增定位功能的傳言引發(fā)熱議，很多網(wǎng)友覺得“定位功能”嚴(yán)重侵犯個人隱私，之后官方辟謠：第三代身份證不存在定位功能，網(wǎng)傳消息不實(shí)。

第三代身份證新增定位功能純屬子虛烏有，但定位軟件侵犯個人隱私要負(fù)法律責(zé)任卻已有真實(shí)案例。江蘇南京警方破獲一起通過技術(shù)定位，侵犯公民個人信息案，這起案件在全國也屬首例。目前，犯罪嫌疑人已被公訴。

去年1月，陳某在飯店吃飯時被討債人圍堵，隨后陳某報(bào)案，警方調(diào)查發(fā)現(xiàn)，討債人是通過一款即時定位軟件找到的陳某。

這種軟件如何實(shí)現(xiàn)定位追蹤?公民在使用聊天軟件時該怎樣保護(hù)自己的隱私?使用定位軟件追債是否觸犯法律?

使用手機(jī)被無端定位防不勝防

2018年1月20日，南京市公安局鼓樓分局接到一起報(bào)警，一名男子稱，討債人員利用手機(jī)定位軟件，實(shí)時定位到了他聊天賬號的位置，結(jié)果對方找上門，使他人身安全受到威脅。報(bào)警人陳某表示愿意還錢，但他想搞清楚，討債人是怎么找到他的。

警方介入后，討債人員承認(rèn)，確實(shí)是通過手機(jī)軟件定位到對方位置的。

原來，陳某平時愛用一款手機(jī)聊天軟件，他們就從網(wǎng)上買了一款定位軟件，很快找出他的具體位置。民警發(fā)現(xiàn)，這款叫“APP神探”的定位軟件能對多款主流聊天工具進(jìn)行實(shí)時定位。

經(jīng)過偵查，“APP神探”開發(fā)銷售者吳某被警方抓獲。據(jù)他交代，自己開發(fā)的“APP神探”一般賣給調(diào)查公司或者專業(yè)的討債公司。

根據(jù)警方介紹，這款“APP神探”使用方法很簡單，只需把聊天軟件賬號輸進(jìn)去，點(diǎn)查詢，就可以查詢靜態(tài)位置或動態(tài)軌跡。

“這款聊天軟件有好友互相定位的功能，好友知道你的大概位置，本身不是很精準(zhǔn)，但如果他有幾個好友，通過三角定位計(jì)算的原理，就可以把這個位置計(jì)算得更準(zhǔn)確。”東南大學(xué)計(jì)算機(jī)學(xué)院副教授凌振告訴記者。

如果查詢者不是對方好友也能進(jìn)行定位查找嗎?凌振的回答是肯定的。

“很多軟件提供查找周邊的人的功能，我們可以設(shè)計(jì)一個程序向服務(wù)器發(fā)起找人的請求，并框定一個大概的位置，比如南京市新街口，服務(wù)器就會列出新街口周圍的人，反復(fù)查詢幾次后如果找不到想要的人，那就換一個位置繼續(xù)查詢，甚至可以把南京所有的GPS點(diǎn)都逐個找一遍。”凌振說，這是最簡單最暴力的方法，也是合法的搜索，因?yàn)榉?wù)器提供了這樣的功能。

那么，這款A(yù)PP定位精度有多高?警方多次實(shí)驗(yàn)表明，精確位置只相差20—50米。

有空可鉆折射網(wǎng)絡(luò)安全漏洞

警方審訊得知，吳某計(jì)算機(jī)專業(yè)畢業(yè)后做起了技術(shù)員。他喜歡黑客技術(shù)，一個偶然機(jī)會看到網(wǎng)上有人賣手機(jī)聊天工具定位軟件，但使用功能很一般，就想自己開發(fā)定位精度更高的軟件。沒多久，他破解了一款手機(jī)聊天程序的位置信息防護(hù)系統(tǒng)，開發(fā)出“APP神探”，通過QQ群、微信群、聊天室等網(wǎng)上渠道銷售。

目前，各種手機(jī)APP在使用時，都要獲取個人通訊、位置等信息的授權(quán)。這些個人信息是否得到各個平臺安全保護(hù)，很多人心中是存有疑問的。

記者在網(wǎng)上簡單搜索，就找到多家號稱提供手機(jī)定位功能的廠商。有廠商聲稱只要提供手機(jī)、微信或QQ號就可以定位，單次定位幾百元，交一部分定金，位置出來后付清尾款。

相關(guān)專家表示，類似定位軟件使用的技術(shù)原理可以用在很多APP應(yīng)用軟件上，風(fēng)險極大。

凌振認(rèn)為：“如果聊天軟件提供的增值服務(wù)中，有查找陌生人的功能，并且沒有對GPS位置進(jìn)行噪聲干擾，或是對大量的重復(fù)查詢進(jìn)行限制、驗(yàn)證，那就是服務(wù)器的漏洞。”

據(jù)記者了解，之前國內(nèi)另一款著名的即時通訊軟件也存在這樣的問題，經(jīng)過升級已經(jīng)堵上了這個漏洞。但是，在黑客界還有一些模擬虛假GPS位置信息的手段，比如用一種可發(fā)射GPS、藍(lán)牙WiFi等信號的設(shè)備，配置一個程序，就可以發(fā)射出虛擬的位置信息，從而欺騙軟件服務(wù)器，達(dá)到一些不可告人的目的。

“這個人應(yīng)該有一些功底，再加上網(wǎng)上的黑客教程很多，潛心鉆研一下，開發(fā)這款‘APP神探’的確不是什么難事。”凌振說。

專家介紹，黑客攻擊主要是研究軟件或服務(wù)器的結(jié)構(gòu)原理，反向分析查找漏洞，通過漏洞盜取所需信息，或者“合法”地發(fā)送請求，獲取海量數(shù)據(jù)進(jìn)行計(jì)算分析。

根據(jù)騰訊安全發(fā)布的《2018年度互聯(lián)網(wǎng)安全報(bào)告》顯示，2018年曝光了大量利用家庭和工作場所中成千上萬的存在安全漏洞的物聯(lián)網(wǎng)設(shè)備，生成流量而發(fā)起的大型DDoS攻擊，這種情況在今后或?qū)⒗^續(xù)。

缺乏保護(hù)的網(wǎng)民或網(wǎng)上裸奔

過去，公民的個人隱私掌握在個人手里;現(xiàn)在，當(dāng)我們享受互聯(lián)網(wǎng)的便利時，也將隱私作為交換上傳給機(jī)房的服務(wù)器。如果不加以保護(hù)，那么所有人都將在網(wǎng)上裸奔。

專家認(rèn)為，軟件的一些權(quán)限需要用戶自己去判斷，提高安全意識、隱私保護(hù)意識。此外，相關(guān)企業(yè)、行業(yè)組織和國家機(jī)關(guān)，應(yīng)加強(qiáng)對網(wǎng)絡(luò)安全標(biāo)準(zhǔn)的制定、企業(yè)違規(guī)行為的處罰。

“比如這個案件，你一直關(guān)著GPS，他怎么也查不到你。”凌振說，在一些看不到的地方，更需要用戶加以注意。不論是手機(jī)APP還是其他的智能設(shè)備，安全漏洞不可能百分之百杜絕，總會存在被攻擊的可能性。

專業(yè)從事網(wǎng)絡(luò)安全攻防研究的凌振發(fā)現(xiàn)，許多智能設(shè)備或多或少都有安全問題存在，“我們會定期對市面上在售的智能設(shè)備進(jìn)行攻防演練，前不久我們分析了一款智能插座，幾個月就破解了，就是這么簡單。”

技術(shù)是一把雙刃劍，就看是誰在用它。此案中，吳某是計(jì)算機(jī)專業(yè)畢業(yè)，但是所學(xué)知識沒有用在正道上，這也讓凌振等教師感到無奈。他認(rèn)為，高校必須加強(qiáng)科研倫理教育，告訴學(xué)生哪些事情可以做，哪些事情不可以做，“雖然你掌握了這個技能，并不代表你可以用它為所欲為。”

“目前的數(shù)據(jù)搜集技術(shù)已經(jīng)非常高效，但是缺少有效的控制和評價手段，這就像一個小孩拿著自動步槍玩耍，誰也不知道危險會在何時以什么樣的方式發(fā)生。”東南大學(xué)倫理學(xué)副教授程國斌說。

而對于技術(shù)使用者的倫理和法規(guī)要求，現(xiàn)階段仍是支離破碎和虛弱無力。例如，去年支付寶收到罰單，因其存在個人金融信息收集不符合最少、必需原則，以及存在對個人金融信息使用不當(dāng)?shù)男袨?。但是，其付出的代價只有區(qū)區(qū)5萬元。難怪有網(wǎng)友稱，“這處罰也就是罰酒一杯”。

法律人士指出，除非是依照法定的需要進(jìn)行調(diào)取，或者說經(jīng)過當(dāng)事者本人的同意，除此以外，任何人、組織獲取公民的定位信息，都是一種違法行為，達(dá)到了一定的數(shù)量之后，就可能涉嫌構(gòu)成違法犯罪。APP的運(yùn)營商、生產(chǎn)商，如果研制出這樣的定位軟件，軟件本身存在技術(shù)上的漏洞和安全隱患，使用者定位信息能輕易被黑客破解、盜取，那么，由此給消費(fèi)者造成的相關(guān)損失，APP的生產(chǎn)者和運(yùn)營商要承擔(dān)相關(guān)的法律責(zé)任。