猎网平台提醒:切勿被窥探欲支配 以防落入骗子假黑客圈套 | 告别流氓软件 绿色应用新标准给你支招 | 销售额提升300% 年轻顾客增长200% 这九款小程序让药店变身“盒马鲜生” | 2018百度云智峰会9月4日上海开幕 看百度云如何治愈产业焦虑 | 寺库获选“诚信兴商倡议”企业 奢侈品行业尚属首个 | 抖音宣布加入Apple Music合作伙伴计划 | 每一份美好都藏着不畏脏累的付出 | 寺库 × 751D•PARK举办首届中国名物节 助力中国文化创意产业发展 | 360手机N7 Pro强悍的硬件 “软实力”同样惊艳 | 人体的“漏洞”也成了黑客的靶子 |
当前位置: 新闻>滚动>
字号:
 

告别流氓软件 绿色应用新标准给你支招

发布时间:2018-08-31 16:23:25  |  来源:中国网科学  |  作者:晓梅  |  责任编辑:科学频道

近日,华住集团旗下酒店5亿条公民个人信息疑似泄露的消息曝光,再次为消费者个人隐私安全问题敲响了警钟。而互联网时代下各领域用户个人隐私泄露事件频频发生,智能手机领域也未能幸免,应用软件窃取用户信息的行为屡见不鲜。

随着国内移动智能终端市场进一步发展,终端应用数量急剧增长,安全绿色的应用体验成为千万消费者越来越迫切的需求。为进一步保障移动终端用户的信息安全,规范智能终端应用的权限管理,华为提出在原《安卓绿色联盟应用体验标准1.0》的基础上对应用权限、行为规范及用户隐私安全等方面内容进行补充,并通过安卓绿色联盟发布了《安卓绿色联盟应用体验标准2.0》,全方位聚焦智能终端应用的安全问题,确立了更加严格规范的绿色应用标准。

华为作为国内领先的智能终端厂商,率先将新标准付诸于实践,建立了严整规范的绿色应用上架、检测及认证体系。为符合《安卓绿色联盟应用体验标准2.0》的应用提供绿色标识,引导应用开发者通过华为开发者联盟申请绿色应用认证,也方便用户辩认和下载绿色应用。

image.png

那么新标准究竟新增了哪些要求来提高绿色应用的安全性,主要可以从以下三个方面来看。

1.应用权限最小化

在应用的权限管理方面,《安卓绿色联盟应用体验标准2.0》指出,权限使用应满足最小化原则。应用不能申请不需要使用的权限,并且要为自定义权限设置合理的安全保护级别。而应用申请的权限,都必须有明确、合理的功能和使用场景。同时应用TargetSdkVersion>=23,必须适配Android M及以后版本的动态权限机制。对于非核心权限,应用不能在权限动态弹框授权提示被用户拒绝后,强制要求用户开启,包括但不限于:(1)应用退出;(2)弹框提醒用户打开>=2次。

基于以上标准,应用申请的权限应全部为其功能刚需。例如一个短视频应用,只有用户在拍摄的时候才能启用摄像头。并且在自定义权限方面,确保应用权限不超出合理范围。通过此规定过滤不必要的应用权限,最大程度保护了用户的信息安全。同时提高了应用兼容性,也保障了用户授权的有效性,让应用权限牢牢掌握在用户手中。

2.应用行为规范化

《安卓绿色联盟应用体验标准2.0》为进一步规范应用行为,制定了更为详细的行为标准。依据标准规定:如无必要的使用场景,应用不能在桌面、锁屏和其他应用上,弹出悬浮窗、自定义后台Toast、后台弹出Activity等骚扰用户的行为,不能发送无法删除的常驻通知,并且不能弹出、显示影响用户体验的广告,如抬头、强制插屏、侧边等。

这就意味着应用在未经用户主动操作时,不能弹出界面覆盖到桌面或其他应用之上,保障了用户自主选择接纳信息的权利,免受应用广告强行骚扰。同时只为导航、音乐、运动健康类应用的核心功能提供在锁屏上全屏覆盖界面显示的权利;例如导航-路线导航、音乐-音乐播放、运动健康-记步轨迹等,为终端设备锁屏界面留存出更大的剩余空间。而在锁屏或其他应用界面上,也只有聊天消息、短信息、闹钟等对推送有实时性要求的信息被允许弹出界面。杜绝了应用推送长期霸屏现象的发生,进一步提升用户的应用体验。

同时规定应用不能引导用户开启开发者选项,禁止引导用户开启USB调试模式;也不能通过热补丁,引入恶意行为和不符合《安卓绿色联盟应用体验标准2.0》的行为,防止了开发者对终端设备的调试和恶意操作。

3.用户数据私密化

相较于原标准,《安卓绿色联盟应用体验标准2.0》的另一大亮点即是增加了关于用户隐私安全的标准。凡是涉及到应用下载软件、对用户系统或软件升级等修改用户个人空间的行为,都须得到用户的同意,防止用户在不知情的情况下泄露隐私数据。而应用在收集或使用个人数据前,也要明确提示用户,并获得用户的明示同意,同时允许用户随时关闭对个人数据的收集和使用。还需提供对用户的同意和撤销同意行为进行记录的机制,保证用户数据随需随传,避免强制收集和过多收集个人数据行为的发生。对于数据主体的敏感个人数据,是默认禁止收集的。除非业务必需(如:运动健康类业务)或为了满足法律与监管机构要求可收集和处理(含profiling),并同意应该单独收集。

除此之外,当隐私声明内容发生变化时,须告知用户查看并获得用户同意。个人数据收集范围、使用目的不得超出隐私声明,且遵循最小化原则,当个人数据的采集范围、使用目的发生变更时,应及时更新隐私声明,进一步保障用户的实时知情权。于存储个人数据的系统,需对存储的个人数据定义存留期。数据主体撤销同意之后,产品必须禁止继续收集和处理其相应个人数据,避免因滞后系统滞后性导致的用户数据泄露问题。

至于第三方应用方面,新标准规定将数据主体个人数据提供给第三方前,必须获得数据主体的同意。第三方应用软件调用移动智能终端敏感功能或对用户数据操作时,也应先获得用户明确同意。当然,应用推送的内容(含广告)必须是符合政治、法律和宗教要求,并且推送频度不能干扰用户正常使用,为用户优质的应用体验提供保障。(作者:晓梅)

文章来源:中国网科学
分享到: