ADVERTISEMENT
最近一段時間以來，由中國廠商所開發的手機 App，成為許多民主國家熱烈討論焦點，例如抖音、小紅書等等，除了其所帶起的社群潮流之外，中國製 App 於資訊安全性方面造成的議題，亦受到各界十分深刻的討論。
台灣由於跟中國之間的微妙關係，導致政府甚至於民間社會，似乎皆不得不透過獨特的眼光，看待這些於爆紅的中國應用程式及社群平台。
但是，這些 App 真的具有資安問題嗎？還是「Made in China」本身再度成了一次政治性的討論？各國對於中國 App 安全性的唇槍舌劍，又究竟著重在哪些論述上？
ADVERTISEMENT
身處於這個由網路所打造出來的無國界的社會，作為「使用者」的我們，手中到底又有哪些方法，去認識日常使用的 App，到底藏有哪些資安風險？進而去主動控制、管理 App，降低對個人隱私權的侵犯？
在本篇特別企劃中，我們將從資料蒐集、存取權限的角度，選擇六款台灣人經常使用的熱門中國 App，對照其他非中國製的同類應用程式，看看它們之間到底有哪些差異及可疑之處，同時希望藉此令讀者反思，或許真正問題不在資安，而是更加複雜、更偏向文化滲透層面的憂慮。
從中國的獨特網路生態談起
長久以來，理應是開放、自由的網際網路，總存在著一些與眾不同的角落，而在這些獨特的環境中，使用者數量最多、聲量最大的部分，莫過於來自台灣對岸的中國。
ADVERTISEMENT
眾所周知，中國的網路環境自成一格，由於有著獨特的審查與監視，外界普遍而言不太容易去接觸到中國「防火長城」背後的內容，反之，中國民眾如果不透過一些方式，例如 VPN、代理伺服器等等，利用「翻牆」手段連接上所謂的「外網」，他們也難以去獲得在民主國家流行的平台及服務，例如 Google、YouTube 與 Facebook 等等。
中國獨特的網路生態造成了許多影響，其中一項或許可以算是極其強大的「再創造力」，若用白話一點的方式來說就是「山寨」跟「模仿」，但中國廠商的厲害之處，就在於有時候他們所仿製出來的東西，更容易為外界所接受，甚至於帶起一波流行。
抖音在西方的大行其道
究竟有什麼東西是在經過「中國化」之後，反而成為眾人所追逐的潮流呢？這個問題最新的一個答案，絕對是在西方世界被稱為 TikTok，而在中國境內被稱為抖音的短影音社群 App。
ADVERTISEMENT
事實上，短影音本身並不是非常新穎的概念，早在2013年由 Twitter 所推出的 Vine，就已經是極短片分享 App 的完整實踐，而後如 Snapchat、Instagram 等等也加入了類似功能，甚至於連抖音本身，其實也是在 Vine 正式關閉前幾個月才正式上線。
Vine 短短三年壽命的黯然退場，並沒有衝擊後來抖音的成功。抖音憑藉著簡單操作即可生成的口型同步影片，配合伴奏音軌的高自由度，以及極短時間的觀看節奏，很快就在年輕人之間捲起風潮，從中國內部一路延燒至全世界。
ADVERTISEMENT
民主社會對中國App的質疑
抖音潮流的席捲令西方國家意識到危機，其理由不僅僅是因為它來自中國，一個在人權、隱私權等等普世價值上有所疑慮，而且資訊透明度不足的國家，更是因為抖音的擴張實在太過快速，並且面向了低年齡層，促使政府與民間必須正視它所帶來的社會問題。
西方國家對於兒少隱私權極度敏感，抖音具備的各種「不安因素」，迫使民主社會重新檢視中國 App 的安全性，而此處所指的「安全」，不僅僅是資安方面的議題，或許還牽扯到更深一層的文化滲透。
至於對身處台灣的我們來說，抖音或許只是我們日常生活中，常用的其中一款 App，更多來自於中國的應用程式，是否同樣帶有跟抖音一樣的疑慮？在接下來的內容中，我們將先從直觀的「資料蒐集與權限」方面進行討論。
短影音App：抖音 vs Triller
探討一款 App 是否擁有資安風險，對於普通民眾來說，最為簡單的方法就是觀察其所要求的「權限」，究竟是合理或不合理。若是一套 App 要求的權限過多、過大，等於將會蒐集過多不必要的資料，進而威脅到使用者的隱私安全。
因此，我們首先就從權限的角度，來看看造成最大爭議的抖音，以及在西方國家同樣以短影音平台爆紅的 Triller，兩套 App 資料蒐集方面，究竟有哪些不同。
抖音TikTok
重要敏感權限分析
● 透過GPS存取精確位置
● 讀取日曆活動與機密資訊
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 讀取聯絡人
● 配對藍牙裝置
● 變更網路連線
目前上架於 Android 與 iOS 平台的 TikTok，跟中國當地所使用的抖音，其實是兩套不同的 App。TikTok 能夠讓使用者錄製短影音，並在其中增加音樂、濾鏡、特效等等元素，快速展現自己的才華和創意，接著與他人進行分享。
從 TikTok 所要求的權限來看，拍攝相片、影片、錄製音訊等等，都算是涉及 App 主要功能的合理權限，但日曆活動跟配對藍牙裝置相對之下就比較多餘，使用時是否該授予 GPS 位置也是應該注意的部分。
Triller
重要敏感權限分析
● 透過GPS存取精確位置
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 讀取聯絡人
在台灣不算太流行，但是於國外擁有超過破億使用者的 Triller，可以稱得上是目前抖音的最大對手，不僅同樣強調音樂創與社交互動，亦被不少西方主流社群稱為「抖音的替代品」。有趣的是 Triller 的中文可以翻譯成「顫音」，跟「抖音」有點接近又太一樣，不難見出它們的競爭關係。
Triller 在手機權限的要求上，並沒有國際版 TikTok 來得如此複雜，不僅少了日曆存取、藍牙裝置配對，真正敏感的相機、麥克風與聯絡人讀取權限，皆與應用程式主要功能有關，算是規格面上十分乾淨的 App。
通訊App：微信 vs LINE
在短影音平台之後，接著我們將目光轉到通訊軟體上。由於我們經常透過 LINE 之類的 App 傳達隱私訊息，所以這類應用程式究竟要求了多少權限、讀取了多少資料，自然就跟使用者的資訊安全直接相關。
我們於此處選擇進行權限比較的通訊 App，除了國人所熟悉的 LINE 之外，另一套就是在中國境內最為流行的微信。雖然說微信已經是一套十分老牌的 App，但民主國家對其隱私安全方面的質疑，卻從來沒有停止過。因此，我們不妨來透視一下微信所蒐集的權限，看看是否能發現什麼端倪。
微信WeChat
重要敏感權限分析
● 透過GPS存取精確位置
● 讀取手機狀態和識別碼
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 讀取、修改聯絡人
● 配對藍牙裝置、取得人體感測器資料
● 不顯示通知，直接下載檔案
跟抖音擁有海外版本 TikTok 相同，中國當地所使用的微信，跟台灣雙平台商店能夠下載到的 WeChat，其實是兩套不一樣的軟體，但是其差異並沒有像抖音來得這麼大，絕大部分功能仍然通用，而根據官方說法，兩款 App 的資料儲存在不一樣且不同地區的伺服器上。
由於是通訊軟體，所以 WeChat 所要求的權限更加多元且複雜，其中讀取手機狀態和識別碼及修改聯絡人，算是跟 App 功能直接相關，但為何需要取得人體感測器資料就較為令人疑惑。
LINE
重要敏感權限分析
● 透過GPS存取精確位置、接收額外的位置提供者指令
● 讀取手機狀態和識別碼、直接撥打電話號碼
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 讀取、修改聯絡人
● 配對藍牙裝置
● 不顯示通知，直接下載檔案
國人經常使用的 LINE 功能包山包海，發展到現在已經不是單純的通訊軟體，所以權限要求相對也更加複雜。除了基本的拍攝相片、影片、錄製音訊之外，讀取和修改聯絡人都還算是合理。
值得注意的是，LINE 在定位方面多要求了接收額外的位置提供者指令，推測可能跟 LINE Beacon 功能有關，同時通話方面也多了直接撥打電話號碼，由於我們從來未曾看見相關功能，因此或許可視為不合理的多餘權限，配對藍牙裝置則是跟 WeChat 相同但令人在意的要求。
社交App：小紅書 vs Instagram
小紅書是最近台灣社會討論聲量非常高的中國 App，目前在中文圈特別是女性使用者之間，形成了一股「翻書」風潮，尤其跟抖音一樣吸引了許多低齡學子投入，甚至有人稱它為中國版的Instagram。
嚴格來說，小紅書與 Instagram 在本質上還是有一些不同，前者有很大一部分體驗建基於「商品」跟「教學」上，雜揉時尚、美妝、生活、旅遊和美食等等主題，但在此我們仍然將兩套 App 放在一起進行權限比較，研究這款新崛起的平台是否任何可疑之處。
小紅書
重要敏感權限分析
● 讀取、新增與修改日曆活動跟機密資訊
● 透過GPS存取精確位置
● 讀取手機狀態和識別碼
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 讀取聯絡人
● 修改系統設定
小紅書本身的定位屬於社群平台，使用者可以在 App 中創造與分享圖文內容，或者利用內建功能拍攝有趣的短影音。此外，小紅書也允許使用者按照自己的興趣，訂閱其他相關內容的創作者，再藉由訊息推播跟演算法，進一步延伸、發掘更多自己有興趣的文章、教學甚至於商品。
以小紅書的功能而言，GPS、相機、麥克風等等權限的要求仍屬合理，但對於日曆活動甚至於機密資訊的存取則相對敏感，讀取手機狀態和識別碼對社群平台 App 來說似乎也沒有絕對必要，允許修改系統設定甚至有些擴權，算是問題比較大的地方。
重要敏感權限分析
● 讀取、新增與修改日曆活動跟機密資訊
● 透過GPS存取精確位置
● 讀取手機狀態和識別碼、直接撥打電話號碼
● 接收簡訊
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 讀取聯絡人
隸屬於 Facebook 旗下的 Instagram，稱得上是目前台灣年輕人最普遍使用的社交 App，畢竟跟臉書上擁有大量商業化的粉絲專頁不同，Instagram 更強調摯友之間的內容分享與交流，近期上線的 Reels 短影音功能，或許能稱得上是對抖音的一種抵抗。
只不過，Facebook 本身及所轄 App 在隱私權方面，亦長期受到各國監管單位質疑，因此分析 Instagram 所要求的手機權限，即發現了直接撥打電話號碼和接收簡訊兩大詭異之處，畢竟從來沒有聽過有人會拿 IG 來收送 SMS 簡訊，為何需要該功能令人疑惑，另外關於日曆方面的權限要求似乎也不太妥當。
影音App：bilibili vs YouTube
相較於前面所討論的通訊與社交 App，影音類型的應用程式，在功能上相對較為單純，所以理論上對於手機權限的要求，應該要變得更加不敏感。目前台灣使用者經常存取的中國影音平台，除先前造成社會爭議的愛奇藝之外，俗稱B站的 bilibili 應該稱得上是另一個大宗。
考量到 bilibili 的平台性質，大多都是由使用者創造的內容為主，因此在權限比較方面，我們即選擇了 Google 旗下的 YouTube 進行對照。
Bilibili
重要敏感權限分析
● 讀取、新增與修改日曆活動跟機密資訊
● 透過GPS存取精確位置
● 讀取手機狀態和識別碼
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 不顯示通知，直接下載檔案
● 修改系統設定
中國影音平台 bilibili 對於海外市場的開拓十分積極，尤其針對台灣使用者方面，經常透過購買動畫版權的方式，獨佔特定內容以吸引消費者從其他串流服務跳槽，甚至是付費開通大會員。
不過即便如此，bilibili 本身其實擁有更多使用者供應內容（UGC），亦誕生了許多「人氣UP主」，意即我們常說的 YouTuber，因此在權限上仍能看見相機、麥克風的存取權要求，但不顯示通知，直接下載檔案似乎就有些多餘，允許 App 修改系統設定則可能是出自選用的懸浮小視窗功能。
YouTube
重要敏感權限分析
● 透過GPS存取精確位置
● 讀取手機狀態和識別碼
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 讀取聯絡人
全球最大的影音平台 YouTube，其 App 在大多數的 Android 系統當中，皆屬於內建的預載應用程式，消費者只要打開裝置就能看見，所以權限方面的問題經常遭外界忽略，甚少檢視 YouTube 有不合理的資料蒐集要求。
仔細觀察 YouTube 所提出的要求權限，不難發現其相較於 bilibili 確實更加乾淨，例如缺乏日曆跟機密資訊的讀取需求，亦沒有不顯示通知就直接下載檔案、修改系統設定等等，僅有讀取聯絡人稱得上是真正的敏感權限，其他方面幾乎都涉及了影音平台的主要功能。
社群App：微博 vs Twitter
台灣民眾經常使用的十大熱門中國 App 中，發展歷史悠久的微博至今依然榜上有名，而它可能也是防火長城地區以外的網友，得到中國內部主流話題、新聞跟百家評論最主要的來源管道。
現在的微博跟早期相較，除了仍然帶有微網誌（microblog）特徵的使用者創造內容之外，另一方面則感覺更像是綜合類型的新聞入口網站，不過我們還是選擇了其模仿的對象 Twitter 共同進行權限比較。
微博
重要敏感權限分析
● 讀取、新增與修改日曆活動跟機密資訊
● 透過GPS存取精確位置
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 不顯示通知，直接下載檔案
● 修改系統設定
● 讀取、修改聯絡人
台灣人使用微博的理由，有一大部分可能來自於追星，畢竟中國藝人主要的發聲與交流平台，多數也確實都建構在微博之上。此外，使用者於微博中也可以看見普通網友所分享的圖文內容，並透過熱搜榜得知當下最流行的時事。
微博所要求的手機權限跟其他中國 App 差不多，不過以一個微網誌平台而言，其實還是有點擴權，例如讀取、新增與修改日曆活動跟機密資訊就不太必要，而不顯示通知，直接下載檔案會用在何種情境亦不太清楚，至於修改聯絡人的權限更是過度敏感。
重要敏感權限分析
● 讀取手機狀態和識別碼
● 透過GPS存取精確位置
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 配對藍牙裝置
● 讀取聯絡人
最近因馬斯克入主而鬧得滿城風雨的 Twitter，在隱私權議題方面的討論度，幾乎跟 Facebook 一樣從來沒有間斷過。相較於發展成綜合類入口網站的微博，截至目前為止 Twitter 仍然相當「純粹」，即便最近陸續導入如 Clubhouse 的 Spaces 語音交流功能，以及類似 Instagram 摯友的朋友圈機制，但其微網誌的本質依舊沒有多大改變。
以要求權限來看，功能單純的 Twitter 並沒有高度可疑之處，唯獨允許配對藍牙裝置稍微令人不解，至於其他功能如拍攝相片、影片、錄製音訊跟GPS位置存取等等皆屬合理範圍。
購物App：淘寶 vs 蝦皮
海外購物已經成為許多台灣民眾的日常習慣，其中淘寶又是台灣消費者最喜歡的境外平台之一，因此其 App 在下載榜單中，始終都佔有一席之地，即便近來有不少類似的購物、拍賣平台崛起，但似乎也始終威脅不到淘寶在台灣消費者心中的特殊地位。
關於購物 App 的權限比較，除了淘寶之外，我們選擇了台灣近年來崛起的蝦皮購物進行對照，雖然過往蝦皮曾經因中資問題造成爭議，但在現實情況上，它仍是台灣當前最流行的購物平台。
淘寶
重要敏感權限分析
● 讀取、新增與修改日曆活動跟機密資訊
● 透過GPS存取精確位置
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 讀取手機狀態和識別碼
● 配對藍牙裝置
● 讀取聯絡人
目前台灣區 Google Play 與 App Store 能夠下載並安裝的淘寶 App，跟中國當地所使用的版本有些不同，程式主畫面左上角允許切換地區，並且顯示著「中國台灣」應該是最為顯著的特徵。
作為一套購物 App，淘寶所需要的權限確實有點複雜，相機及麥克風權限主要用於商品評論回覆，但跟日曆相關的要求看起來並非必要，允許配對藍牙裝置跟讀取聯絡人亦稍嫌擴權，但是若跟對照組蝦皮購物相較，則會發現雙方的權限要求差異幾乎沒有太大區別。
蝦皮購物
重要敏感權限分析
● 讀取、新增與修改日曆活動跟機密資訊
● 透過GPS存取精確位置
● 讀取、修改與刪除儲存裝置的內容
● 拍攝相片和影片
● 錄製音訊
● 讀取手機狀態和識別碼
● 配對藍牙裝置
● 讀取聯絡人
蝦皮購物是台灣近來發展勢頭最猛的網購平台，尤其除了線上電商體驗之外，不斷拓展的線下實體店，主打快速寄貨、取貨功能，也讓外界看見一種全新的購物模式正逐漸邁向成熟。
在敏感權限上，蝦皮購物跟淘寶的要求可謂完全一致，同樣有著意味不明的配對藍牙裝置權限，允許讀取聯絡人也顯得多餘，但讀取、新增與修改日曆活動跟機密資訊，則可能跟一些促銷活動的提醒互相掛勾而有其必要，所以仍屬於情理之中。另外，蝦皮購物近期正大力推動使用者進行實名認證，雖然這與 App 本身要求的權限無關，但提供資料前依然務必要深思再三。
結語：從App權限要求中，使用者發現了什麼？
在前面六組同類型的中國與非中國平台 App 的權限比較中，我們皆採用了 Google Play 商店所給出的手機權限要求清單，作為統一的對照標準，而從中也不難看出，其實各套應用程式所要求的權限都非常接近，但在這其中仍然還是有一些關鍵差異。
中國 App 要求權限高度相似
我們這次所挑出來的6套中國 App，包含 TikTok 、WeChat、小紅書、bilibili、微博與淘寶，雖然各自所專注、經營的領域皆有所不同，但它們對手機 App 的權限要求卻都非常類似。
舉例來說，這6款 App 中竟有多達5款要求讀取日曆內容跟機密資訊，甚至於逕自進行修改的相關權限；此外，像是不顯示通知並直接下載檔案，以及修改聯絡人等等也是中國 App 常見的情況。
雖然我們無法斷言，一旦 App 要求了這些權限，肯定就是要竊取使用者隱私或植入後門，但中國 App 確實在手機權限方面要得比較多、比較雜，有時也較難看出跟程式主要功能之間的關聯，因此才造成了外界疑慮，出現資訊安全方面的隱憂。
西方App要求權限相對限縮
本次特別企劃挑選的對照組 App，絕大部分都是由西方民主國家進行開發、營運，其中也包含來自科技巨頭如 Meta、Google 等等的應用程式。分析這些 App 的權限要求，其實我們並不難發現，西方廠商對於索取手機權限的思維，顯然跟中國廠商有著很大的不同。
已經在西方國家成為主流的 App，其開發邏輯大多遵循著如何藉由最少量的權限，達成功能方面的最大化，避免外界對應用程式「過度的資料蒐集」出現疑慮，尤其開發者的規模越大，更會限縮權限的索取程度。
比方說，普遍被認為蒐集了大量使用者資料的 Twitter、YouTube，其實它們真正需求的手機權限反而並不多，但其理由其實也不難理解，因為這些科技巨頭三天兩頭都遭外界放大檢視，在擁有適當監管的情況下，它們自然會對 App 權限的適當性，有著比中國 App 更進一步的用心。
主動關閉App權限的方法
面對 App 權限過度要求所帶來的隱私風險，近幾年來無論Google或 Apple，都在其 Android 與 iOS 系統上，做出了非常大量的努力，要讓使用者奪回手機權限的自主權。
以 Android 系統而言，在大部分的情況下，使用者僅需打開手機上個別應用程式的詳細設定，即可於「權限」選項中，分別允許、不允許 App 能夠存取的相關權限，例如位置、相機、麥克風與聯絡人等等。
至於 iOS 方面則更加簡單，使用者只要進入「設定」畫面，接著找到 App 圖示與名稱，點擊後即可任意開關該應用程式所取用的權限，例如相機、麥克風等等，甚至還能進一步關閉活動追蹤以阻擋資訊蒐集，還有管理 App 通知的顯示方式，相較 Android 可謂更加直覺且方便。
只看權限要求仍有盲點
雖然說觀察 App 索取的相關權限，為保障個人資訊安全的第一層工夫，但是無論是來自哪個國家的 App，都仍然有辦法透過其他方式，取得且不當利用我們的隱私資料，甚至於更進一步的安全風險。
首先，合理的資料蒐集並不代表數據就會被傳送、儲存到安全的地方，假如 App 開發商的伺服器出現漏洞，或者資料遭到惡意提取，那麼這些合法的資料，終究會產生出不法的用途。
其次，僅透過手機權限要求的敏感程度，仍完全無法看出「平台內容」本身帶有的安全風險。尤其對於台灣民眾來說，資料洩漏與隱私權的侵犯，其威脅程度在多數人心中，可能還遠低於中國 App 所帶來的文化滲透能量。
資安問題還是內容問題？
我們這次所選擇的6款中國 App，雖然主打功能各有不同，但幾乎每一款都具備著社交屬性，擁有大量的使用者創造內容，而其中最顯著的 TikTok 與小紅書，正是由於文化滲透能力之強，所以才引發了台灣社會的高度關注。
回到我們最一開始提出的疑問：中國 App 真的有資安風險嗎？從安全性跟隱私性的角度來看，或許有但證據不夠確實，但透過中國 App 所架起的兩岸橋樑，使「文化交流」與「文化滲透」之間的界線變得模糊。
究竟我們是擔心中國 App 所帶來的資安風險，亦或者是中國內容進入台灣人視野後，所造成的本土文化及思維的消失，確實值得我們再三思考。
本文同步刊載於PC home雜誌
歡迎加入PC home雜誌粉絲團！
ADVERTISEMENT