支付宝被发现会悄悄偷拍 (via Solidot)

[FurN1]

国产移动应用的权限需求和后台活动再次引发了关注，这一次又是支付宝。支付宝是最流行的中国移动应用之一，安装量有数亿之多，它的体积庞大功能庞杂，用户根本无法了解它在后台究竟会干什么。 Twitter 用户 typcn 报告称，“支付宝安卓版每隔 X 分钟（服务器指定）会在后台开启摄像头拍照，录音 X 秒，然后上传到服务器上。”作者进一步指出，支付宝的偷拍是“开启相机预览，设置相机预览回调，然后从相机预览的画面里面拿一帧，这样不会调用 takePhoto ，在部分强制开启拍照声音的手机上，也不会出现声音，因为是在预览缓冲中拿的图像。”知乎上有相关讨论，尚未看到支付宝官方的回应。

[airyland]

记得这里有相关帖子

[SpicyCat]

有知乎链接么

[orcusfox]

https://www.v2ex.com/t/258407

[FurN1]

@napsterwu 666

[lovewilliam]

国产软件就是牛。

[Delbert]

不用 twitter ，就是 @typcn

[GPU]

我记得 typcn 还刚刚够 18 岁什么的。

[GPU]

与 Andy1999 是基友好像 。 C++ 论坛好像是他写的

[robinlovemaggie]

贵支。。。。

[typcn]

当时抓到的那个图中支付宝设置了 previewCallback 通过预览来偷拍。
但是现在支付宝不再设置 previewCallback 了，只是 startPreview ，大概就是打开相机预览，什么都不干，然后再关闭，你也不知道他具体在干什么。
（不确定 startRecording 录音是否还在继续，昨天晚上测试的录音还是会的）


支付宝有 大概 1/4 的代码都是动态加载的 ，支付宝 libs 里面的 so 文件，其实根本不是动态库，就是一个一个完整的 APK ，有的 so 还是从他的服务器上远程加载的，但其实那些 so 文件，全部都是 apk ，有着完整的 apk 结构， drawable ， dex 都有，这些 apk 动态插入到主程序里面执行。

这种高动态的程序，证据抓到的可能性已经趋近于 0 了

之前支付宝有一个版本，没走应用市场，是应用内推送更新的，半夜玩手机的时候，突然听到咔嚓一声，打开支付宝，也是咔嚓一声，群里也有人讨论了这个问题，当时还有人给支付宝客服打了电话，次日的支付宝就发布了新版，走了应用市场，更新掉了这个版本。我想这里也可能有人遇到过。

他急急忙忙更新掉这个版本，而不是热修补，说明这个版本中拍照的代码是直接内置在了程序里的，而且拍照有声音肯定是用了 takePicture() ，要是有这个版本的话，反编译就可以直接抓到作恶的铁证。

但是我找了很长时间没有找到这个版本，因为当时的截图丢了，也不知道具体的小版本号，一个一个翻了很长时间也没有找到。。我也没有那么长时间一直在这肛支付宝。。。。。

这事大概就只能这样了。。

我只能做到告诉大家这是一个什么样的软件，我也没有办法找到证据，信不信就由你自己看了吧。。。。

大家写每一个项目的时候，一定要记住：最好的防止泄漏用户隐私的方法，就是不要收集

[doublleft]

我记得有一款手机的摄像头是可伸缩的，使用时会展开。

然后好多用户反馈自己的摄像头总是自己一伸一缩，以为出故障了。
结果大家讨论，发现很有可能是什么应用用摄像头…

[clino]

@typcn 3Q 大战时候的那些武器在 android 上重现了

[typcn]

@doublleft http://imgur.com/furlDoK
http://imgur.com/furlDoK

[dong3580]

@typcn
我手机上有几个谷歌商店备份的版本，你要不要玩玩？

[typcn]

http://imgur.com/YEJXsk4

[typcn]

@dong3580 那个版本没有通过任何市场更新，国内市场也没有。。。是应用内的推送更新

[dong3580]

@typcn
那就没了，应用内推的我都直接拒绝，去年 8-11 月貌似推送的比较严重，我记得还自动下 tb 客户端，

[doublleft]

@typcn 哈哈哈哈哈哈哈哈

[Mutoo]

@doublleft 画面感好强 lol

[dong3580]

@typcn
发动 v2 的强迫症备份童鞋肯定可以找到的，我目前有这些版本，都是比较新的，早期有很多备份删了：
8.6.0.040305
9.1.0.091801
9.2.0.101408
9.5.1.011302

[kn007]

@typcn 这画面感好强，居然还能伸出来的

[bleaker]

一个朋友自己编译的 kernel ，相机部分没做好，调用时经常会系统卡死，之前系统经常莫名其妙自己卡死，删了支付宝就好了。不知道能不能算旁证

[sunng]

@dong3580 是的，我被支付宝后台偷偷下载过阿里旅行，直接把安装界面弹出来，好像一盘刚拉出来的屎端上来给你。

[lancelot]

使用支付宝耗电特别大的原因可能是这个。

[fowse]

我也转一个评论吧，首先声明，只是转没有任何倾向，并不对所转的内容负责。
转 @gravity0 几天前微信钱包提现收费，不过是希望大家多用它支付，而不是抢完红包提现走人，被对手大肆炒作。如今支付宝的拍照录音风波可以视作是反击。舆论战的好玩之处就在于总有花钱和不花钱的雇佣兵自愿投入搬弄是非的战斗。

下面说说我的带有倾向的个人看法：
支付宝不是个东西，微信比它要强很多。

[hronro]

这尼玛，吓死宝宝了

[DaraW]

突然想起来手机现在的 ROM 的相机调用有 bug ，支付婊二维码都不能扫码，一点不慌。另外一直支付婊淘婊什么的不用都冻结着

[matsuijurina]

找了一台山寨安卓平板，既没有摄像头也没有麦克风，当然也没有通讯录，顺手 root 了。在上面装满了各种像支付宝这样的国产 app ，看着后台此起彼伏的进程，有一种养蛊的感觉。

[xia0chun]

@matsuijurina 666

[BSD]

@matsuijurina 对付国产流氓 app ，就得这么干，我一直就这么做的。

[Procyon]

@matsuijurina 随身携带寨板？

[zaqxsw123nm]

@matsuijurina 真是老司机！

[rim99]

@matsuijurina 看来淘汰的安卓手机也能这么干

[FurN1]

@matsuijurina 哈哈哈

[yongzhong]

今天看到新闻后我把支付宝的拍照权限从允许改为了询问,下午就遇到了手机只是放在那里,结果界面弹出了支付宝请求拍照权限,瞬间呵呵了

[sdysj]

旺旺 QQ 标准版 那个 xxxProtect 笑而不语。。。删掉后启动主程序自动下载自动安装自动运行自动恢复服务。。。国人脑筋就花在这些内斗身上了，结论早翻早解脱。。。

[jakes]

我安卓手机经常解锁的时候显示的是 uc 的下载页面，而且是 360 手机管家的下载页面。

[aivier]

自从 App 启动就拍照开始，禁用了所有权限

[kmahyyg]

支付宝发长微博称，安卓版支付宝不会后台自动启用摄像头拍照和录音，也不会将将其上传到·服务器，对于某些提前申请的权限，将会在 Android 6.0 以上的版本进行优化，以避免用户误解。同时，支付宝将采取法律手段维护自己的权益。

tmd 6.0+要你优化
系统自己就不给这权限

[liyiecho]

@kmahyyg 6.0 上面还是提示要获取几个权限，虽然可以关闭，但是 TM 的存储空间权限必须要给，不给就不给你用。。

[binux]

@typcn 请求相机权限也有可能想要检查一下功能是否可用啊，除非你有抓到其他证据排除这种可能，例如上传的证据。

[paw]

PC 上一个专门的虚拟机，装各种国产，主机上远离国产
还有一个 ipod 6gen ，专门装国产 APP ，主力手机上也是没任何国产。

跟这些流氓折腾..累..直接隔离开，你们爱怎么玩就怎么玩把！

[Bown]

我记得插件化方案有一个优化策略是把插件 apk 改名为 so 放到 libs 下，这样就会在安装 app 时而不是启动时复制插件到 dex 目录下，一定程度上解决初次加载插件卡顿问题

[fantasy467047]

@doublleft [支付宝为何不停后台开启摄像头？] 黄 biangbiang ：我的手机 摄像头是弹出式的 放在桌子上没事就弹一下 没事就弹一下 原来是支付宝搞的鬼····… http://www.zhihu.com/question/33394341/answer/56385792 （分享自知乎网）

[blackimpl]

哎 国民的智商

[onvno]

刚从知乎的链接回来，发现知乎尚且平静， V 站已经亢奋

[clino]

@typcn @doublleft @fowse @kmahyyg @binux
我今天关掉大部分支付宝的权限以后和 @yongzhong 一样,刚解锁想用一下手机,结果马上看到一个"支付宝正在打开摄像头,已拦截"
一看历史记录有一堆:

[binux]

@clino 但是并没有排除启动自检功能是否可用啊。

[clino]

@binux 人家支付宝已经保证绝对不会有这样的行为了 http://m.weibo.cn/1891502860/DjaXPpzes
而且这样的自检有意义吗 需要这么频繁吗

[binux]

@clino 「支付宝已经保证绝对不会有这样的行为」保证不会有哪样的行为？

[clino]

@binux 你去看微博里的 支付宝绝对不会 的声明吧

[binux]

@clino 我看到的是绝对不会做额外的信息采集和后台操作，不会侵犯泄露任何用户饮食信息。你看到的是一样的吗？

[typcn]

@binux 他在这样做之前，已经做好预备方案了，就是动态变成你说的那样。
具体的不太想在 v2 说，我想应该可以想明白

[clino]

@binux 2. 最后面: 支付宝绝对不会"在用户不知情的情况下后台启动摄像头拍照或录音"

[binux]

@clino 你的贴图不能说明「在用户不知情的情况下后台启动摄像头拍照或录音」啊

[clino]

@binux 我是在关闭了大部分权限以后 偶然发现打开摄像头被拦截以后采取看的这个拦截历史记录
我今天完全没有打开过支付宝 支付宝的版本其实我一直没有升级,但是除夕那天都在咻 我一打开强制我升级否则不给用才升的级 平时极少开因为淘宝基本上是我老婆在负责买

[binux]

@clino 拦截历史并不能排除「申请摄像头权限并不等于实际启动摄像头」

[ilikekindle]

猜猜几楼是为支付宝捡球的？

[snnn]

@paw 虚拟机能用微信不？

[yangqi]

每次用完强制休眠的应该没问题吧？

[clino]

@binux 你说得没错 并不等于 但当然有可能
你不能否认的是很可疑

[clino]

@binux 另外我赞同这个回答: https://www.zhihu.com/question/40638556/answer/87747641
```
两种设计： 1. 每次启动时向用户”申请“摄像头权限。 2. 用户打开扫一扫的时候”申请“权限。有多少人会认为第一种做法对用户干扰更少？就算我每次打开支付宝后都要使用扫一扫，那提示的次数也是一样多的。而实际情况下比如我平时很少使用扫一扫，多数是付款码，那大多数情况下并不需要申请这个权限啊，然后每次打开都问我要权限，这个真的是为了“提升用户体验”？另一种情况，如果我选择始终禁用摄像头权限，实测结果支付宝启动后拿不到权限也就默默地继续下去了，也并没有弹出一个提示来告诉我啊，那么所谓”提前触发权限申请“的作用到底是什么？没拿到权限你也不嚷嚷一下啊，最后还是在扫一扫的时候才告诉我无法操作，那和”不提前触发权限申请“有区别吗？
```

[Magnus1k]

@binux 之前在知乎相关讨论中看到有人提出安卓无法在使用过程中做到“申请权限而不使用”如果看到了申请，就说明其实想使用。

[binux]

@typcn 那么说，你并没有抓到上传的直接证据？不管是不是它更新掉了。
@clino 那就是实际上，并没有直接证据说明支付宝的声明有问题咯。「每次打开都问我要权限」，默认没开权限限制的安卓手机，并不会有这个询问吧。
@Magnus1k 检测功能是否存在， JS 不经常这么干吗？

[zongwan]

Android API 设计的问题的话
只能说国产某些系统提示不到位 或者 官方漏洞

某些开发者是否能提供一个 sample APK 来检测系统是否存在这个漏洞?

[liujiantao]

[clino]

@binux '默认没开权限限制的安卓手机，并不会有这个询问吧'
那是不是说明更不需要搞什么提前获取了呢

[binux]

@clino 统一的功能检测，也是很常见的啊，比如统计下用户，有摄像头的比例。

[zongwan]

@binux
太牵强了
不过我也挺支付宝 无恶意这点

开个摄像头,可能检测 摄像头是否正常, 照相是否清晰, 对焦速度等.
虽然一般手机型号都会有介绍, 但详细的参数有些还是靠 API 才能获取到, 甚至有国产手机偷工减料

这些说的也太牵强了
关心隐私的人 都会设置应用访问摄像头时询问吧?
呼吁手机系统厂商对隐私安全进一步加强, 要求摄像头访问 除了相机外都设置为询问

[Andy1999]

@binux 666 洗地不用这么洗吧 为了统计一下有摄像头比例的所以每次都请求？
那么这个数据一定是 100%吧，现在哪款手机不带摄像头？

[xrui]

看微博评论的意思大概是说，因为支付宝提现不收费，钱放着还有利息，过年还抢到红包了，就是听不惯有人说支付宝的不好，我乐意被泄露隐私，隐私泄露可我的钱又没少，我也没什么隐私，银行的钱被盗了拿不回来支付宝的被偷了就可以理赔，你这么黑支付宝，该不会是腾讯 /苹果的托吧。
联想到以前看过的 360 的，要不是 360 你现在还用一个月十几块钱的杀毒软件呢，泄露隐私跟我有什么关系，我有什么隐私电脑里一堆**随便上传，你这么黑 360 ，该不会是腾讯的托吧，这可是免费的杀软啊，这么黑他你的良心去哪里了

[clino]

@binux 这种检测不是做一次就好了吗？ 难道支付宝会担心我摄像头坏了这么好心一天这么勤奋地帮我检测 哦 还帮我检测能不能录音 估计它想知道那么多设备有多少可以录音吧

[binux]

@zongwan 我不挺支付宝，它又没有证据完全排除掉真的没有侵犯隐私。
@clino 信息存内存里，进程被系统杀掉，重启的时候没有了呢？

[joydoudou]

看到这个帖子就是试了一下，果然一打开支付宝就请求摄像头的权限

[kmahyyg]

@clino xprivacy 频繁提示已阻止 alipay 调用 audio.recoding 等各类 api ，开机时频繁提示。

@binux 洗地请右转，前方有洗手间。/-blocked-/

[binux]

@kmahyyg 强行洗地，阶级斗争斗傻了吧

[yech1990]

果然是这样，设置成 promot 之后疯狂提示，尽管没打开支付宝。

[yech1990]

我只打开了 chrome

[imbahom]

意淫一下，此举打击了安卓，打击了支付宝，一定是苹果干的，意在推 apple pay
此贴火钳留名。

[agate]

@imbahom 嘿 你的观点有意思 我喜欢阴谋论

[clino]

@binux 只要做一次检测的应该持久化记录下来,而不是每次启动都查,支付宝不是会担心用户的使用不流畅吗? 那更没理由这么做啊.

[laowu2012]

大多数时间下 支付宝冻结中状态的受此影响吗？

[hualuogeng]

看完诸位的评论后，我还是将支付宝调用摄像头的功能关闭了，等真的要扫码的时候再手动开吧。

[3yvsye]

刚刚把大部分隐私权限设置为询问，一打开软件，弹出 1.定位查询、 2.联系人信息查询、 3.摄像头打开查询。定位查询是只要拒绝，每个操作页面都会弹出来。

[3yvsye]

@3yvsye 刚刚锁屏打开，就看到摄像头打开申请。蜀黍我真不需要。。。

[MarioxLinux]

之前 IPAD 版本支付宝不升级不让用，真流氓

[killerv]

这个屌……

[Testalias]

http://zhuanlan.zhihu.com/justnow/20595834
云舒发话了， 10 万块，拿证据去领吧

[idacker]

支付宝方面今日通过官方微博发表回应称，个别社交平台的“支付宝 Android 版隐私门”话题，用语焉不详的“论证”，扣上一个“隐私门”的帽子，加上各种技术名词的包装，确实可能引发普通用户的误解和担心。

公关不给力啊！

[fakefish]

就像云舒说的，代码是写的不对，重复来请求来确定权限，而说偷拍偷录就是意淫了，要是有这流量一天要跑多少？

好像之前有类似的事情？

[realpg]

@binux
支付宝保证不乱申请不需要的权限
因为摄像头偷偷拍照时刚需，所以不算乱申请，是明确申请的权限

[okampfer]

弱弱问一下，现在我在 flyme 里禁用了 alipay 使用摄像头的权限，当它需要使用的时候如果我点了“允许”，是不是以后每次都自动允许了？然后我需要手动再把它的摄像头权限禁用？有没有类似“仅本次允许”之类的办法？

[typcn]

@Testalias 云舒在底下各种删评论，有关云端的评论都删了，只剩了 0 赞 0 回答 0 提问的小号在底下洗地，懒得回复了。

[HankAviator]

我先前每次冷启动支付宝摄像头都会咔哒一声，心里疑惑但也没注意。

[HankAviator]

想到一个暂时有效的办法，用 xposed 模块在指定活动时允许摄像头 /露阴，其余的时候禁止，或许有用。

[MountainRain]

支付宝要是觉得被冤枉了，就说清楚为什么调相机就行了啥。
我不相信支付宝的代码会没有 review 。肯定不出 BUG 多次调用相机的问题
说是代码写的比较 SB 我不相信

[VmuTargh]

支付宝早就卸了，之前我妈 a788t 安装了支付宝，然后放裤袋里没碰没用（也没有照相键）经常咔嚓咔嚓……

[FurN1]

@HankAviator 输入法暴露了你

[kenken]

@typcn 以前不知道有这个云舒，进去看了一下，看起来像个大 v ，但这通篇文章逻辑不清楚，乱骂 SB ，评论里各种叫，真心没法看

[jannigermany]

怎能错过翻页