你买来的智能设备,正在“监视”你……

极果 7月前 ⋅ 95 阅读

那个想要你电话权限的外卖 APP,到底是不是想偷听你说话?

现代软件的预测技术,如同你肚子里的蛔虫。一两次精准的预测或许能给人惊喜,但猜中的次数多了,难免叫人心里犯嘀咕:为什么这些 App,总能知道我想要什么?

APP 有没有偷听你?

真没有。因为根本用不着。这样太麻烦了,效果也不好。

互联网上的用户跟踪技术,早就已经成熟到烂掉。以安卓的电话权限为例,开发者的真实目的并不是为了监听你的电话(这年头谁还打电话啊),而是为了拿到你的 IMEI 码。

这串数字,你可以理解成手机的 ' 身份证号码 ',每台手机都不一样。而且如果没啥意外,一个人身上最多也就带两台手机。这就像是在你身上贴了一个独一无二的小纸条,找到了这张纸条,也就约等于找到了你。

然后呢?

然后,软件会开始收集你的行为数据:早晨 8 点左右经常移动,应该是上班路上。如果没开 GPS,那么 WiFi 名称的不同,可以暴露你是在公司还是在家。经过一周的学习,它发现你已经连吃了 3 天的黄焖鸡米饭,而且每次都多放辣。

接下来,根据平台已有的数据进行推测,发现你有 90% 概率会喜欢 1.8 公里外那家新开的钵钵鸡。这家的老板买好了精准投放,在你第四次打开 APP 叫外卖的时候,他就会出现在你,而不是隔壁那个吃了半个月减肥沙拉的同事眼前。

这就完了?还早呢。

这些收集行为甚至可以做到跨 App 协作。比如你在某个视频软件里新买了会员,对应的广告平台就会把你的 ' 消费力 ' 水平上调一点。经常在新闻 App 里找美女图片,可能会被对应打上钢铁直男的标签。经常上购物 App 买奶粉,说明你是宝妈宝爸。

而正在看这篇文章的你,应该早就被贴上 ' 数码爱好者 ' 的标签了。

你的每一次滑动,每一次点击,都会经过各家平台的模型处理、计算,最后变成一张张小纸条跟在你的身后。投放平台以此作为凭据,让正确的人看到正确的东西。住高档小区,买过豪车配件的人,大概率会收到奢侈品牌那些不明就里的广告视频。而极果君这种单身汉,更有可能被推送的则是并夕夕 9.9 包邮的特价纸巾。

当然了,这些标签也可以被拿来 ' 歧视性定价 '。或者说的再直白一点,大数据杀熟。

在几个国民 APP 的联盟下,' 贴纸条 ' 被做成了一笔数以亿计的大生意。腾讯广告平台号称覆盖了超过 10 亿网民,科大讯飞的 AI 营销云,则声称覆盖 8 亿。考虑到 2018 年我国网民的统计数量是 8.29 亿人,这意味着这篇文章的每位读者,都至少被分类了两遍。

这其实很难说是有谁在 ' 看着 ' 你的隐私,毕竟整件事从始至终,都由机器和算法来负责。在浩如烟海,数以亿计的数据库条目里,你只是其中不起眼的一行。

而真正的隐私泄露,比 APP 对你的跟踪要简单粗暴的多。一个过于懂你的 APP 只会让人背后发凉,但如果姓名、电话、住址、银行卡这些基本信息也漏了馅,那麻烦就比较大了。

实际上,很多网站都保存着这些非常关键的个人信息。而围绕着这些信息的攻防战争,即便在此刻也没停止过。就算不能直接黑进后台,黑客还能用已有信息 ' 撞库 '。去年底 12306 被传信息泄漏(当然后来辟谣了),正是类似的攻击手法。

不过,最愚蠢的一种隐私泄漏,还要数那些毫无防范意识的网站管理员。由于配置错误,许多带有个人身份信息的文件常常被不慎挂上公网。上至报名表,下到单位补助统计,任何人都能下载查看。

挡得住神一样的对手,防不了猪一样的队友。

更遗憾的是,就算你可以下定决心放弃外卖 APP,这些已经交出去的个人信息,也早就脱离了你的控制范围。不过,比你家人还要了解你的机器,和挖门盗洞想拿到你手机号的黑客,哪个更吓人一点呢?

你的智能家居,可能正在监视你

2017 年,CIA 的一大批机密文档被公开泄露。其中一条关于如何窃听目标的文档尤为惊悚:在某些特殊型号的三星电视上,通过某些旧版固件的漏洞,他们可以让电视进入 ' 假关机 ' 状态,然后激活设备的麦克风,在目标毫无察觉的情况下进行窃听,并将得到的录音传回大本营。

巧的是早在 2015 年,三星就曾在海外做过说明,用户语音指令会被发送到第三方服务器上转换成文字。如果在语音控制电视的同时你说了别的什么东西,那这部分内容同样会被一并打包送走。一台电视背后,可能并不止一位听众。

今年 1 月,亚马逊旗下的智能门铃产品 'Ring',又被曝出隐私问题:亚马逊公司部分员工,竟然有权限任意查看用户的监控录像。亚马逊事后声称已经过用户同意,但还是招致了不少批评。

而国内与之最相似的案例,莫过于 360。

17 年底,360 旗下的水滴直播宣布永久关闭。原因正是 360 出售的 WiFi 摄像头,会同步在水滴直播平台公开画面。这当中不仅有店铺、后厨这种公众场合,更有不少客厅、卧室等私密画面。尽管 360 方面当时同样声称是用户的自主行为,水滴直播仍然在舆论压力下 ' 主动 ' 停掉了。

但两年过去了,我们送走了摄像头,却迎来了智能家居。你家里的麦克风和摄像头,非但没有越来越少,反而越来越多。

在某知名安全搜索引擎上查找 ' 海康威视摄像头 ',返回的结果高达 1864957 条,其中今年新收录的就有 35 万以上。如果这些摄像头没有更新固件,或是使用了默认的密码,那几乎就相当于把摄像头下的画面,公开在全世界眼前。

但就跟 APP 一样,真正试图追踪你的并不是玩心大起的黑客,而是卖给你产品的那家公司。为了说明这一点,我们特意去查看了百度 DuerOS 的用户协议,其中有几条非常有意思:

如果这几张图看的你头晕,极果君稍微给你解释一下:DuerOS 会收集你的硬件识别码、网络特征、你的位置、你的使用和浏览习惯等等数据,把这些东西做成一个用户画像,并且会跟第三方服务商共享这些信息。虽然他们会跟第三方签订保密协议,但第三方有权按照自己的条款处理你的数据。并且任何第三方造成的泄漏,DuerOS 都不负责。

最骚的是,他们随时可以对用户协议作出修改,而且 ' 恕不单独通知每位用户 '。只要你继续用 DuerOS 的产品,就被视为继续接受修改后的版本。

Emmm…… 基本上就是,你花钱买了个智能硬件回家,然后让它收集你的数据,再让别人根据这个卖广告给你看。

怕了。

我能怎么办?

好像也没啥办法。

这不是危言耸听,就算你断网,大公司们还是能通过你周围人的数据,为你造出 ' 影子画像 '。国外研究团队甚至可以通过你好友的 Twitter 内容,来预测你接下来会发些什么东西。或者是根据你在社交网站上的动态,预测你和另一半有多大概率会离婚。当然国内应该用不上这么高端的技术,在读取通讯录这个环节,你应该就被卖过好几遍了:

甚至就算把手机交给别人,你也还是会被人认出来。腾讯曾展示过一项单凭操作习惯来分辨《王者荣耀》玩家是否已经成年的技术。每个人的操作习惯不尽相同,只要算法合适,数据够多,通过点击屏幕的习惯来标记一个人,并不是什么特别难的事情。

逃是肯定无处可逃了。不过别绝望,这个世界还是会好的,只不过过程可能有点慢。

这里有个坏消息:安卓设备在隐私方面的表现尤其糟糕,不管是 3.15 晚会上曝光的 'WiFi 探针 ',还是对 APP 的权限管理,它的防御手段都基本上形同虚设。虽说在即将到来的 Android Q 上,防御 WiFi 探针用的随机化 mac 地址将成为标配。但国内手机厂商能跟进到什么程度,非常难说。

毕竟目前为止,极果君还真没发现有哪家厂商,会特意将保卫用户隐私作为自家系统的宣传点。

这也是极果君喜欢 iPhone 的重要原因之一:iOS 用作设备识别的 IDFA 码,是可以直接在设置里更改、关掉的。虽然这不能彻底阻断 App 对我的跟踪,但对于那些学艺不精的程序员来说,点两下开关就足够让他们认不出我了。

另一个令人安心消息,来自我国的《个人信息安全规范》。根据这份文件,商家在处理你的个人信息时,应该进行脱敏,避免精准定位到个人。另外今年的新修订版里,还增加了 ' 不得强迫授权 ' 的内容。不过这是个非强制性的标准,具体能有多大力度 …… 比较难说。

这场隐私攻防战还会继续下去。而对于普通用户而言,最好的方式就是 ' 用钱投票 '。如果一家公司只把你当作喂养 AI、广告机的数据来源,那他或许也不值得让你为之掏钱。一家认为 ' 中国人更愿意用隐私换便利 ' 的公司,一家曾经在 PC 上用静默安装推广自家产品的公司,你真的要信任他们吗?

技术上,你我或许无能为力。但你点的每一下鼠标,花掉的每一分钱,都在决定我们的未来。

本文由极果用户 D.K. 原创


全部评论: 0

    我有话说: