軟件要用戶開空頭支票
前周,推特一名高層發送訊息指WhatsApp趁他在睡覺時在背景使用咪高風,馬斯克隨即回應「不能信任WhatsApp!」,引起廣泛關注。最後證實是一個安卓系統的漏洞,引致權限偵測軟件出錯,並非WhatsApp不當使用權限。事件雖然屬虛驚一場,但亦再次提醒用戶,手機軟件擁有大量權限,若果軟件不當使用權限,真是要風得風。軟件需要利用手機的不同功能及硬件,所以需要各種權限完成操作,似乎合理。以WhatsApp安卓版為例,要求的權限達66個,WeChat更多達71個。原本設定權限的目的是保障私隱及促進資訊安全,但大前提是先要知道每個權限的意思,軟件要求每一個權限清楚描述,且讓用戶對每個權限有控制權。實情是除非你是軟件開發者,一般用戶難以理解大部份權限內裏乾坤,且絕大部份軟件只提出要求某權限,卻沒有解釋理由,在權限下會作出甚麼動作。Signal 通訊軟件亦要求了70個權限,但與其它通訊軟件的大不同是Signal將權限要求的理由及使用清楚列明,而且軟件屬開源,用家可以核對。缺乏透明度的軟件,若果用家為了使用軟件而草草同意安裝條款,等同簽署空頭支票。
高風險權限不受控制
安卓系統自推出以來其中一大問題就是用戶對權限控制不足。系統已是第13版,雖然已強化了用戶控制私隱權,將權限集中化處理,但用戶能夠控制的權限只有十個八個,包括使用錄音、鏡頭、精準位置、讀取聯絡人等等。當然這些都是極重要的權限,但其餘數十個用戶不能控制權限,可對私隱構成重大威脅,而很多用戶未有意識到。例如讀取手機狀態及身份的權限可取得SIM資料及手機IMEI,在實名制下軟件取得任何訊息可與你身份聯繫。若你正使用已知地址的Wi-Fi,查看Wi-Fi連線的權限就可知道即時位置。若你安裝一個極少人使用或特別的軟件,查看正在執行的軟件的權限就可透露身份或財富資料。擁有更改外置儲存的權限就等同取得手機內部儲存空間的存取權,原本目的是讓軟件存其相關資料,但同時亦可存取其它資料,若手機被黑客入侵,或軟件存在漏洞,就可被第三者讀取你手機內存。軟件可在背景不斷行使權限,連專家都要研究才察覺,一般用家根本毫不知情。僅數個未能控制的權限便可對私隱如此,更何況還有其它幾十個。這些權限長期被極權控制的軟件利用得非常順手,用來竊取資訊及監控民眾,其魔爪更伸延全球。
小心選擇軟件是上策
手機平台設計令你處於下風,若要控制風險,筆者建議如下。其一,在可控制的範圍之內盡量控制。先關掉所有能控制的權限,令軟件使用權限時必須詢問,確保軟件在你知情之下行使這些權限。大部份用家都忽略了將感應器包括加速感應、光敏、陀螺儀、磁感等關掉的選項,這選項可在啟用開發者模式後啟動。其二,安裝監察軟件,例如上述,推特員工就利用開源軟件Privacy Dashboard記錄部份重要權限的使用,若有任何可疑權限被行使,應即時停止該軟件運作,進一步調查。其三,使用沙盒,例如開源軟件Shelter。將軟件安裝在沙盒之內,軟件只能在沙盒範圍內運作,與沙盒外資料與軟件切割,沙盒還可將在內軟件的背景執行停止。減少權限被濫用時的損失。你亦可考慮設立不同帳戶安裝不同軟件。其四,利用防火牆軟件,例如開源軟件Net Guard,你可選擇將某個軟件的網上傳輸完全截斷,需要時才開啟傳輸,對於一些離線仍能運作的軟件切斷傳輸非常有效,但要留意某些軟件可能將資料預先儲存,然後等連線成功後傳送。最後,亦是最有效的方法,就是嚴格審視為何一定要安裝某軟件,並在安裝軟件之前查清其底細,盡量選擇一些透明度高對權限清楚描述的軟件,避開極權直接或間接控制的軟件。若要安裝,亦可考慮在安桌電腦模擬器安裝,甚至使用一些付費的安卓雲端軟件即服務(SaaS) ,避免在個人手機安裝。
上述分析針對安卓平台,但當中的考量其他平台一樣適用。一旦用戶簽署了權限的「空頭支票」,軟件就可為所欲為,侵犯私隱,協助政權監控。是時侯立刻煞停,否則空頭支票越簽越多,早晚要找一筆大數。◇
------------------
🏵️《九評》20周年
https://hk.epochtimes.com/category/專題/退黨大潮
🔔下載大紀元App 接收即時新聞通知
🍎iOS:https://bit.ly/epochhkios
🤖Android:https://bit.ly/epochhkand