近日，來自澳大利亞的谷歌工程師 Felix Krause 發現蘋果手機 APP 中存在一個隱私問題，APP 開發者可以利用 APP 控制前后置攝像頭偷偷為你拍照。
而用戶在這個過程中卻不會收到設備上的任何通知。Krause 的博客上可以看到更多的技術細節。
Krause 寫道：
iOS 用戶經常在下載完一個 APP 之后，很快就會給它相機的訪問權限（比如，添加頭像，發送照片）。對于一些通訊或需要通訊反饋的 APP 來說，它們可以輕松追蹤用戶行為，用手機前后攝像頭秘密拍照，而這一切都不需要用戶許可。
據 Krause 所說，這個問題的根本原因是蘋果軟件對相機的授權機制不完美。今天絕大多數的手機應用，包括 WhatsApp, Facebook, 和 Snapchat，也都遵循這樣的授權機制。
所以，這可能并不是一個 bug 或錯誤，而僅僅是一種特性，蘋果特意為之的特性，但 Krause 認為這種特性會讓惡意軟件有機可乘，利用這種特性悄悄地記錄用戶隱私。
Krause 表示，一旦用戶授權給 APP 相機權限，開發者可以輕松做到以下幾點：
獲取手機前后攝像頭的訪問權限
APP 前臺運行時的任意時刻都可以對你進行記錄
不需要你的許可就可以拍照錄像
拍照/攝像后立即上傳到服務器
運行實時面部識別程序，來檢測你的面部特征和表情
而這些應用程序只需要一次授權，就可以完全獲得相機的訪問權限，而不再需要額外的方式通知用戶（LED light 之類的），想想還是挺可怕的。
手機攝像頭在記錄的過程中沒有任何提示，包括 LED或別的什么。
Krause 自己也開發了一個應用程序來驗證自己的觀點：惡意軟件可以悄悄地利用相機權限，每秒拍一張照片，甚至可以視頻直播。
該演示程序主要還是為了強調 iOS 應用可能會出現的安全隱私漏洞，而不是別有所圖。
以下是 PoC 視頻，演示了用戶在使用演示程序時，每秒都會被拍照，并且 Krause 開發的演示程序還帶有面部識別體統，用來識別用戶是否在使用過程中。
https://v.qq.com/x/page/t0554monm8r.html?start=3
Krause 也督促蘋果盡快完善授權機制，比如將相機的永久授權改為暫時授權。
而在硬件上，則可要求 APP 在拍照過程中需用某種手段（閃光燈， 機器開關等）告知用戶。
其實最重要的是，不要輕易下載惡意軟件到手機中，盡量去應用程序的官方商店去下載，并提前閱讀一些關于應用的評論和開發者的情況。
在等待蘋果完善授權機制的過程中，Krause 給大家的建議就十分簡單粗暴了，就是直接把攝像頭遮蓋起來，雖然看起來并沒有技術含量，但Mark Zuckerberg和前 FBI 指揮官 James Comey也都是這么做的。
轉載來自FreeBuf
推薦閱讀：長春之窗