【PConline 雜談】近日，安全防護解決方案企業(yè)Arxan Technologies發(fā)布了《應(yīng)用安全現(xiàn)狀（State of Application Security）》年度報告。該報告指出，智能手機用戶對應(yīng)用安全的認識以及軟件中實際存在的漏洞數(shù)量之間有著極為不平衡的關(guān)系。事實上，很多軟件并沒有用戶想像中那么安全。其原因就在于兩個字:權(quán)限。
在國外可以完整使用谷歌服務(wù)（即完整的安卓系統(tǒng)）的情況下尚且如此，就更不用說國內(nèi)“混亂”的安卓市場了。但是，不能否認國內(nèi)廠商對于安卓系統(tǒng)的“改造”在很大程度上彌補了谷歌服務(wù)缺陷帶來的安全性問題。功能齊全的安全中心內(nèi)置于手機ROM之中給手機安全帶來了一定的保證。但是，市場終究是利益為向?qū)В茈y保證部分手機廠商對于自家的app（包括戰(zhàn)略合作或投資方的app）同其他app一樣，有一視同仁的“執(zhí)法力度”。
盡管如此，也并不意味著消費者只能坐以待斃，等著隱私泄露，安全不在。事實上，手機軟件的安全問題，歸根到底是軟件獲得的權(quán)限問題。若是能保證軟件規(guī)規(guī)矩矩的只獲取必須的權(quán)限，安全必將得到很大程度上的提高。但是，如今的手機軟件，輕則獲取十幾個權(quán)限，重則獲取幾十個權(quán)限，數(shù)目之多使部分消費者對此非常迷茫，究竟哪些是必要的權(quán)限，哪些又是毫無意義的呢？今天，小編就和您聊聊手機軟件的權(quán)限問題。
一、為什么手機軟件需要權(quán)限？
當用戶安裝完一個app初次使用進入界面之時，一定會跳出各種權(quán)限需要，如需要訪問通信錄、需要訪問短信記錄、需要啟動相機等等。大多時刻消費者會一路點同意，只為快點使用軟件。（其實大多數(shù)情況是我們只能看，不能手動進行干預(yù)權(quán)限設(shè)置）然而，您是否想過手機為什么需要這些權(quán)限呢？
首先要說明一下，部分手機權(quán)限是軟件必須的，需要其激活軟件的功能。如微信使用掃描二維碼功能時需要啟動相機，語音輸入時需要啟動麥克風(fēng)。若是無法調(diào)動相應(yīng)權(quán)限，軟件功能一定會受阻。
其他的權(quán)限需求可能就與軟件本身利益有關(guān)了。比如部分軟件訪問消費者的通信記錄以及短信記錄等，可能不是為了推薦向您告知正在使用同款軟件的通信錄好友，僅僅是為了讀取短信內(nèi)容，更加有針對性地推送廣告而已。甚至更有部分無良開發(fā)者為了獲取您的隱私，通過軟件后臺上傳進行信息倒賣。
又比如，部分軟件會有自動連接網(wǎng)絡(luò)的權(quán)限要求?？赡芟M者會很奇怪為什么無需聯(lián)網(wǎng)的游戲要求這樣的權(quán)限，答案也很簡單，為了自動更新軟件而進行預(yù)下載，或者是免費軟件中的廣告推送，以上種種情況都需要通過網(wǎng)絡(luò)獲取信息。
當然，關(guān)于自啟動和常駐后臺的權(quán)限更是大多安卓手機軟件中的常見要求。許多消費者甚至很難看到明文的權(quán)限需求通知，但自動啟動是實打?qū)嵃l(fā)生的。在很大程度上，安卓手機軟件的自啟動在一定意義上造成了系統(tǒng)的卡頓問題（熱啟動比冷啟動快）。但部分流氓軟件進程占用內(nèi)存空間奇多，常駐后臺無法清除。即使擁有再大的內(nèi)存，也扛不住這類軟件的常駐運行。
二、常用軟件的權(quán)限需求
說完了手機軟件為什么需要權(quán)限，我們再來舉例看看常用手機軟件的詳細權(quán)限分配。
以某手機輸入法為例，其所需的十幾個權(quán)限中，包括GPS/WiFi聯(lián)網(wǎng)權(quán)限，精確定位權(quán)限，拍照錄音權(quán)限，讀取短信記錄以及聯(lián)系人記錄等權(quán)限。其中，GPS/WiFi權(quán)限可用于自動更新詞庫，拍照錄音權(quán)限等可用于設(shè)置輸入法壁紙以及語音輸入等。這些都可以認為是必要權(quán)限（當然你也可以按需禁止）。然而，讀取短信記錄以及聯(lián)系人記錄是真的有意義嗎？明面上說，讀取聯(lián)系人記錄可以方便輸入法快速聯(lián)想出朋友姓名，方便用戶輸入?？稍趯嶋H交談中，用戶又有多少機會直接稱呼對方的姓名呢？因此小編覺得輸入法讀取通信錄的意義并不大。至于讀取短信記錄，輸入法終究不是日歷應(yīng)用需要讀取會議行程等安排時間，一定意義上可以看成是侵犯隱私了。
再比如某地圖軟件，其要求的權(quán)限有準確的位置信息以及位置信息共享功能、讀取聯(lián)系人等。作為地圖類軟件要求聯(lián)網(wǎng)精確定位無可厚非，但是地圖類應(yīng)用要求讀取聯(lián)系人的意義又何在呢？而筆者也只是舉個例子，現(xiàn)實中不合理的權(quán)限需求多的是。
由此可以看出，禁止一些不必要權(quán)限可以防止隱私泄露。但同樣的，我們不能禁止軟件使用必要的權(quán)限。就好比前文提到的微信二維碼，若是禁止了其啟動相機，則該功能一定會啟動失敗。因此，明辨什么權(quán)限是必要的，什么權(quán)限是毫無意義的，對于保護安全來說極為重要。
三、如何規(guī)避權(quán)限導(dǎo)致隱私泄露
面對手機軟件如此多無理的權(quán)限需求，作為用戶的我們只能選擇性看不見嗎？顯然不是，那到底我們有什么方法去管理好軟件權(quán)限，進而保證隱私安全呢？
1.正規(guī)的下載渠道
首先最重要的一點就是，一定要在正規(guī)軟件商店下載應(yīng)用。無論是手機內(nèi)置的軟件商店還是各大知名的第三方手機軟件商店，都可以在很大程度上避免您下載到山寨的，捆綁廣告插件的以及帶有病毒的應(yīng)用。當然，即使是正規(guī)手機軟件商店，未免也良莠不齊。在下載時，應(yīng)盡量下載熱門應(yīng)用，選取下載次數(shù)較多的應(yīng)用（通常來源于官方），在源頭上保證下載軟件的安全。
2.安裝前適當?shù)臋?quán)限設(shè)置/借助于第三方安全軟件
當軟件下載到手機并開始運行時，一定要仔細查看軟件所需要的權(quán)限并選擇是否允許獲取對應(yīng)的權(quán)限。當然，現(xiàn)在大部分手機ROM都自帶權(quán)限監(jiān)控功能，即使您在使用時不慎允許軟件獲得了隱私權(quán)限，也完全可以在安全中心中找到并禁止軟件繼續(xù)獲得權(quán)限。此外，借助一些第三方安全類軟件也是可以的實現(xiàn)這個功能的。
四、廠家對于權(quán)限管理所設(shè)的應(yīng)對方案
事實上，隨著手機ROM安全的重要性被不斷提高，各手機廠商紛紛開始在手機ROM中內(nèi)置了安全中心，全方位地保障手機安全。當然，與其被動地查看應(yīng)用權(quán)限，定期掃描病毒等，手機廠商更愿意主動出擊。如魅族不僅在Flyme中提供了功能全面的私人管家，更是提供了主動防御功能和智能預(yù)警功能，使安全值更高。
當然，也有部分廠商設(shè)計了“沙盒模式”。比如手機圈的新軍——360，其在360OS中就有沙盒模式。系統(tǒng)只允許用戶在特定的商城下載支付軟件，且運行時會在手機中構(gòu)建一個獨立的純凈系統(tǒng)，從運行層面上保障軟件的安全，也避免了手動設(shè)置權(quán)限的麻煩。
總結(jié)
手機軟件安全是一個永遠都無法說完的命題。只要無良開發(fā)者還存在于市場上，身為消費者就有必要提升十二萬分精神去保護自己的手機安全。但是，隨著技術(shù)的不斷進步，手機安全的保障正逐步提高。想必只要您能在使用手機時不偷懶，對權(quán)限設(shè)置多長個心眼，隱私的保護還是能做好的。當然，我們更應(yīng)該把希望放在手機軟件市場的整體提高上，畢竟，只有當手機軟件市場整體變得干凈健康之時，消費者才能真正放心。
