吐槽一些,这样的数据可以随便暴露出来,安卓真的太容易拿到权限了

2017-11-22 09:25:59 +08:00
 xiaome

开篇说一下起因,
本来是这样的,手机是 flyme,root 了想精简一下不必要的程序,看到一个不认识的包名com.meizu.sceneinfo
百度了一下,不知云云,然后谷歌了一下,好像发现了一个不得了的网址

然后进去看看,里面是这样的

emmmm,我好像发现了什么不得了的东西
两个网址索引都是有这个包名的,我试着高级搜索,找几个大家都会用的程序,然后 emmmm

安卓形式真的这么严峻吗,现在有种脱光衣服站在大街上的感觉。

最后再吐槽一下这个所谓的跑店通,这样的东西完全没设置权限,嫌麻烦吗?
发到这个节点也不是想奢求你们删数据,毕竟这么做的我相信不止你们一家;但是至少让普通人看不到吧。。。

22727 次点击
所在节点    全球工单系统
128 条回复
buguniaogu
2017-11-22 16:53:48 +08:00
这个跑电通应该与魅族读取应用列表权限有关。但真可以在网上查看?需要登录个人账号?
killerv
2017-11-22 16:55:53 +08:00
@psklf 图床被墙了
buguniaogu
2017-11-22 17:05:23 +08:00
另一个猜测,只是魅族用这个开发了读取应用列表的权限(可以自己设置第三方应用权限)。那有些尴尬。。但不知怎么查询到自己信息,需要登录么?
logOo
2017-11-22 17:05:45 +08:00
三流公司写的吧,接口都不做验证直接可以访问。
honeycomb
2017-11-22 17:07:16 +08:00
@wuliao49
你提供的信息是过时的,目前 iOS 上唯一允许的永久识别码只有一个,它有两比特容量,在系统重置后不重置,不跨应用,开发者可以自行设置它的值,因此可用于检测滥用(免费期等),但其容量太小,不具备唯一性。
建议看一下最近几年 WWDC 上关于 privacy 方面的录像。

“ IOS 拿不到 IMEI,是允许用 UUID 代替的”
这个说法错误,iOS 早就没有公开的获取 UUID 的 API 了,而试图通过私有 API 获取 UUID 的应用也早被清理干净了。
今年还是去年年底 app store 还清理过一次热更新的应用(这是 Android 的另一个槽点了)。

即便是没有做出严格限制的 Android,在文档中也提到绝大多数情况下,不应使用 getSerial()
honeycomb
2017-11-22 17:08:08 +08:00
@buguniaogu
据我所知,摩托在国内的 rom 版本也有可选的限制读取已安装应用列表的特性
nicevar
2017-11-22 17:18:19 +08:00
这真没什么大惊小怪的,早在 WM 和 Symbian 时期,一大堆软件就干这种事了,比如瓦力资费通、同花顺这些,android 1.6 时代通讯录短信打包带走的就有一堆了,因为一直都是那群人在干这些事
CastleBUPT
2017-11-22 17:25:06 +08:00
@honeycomb
这个地方你记错了,苹果禁用的是 UDID,UUID 是可以获取的。

In any event, the best you can now do for identification purposes is to use a UUID (Universally Unique IDentifier). This has to be on a per-app basis. That is, there is no way to identify the device any longer, but you can identify an app on a device.
wuliao49
2017-11-22 17:41:40 +08:00
@honeycomb 感谢你的解释,技术上你基本是对的(除了 UUID 不能获取外)。但是我说的“ 允许用 UUID 代替的”是指监管层面,可能你们没有理解。如果你们公司的 APP 被行业纳入监管,那么怎么收集、收集哪些信息,IOS 上报送什么、安卓上报送什么,H5 报送什么会有详细的规定,并不是开发者可以自行决定和拒绝的。
xiaozuo
2017-11-22 17:48:54 +08:00
@CastleBUPT 不知道你这段话的来源是哪里,但是我记忆和实践中,都不能获取设备 UDID
honeycomb
2017-11-22 17:52:20 +08:00
@wuliao49
据我所知,在 app Store 上架的应用里,没有一个能拉 UDID(确认一下,这里讨论的是 64 位的 UDID,不是那个用随机数算法可以随意生成的 32 位 UUID,前面写的 UUID 当作是 UDID 的笔误),尽管有获取 UDID 的私有 API。

所以如果有一个 iOS 应用在监管上要求提交 UDID 的话,这样的应用不可能出现在 app store,相当于无法公开发布该应用。
CastleBUPT
2017-11-22 18:09:48 +08:00
@xiaozuo
那段话的意思是应该用 UUID 而不是 UDID。。。。
wang12xishan
2017-11-22 18:25:15 +08:00
@xiaome 软件没有闪退,不是软件版本的问题,手机系统更改为中文,软件运行是会卡在联网界面,如果系统语言改成英文软件会正常运行,使用 nexus 4 不会出现这种问题
xiaozuo
2017-11-22 18:28:18 +08:00
@CastleBUPT 抱歉抱歉,看错了
gitgit
2017-11-22 18:29:13 +08:00
emmmm 是什么意思
gitgit
2017-11-22 18:29:34 +08:00
😂
yuriko
2017-11-22 18:35:36 +08:00
@wang12xishan
这个感觉有可能的,估计是用资源文件的字符串去参与计算了,然后又正好是一个新 API 才有差异的场景
honeycomb
2017-11-22 18:51:27 +08:00
@CastleBUPT

看得出来前面写 uuid 是 udid 的笔误?
uuid 毕竟就是一个随时可以生产的随机数,而且还存活不过应用卸载
CastleBUPT
2017-11-22 19:30:35 +08:00
@honeycomb
看得出来,感觉你是这个意思
yinzhili
2017-11-22 21:10:23 +08:00
个个搞得像阿桑奇和斯诺登一样。其实,在伟大祖国,你用 iOS 也好,安卓也好,对 GCD 来说没区别,没有谁有隐私可言了

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://tanronggui.xyz/t/408463

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX