美团这次真的激怒了所有人!
10月8日,在美团因垄断市场经营被市场监管总局处罚34.42亿元后不久,博主@宣Sir爆料称美团App高强度获取用户位置信息。
随后,美团官方是这样回应的:是因为单方面读取系统操作日志后选择性显示了这类软件。
首先,我没有看到果果真诚的解释和道歉。
然后工程师的回应更让我生气:原视频中的软件(隐私洞察)是在海外开发的,安全性未知。请谨慎下载!
这里肯定有很多吃瓜群众可能不懂技术。你不知道的是真是假,你也无法判断。
别怕,现在就带大家从原理和技术的角度,好好看看它和美团。毕竟,你必须吃所有的瓜!
应用简介
首先,这个功能来自于iOS 15中的隐私——记录App活动。这是一个系统级工具,可以记录所有应用程序的行为。
但是点击之后,系统会生成一个JSON日志文件。
原始文件不方便普通用户阅读和查看。打开后是这样的。别担心,我一会儿教你怎么读。
此次事件中涉及的应用程序Privacy Insight是一款可视化阅读器,便于查看日志记录。
打开初始下载后,该应用程序没有申请任何网络权限。
根据App中的提示,可以将系统日志导入到App中,这样就可以在首页查看应用行为记录了。
但是当不使用网络时,这些日志似乎仍然无法读取?(重点,以下内容的关键)
可信吗?
通过上述过程,您应该大致了解App的作用。它可以解析系统日志并显示应用程序行为。
比如在网络活动中,我发现了一个疑似美团拼音的网络请求。因此,有人担心:这款App是否准确、安全?
对于这两个问题,最有效的方法是:直接查看iOS系统的原始日志!
好像很难?水果教你如何阅读:
以此日志为例:
这是一条完整的日志信息,其中的关键项是域、时间戳和bundleID。它们相互对应:域名、时间和包名。
因此,这是相应日志分析的内容。其中,bundleID非常重要,它代表:软件包的唯一标识符。
每个应用程序都有自己唯一的标识符,因此只要应用程序在App Store中上架,它们的标识符就是唯一的。
这也和安卓版的Apk文件包名称类似,比如安卓版的美团就是这样。
在图中的拼音中,我们不难看出这确实是美团的博客(iOS的美团包名为:com.meituan.imeituan),通过域名还可以看到大众点评的拼音。
所以这是美团App向大众点评发送网络请求的日志,上面也记录了相应的时间、次数等信息。
我们随后打开App进行比对,在相应页面找到了相关内容,域名、时间、频次等信息一致。
而且,在多次搜索该水果后,我发现结果和系统都是正确的!
因此,这证实了文章开头所说的:它只是一个可视化日志阅读器!它显示的数据是iOS系统本身。
安全吗?
那么它安全吗?这里的水果给每个人都提出了问题。
众所周知,数据泄露最容易出现在网络数据交互中,所以我们授权这款app看一看网络权限。
联网后,你首先发现的是主页信息更加清晰:App图标和名称都显示出来了,并且可以正常显示!似乎它确实与互联网进行了交互并获得了相应的信息。
在应用程序设置页面上,我们发现介绍中提到了网络。官方给出的解释是:连接iTunes API获取App信息。
真的是这样吗?我们为什么不做个实验呢?既然日志可以记录所有应用程序,我们为什么不看一下这个app的行为记录呢?
安全检测
所以,在重新导出日志后,果子又开始寻找日志代码了。
首先,果子在App Store中找到了隐私洞察的应用ID。
然后通过官方界面,获得了隐私洞察的包名。
那我们在日志记录里搜索一下吧!现在我已经找到了这几行的日志并复制了下来。
稍微整理了一下日志代码后,我们一起来解读一下。还记得怎么读日志吗?学你没学过的东西!
我们可以看到隐私洞察应用程序访问了这两个域名:
mzstatic.com
itunes.apple.com
苹果品牌旗下的iTunes大家都能理解。但另一个是什么?你要打脸吗?是否存在真正的安全风险?
经过水果查询,这个域名也属于苹果的分布式域名服务器,它将用于App Store和iTunes中的一些信息和图片请求。
在知乎等网友发布的帖子中找到相应的证据是非常常见的。
因此,目前通过iOS的官方隐私记录,只能通过隐私洞察发现该App没有泄露数据。
你知道为什么联网前App显示的信息很奇怪吗?
而且,在查询苹果开发者的网站时,水果还了解到它不仅可以查询应用程序的网络访问,还可以记录存储、图库、摄像头、麦克风和位置等信息。
同样,我们也可以在日志文件中找到相应的信息记录,我们仍然可以发现美团频繁获取用户位置和相册信息的行为。
此时,通过对上述日志文件的分析,美团是否可以通过频繁获取用户数据事件得出结论?
就连当事人都站出来回应隐私洞见。App是国产应用!
隐私洞察App只是一个可视化日志阅读器!你甚至不需要网络许可就可以使用它,网络功能只是连接到iTunes以获取应用程序名称和图片。
至少,在iOS的隐私审查中,它没有收集任何数据信息,也不存在国外所谓的未知软件。
迷惑观众,愚弄用户,植物开发商,美团,请积极回应!
网友评论