利用 App 獲取使用者私人識別資訊是一種為定向投放廣告的常見方式。2011 年的時候蘋果曾建議 iOS 開發者們停止用 iPhone 和 iPad 應用程式讀取使用者的識別資訊。但是根據聖地亞哥加州大學（University of California, San Diego, UCSD）學者的一項研究顯示，很多 App 無視了這個建議。

這星期在臺灣舉行的MobiSys會議上，UCSD 的學者們將會把這些從 9 萬臺 iPhone 上 22 萬 5 千個 app 裡收集到的資訊展示出來。他們的分析表明在 2012 年 2 月到 12 月這個區間內，48% 的應用程式使用過所在 iPhone 的唯一識別碼（unique device ID，UDID）。全文見此。

蘋果的 iOS 系統通常不允許應用程式間互相監視，因此這些資料都來自於被越獄過的 iPhone。越獄可以使 iOS 的正常限制失效，安裝來自 App Store 以外的程式。但學者稱他們的研究適用於所有 iPhone 使用者，因為絕大多數越獄過的裝置上都執行著正常的官方應用，這點與正常裝置可謂並無二致。

這項研究的資料是通過一款叫做ProtectMyPrivacy的 app 採集的。在被安裝後，ProtectMyPrivacy 可以監控其他程式試圖使用的資料型別。當某個 app 打算獲取潛在的敏感資訊時，ProtectMyPrivacy 就會通知機主來做出是否同意該行為的決定。例如，使用者可以選擇禁止某個 app 獲取聯絡人，地理資訊或者 UDID；使用者也可以聽從自動給出的建議。這項研究所使用的資料全部來自使用者的自願匿名分享。

雖然從 5 月 1 日開始，蘋果官方就開始拒絕上架可獲取 UDID 的應用程式，但這項政策的具體實施力度仍無從考證。UCSD 專案的領導人之一Yuvraj Agarwal稱，在受到監控的手機當中，大約有 40% 的 app 在繼續嘗試獲取所在裝置的 UDID，即使很多程式在 5 月 1 日也就是新政策實施日之後進行過升級。這說明蘋果要麼是沒抓到這些漏網之魚，要麼是選擇了睜一隻眼閉一隻眼。

Agarwal 和他的同事 Malcolm Hall 認為這是件讓人“震驚”的事情，即使在蘋果最新的 iOS 6 系統裡這種行為也不見停止，“很多 app 仍然在記錄 UDID 是因為官方系統允許他們這麼做”。

移動安全公司Lookout的安全產品經理 Jeremy Linden 認為，即便開發者們遵從了蘋果的官方指導，他們還是能找到其他方法來追蹤使用者。比如記錄 MAC 地址，使得 app 可以在各廣告平臺和分析服務上跨界跟蹤某個裝置。

在今秋正式釋出的 iOS 7 上，獲取 UDID 的許可權將被徹底取消。Linden 稱他覺得蘋果在 iOS 7 上似乎還會採取其它阻止應用獲取 UDID 的方法。“根據我的理解，他們正在取消所有能夠獲取裝置唯一識別碼的方式。對使用者的隱私而言，這是非常棒的，這也為整個行業樹立了一個榜樣。”另外，蘋果還開發了一個優化過的識別碼，identifier for advertising （IDFA）。 IDFA 在保護使用者隱私的情況下提供“有限的廣告跟蹤”，而使用者可隨時改變 IDFA 的設定。

現在僅剩的一個問題就是，蘋果相對封閉的生態系統使得 Aagrwal 這樣的獨立研究者很難詳細地觀測蘋果裝置上的應用程式到底在做些什麼。事實上，很多研究移動裝置和系統安全性的人都對 Google 的 Android 系統更有興趣，在這個更開放更容易定製的系統上，非 Google 官方的軟體商店也能獲得認可，而進入官方應用商店也相對容易一些。Agarwal 稱，他曾向蘋果的 App Store 提交過一個可以向使用者展示 ProtectMyPrivacy 工作詳情的應用程式，結果遭到了拒絕。當他和一個蘋果員工討論此事時，那名員工表示“我們不喜歡這個 app 的概念”。

自：36kr