拨打电话发送短信…热门App获取敏感权限藏安全
拨打话发送短信…你所用的热门App可能获取了这些权限而你并不知道
许多人的手机上都会有或多或少的应用软件，也就是俗称的App，但是有多少人知道，在享用这些应用软件便利的同时，你付出的代价有多大呢？答案可能令您震惊。
大部分热门手机应用软件过度收集信息
日前，上海市消费者权益保护委员会对浏览器、输入法和综合视频这三大类手机App涉及个人信息权限，进行了评测。结果发现，当前下载最热门的18款应用软件中，有14款申请的25项敏感权限找不到对应功能，包括手机用户的拨打话、收发短信、位置信息等敏感权限，占比达到77.8%；除此之外，本次评测结果还显示，一些手机应用软件App的目标版本过低，从而导致手机用户没有选择权，只要安装这些手机应用软件，就自动同意App申请的所有敏感权限。
上海市消费者权益保护委员会、副秘书长 唐健盛：从测试情况来看，可以说情况非常不理想，很多的头部App实际上在权限的申请和调用方面，其实是违反了一些必要性、正当性等等原则的。
我国《网络安全法》第四十一条规定：网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。
网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。
手机中涉及大量的用户隐私信息，一款手机App获得用户授予的敏感数据“访问和使用”权限时，一方面有能力获取用户的隐私；另一方面，这些权限又是App实现功能所需要的，因此，手机应用软件App在申请和使用敏感权限时，应该遵循“合法、正当、必要”原则，合理申请、合理使用。
上海市消费者权益保护委员会 副秘书长 唐健盛：我们觉得权限就类似于钥匙，你拿了消费者家的钥匙当然您可以说，我是来你们家拖个地，可能要来烧个菜，但是你给消费者带来方便的同时，你也应该充分考虑到消费者的安全性。你拿了钥匙以后，你把这些活干完了以后，是不是钥匙你能把它给还回去。当然消费者也希望能够知道整个过程中，你确实除了扫地、拖地、烧菜没有干别的事。
上海市消保委这次评测的重点在于：手机应用软件App是否存在“权限的过度申请和滥用”，是否遵循了相关法规的“合法、正当、必要”原则，评测首先从消费者日常使用频率很高的一些App开始。
上海市消费者权益保护委员会 副秘书长 唐健盛：第一款(类)输入法可能是跟安全性，我们觉得是非常紧密的；第二款(类)可能浏览器是现在消费者反响相对比较强烈的；视频网站我们认为可能是消费者使用时长比较长的。
据介绍，上海市消保委此次针对热门手机应用软件App的评测，主要围绕输入法、浏览器和视频App进行，总共包括18款，其中5款是输入法，包括搜狗、百度、讯飞、QQ和触宝；5款是综合视频，包括优酷、腾讯、爱奇艺、芒果TV和哔哩哔哩；8款是浏览器，包括UC、QQ、360、搜狗、猎豹、百度和华为手机自带的两款浏览器。评测工程师告诉记者，这18款App的样本，都是测试阶段在这些应用软件的官方网站上，下载当前的最新版本。
评测工程师 盛大江：我们这次测试权限的主要方向，涉及了两个方面。第一个是权限的授权方式，决定了用户是否知情并且有选择权。第二个是这些权限是否有对应的功能。 我们发现在18款应用中，有14款应用有25个敏感权限，没有找到对应的功能。这25个权限主要分布在话权限、短信权限、定位权限，日历、附件之类的权限上。
14款手机应用软件申请敏感权限目的不明
14款手机应用软件向用户申请了25项敏感权限，但是没有找到对应的功能。这25项敏感权限，包括15项短信权限、5项话权限、2项定位权限、2项日历权限和1项读取附件权限，评测工程师认为，这些都和手机用户的个人信息密切相关。
评测工程师 盛大江：(这款)浏览器那我们可以看一下，它总共申请了14项这种敏感权限，其中有4个，分别是拨打话、外拨路径，还有发送短信和读取日历这4个权限我们是没有找到具体对应功能的。
这也就是说，这款浏览器向用户申请了14项敏感权限，其中申请的拨打话，监控外拨话、重新设置外拨话路径，发送短信和读取日历活动和详情，这4项涉及用户个人隐私信息的敏感权限，该浏览器并没有相应的功能。
本次测试的8款浏览器中，有5款App向用户申请了话和短信两大类敏感权限，同样找不到对应功能，其中4款浏览器申请的话权限包括：拨打话、监控外拨话、重新设置外拨话路径；4款浏览器申请的短信权限包括：接收短信、发送短信和读取短信。
工程师告诉记者，浏览器作为手机用户上网的浏览软件，如果App没有相应的功能，而向用户申请话和短信的多项敏感权限，那么，可能对用户造成安全隐患。
评测工程师 阳雄：它可以处理外拨话的路由，就是转拨到其它的话，这个会给这个应用一个什么样的权力呢？就是如果用户在拨打话给张三的时候，这个应用它是有能力去把他拨打的话号码改成是李四的，实际上这个话就会拨打给李四了，但是用户是不知情的，这个是这个权限赋予这个应用的一个能力；另外一个权限是发送短信的一个权限，这个权限就是，允许这个应用在后台，可以给任意的号码，发送任意的内容，这个隐患就会比较大。因为它可能会在用户不知情的一些情况下，替你发送一些确认的短信，发送一些付费的短信等等。
除了浏览器以外，本次评测的5款输入法，有3款申请的短信和位置等敏感权限，找不到对应的功能。
评测工程师 盛大江：(这款)输入法同样它申请了11款敏感权限，其中位置权限的两个详细的小权限，和短信权限的两个，一个是读取一个是接收权限，我们并没有在应用中找到对应的功能。
此外，本次评测的5款综合视频，有4款申请的话、短信和日历权限，找不到对应的功能。
工程师在评测中发现，一些App对用户的敏感权限过度申请和滥用，没有遵循了相关法规的“合法、正当、必要”原则。
