App是否在“监听”我们？
这一问题涉及用户的隐私和个人信息保护，受到媒体和公众的高度关注，尽管并没有被确切证实过，但是长期以来一直没能打消用户心中的疑虑。通过专业技术测评的方式对于“监听”过程进行还原和评估，并为用户提供自行判断的有效工具，有助于建立用户的信任感和安全感。
中国网络安全产业联盟（CCIA）数据安全工作委员会、中国企业报财经研究院近期共同推出的一份实验报告，为破除App监听的疑云提供了重要的依据和支撑。
用户为何怀疑被“监听”
随着移动互联网的发展，人们对于个人信息收集、利用和保护的意识日益提升。一方面，通过各种同意机制授权各种App处理自己的个人信息；另一方面，对于未经同意擅自收集和处理个人信息的行为也愈加敏感。
随着个人信息保护制度从规则体系到落地执行各个环节的完善和压实，各种违法违规收集个人信息的行为都受到比较严格的监管和控制。整体上，用户在个人信息保护方面的安全感得到明显提升。
不过，也有一些争议和疑问，在公众视野中时不时被提起并引起关注。比如所谓App“监听”问题，由于部分用户使用过程中，产生了是否被手机等终端上安装的App“监听”的疑虑，媒体也时常就这些问题展开报道，从而引发多轮关注和讨论。
对于App“监听”的担忧，背后反映的是用户信任的底层问题。
一方面，从用户体验看，存在对于“聊什么，就给推什么”的直观感受，例如在跟家人、朋友聊完出行计划或购物计划之后，内容类App就开始推送相关内容，电商类App开始推荐相关商品或服务，旅行类App开始推荐相关机票和酒店等。这就导致用户对于App是否在监听自己谈话产生怀疑。
另一方面，作为个体，用户的确缺乏足够的信息和专业能力，对于手机软件或者硬件是否在监听进行检测、评估，十分需要借助专业、权威的观点和验证手段来判断，否则就很难形成足够的信任感。而且，公众之所以对于App“监听”问题如此关注和警惕，正是因为日常交谈往往包含大量私密、敏感的个人信息，未经告知、悄无声息的持续监听行为，不仅是明确的违法和侵权行为，后果严重的还需要承担刑事责任。
当然，在媒体报道中也可以看到很多来自业界和专家的观点，认为App监听既不现实，也不经济，不具有实际上的可操作性。对于这些观点，不少用户还是抱有将信将疑的态度。从公众信任角度来说，还是需要提供更加具有科学性、权威性、可验证的证据和论证过程，给出清晰明确、令人信服的观点和结论，从而更加充分的消除信息不对称，同时能够使得用户获得较为便捷而可靠的识别和验证手段，重塑用户的信任度和安全感。
从这个意义上说，中国网络安全产业联盟（CCIA）数据安全工作委员会、中国企业报财经研究院等行业组织、媒体智库单位联合启动，并由中国电子技术标准化研究院网安中心测评实验室具体实施的《手机防御系统下的App超限录音与识别可行性实验报告》（下称“实验报告”），有望在建立公众信任方面发挥提供科学支撑的作用。
监听实验报告证明了什么？
实验报告从三个层面对涉及手机监听的技术条件和系统情况进行了测试，在较为全面而缜密的实验步骤基础之上，给出了辨别手机系统是否在进行监听的判断标准。最终得出结论，在现有的手机设备系统条件下，移动App想要在不被察觉的情况下实施公众所怀疑的持续监听行为，并不具有技术上的可行性。
实验一测试了手机在被“监听”中出现的物理反应，发现在“监听”状态下，手机电量下降速度较快，其耗电速度相较于正常情况会加快约27%。并且CPU和内存消耗较多，CPU占用均值增长27.5%。在实际使用中，如涉及其他App同时运行，手机耗能将更明显，出现发热发烫的可能性很高，“监听”行为通常难以在正常使用状态下隐藏。也就是说，用户可以通过对于手机使用过程中的状态，自行识别是否存在可疑的“监听”。
实验二测试了常用手机系统在 App切入后台后防止“监听”的功能，发现手机在麦克风权限被调用时，以及被持续的调用过程中，均有提示标志，通常会以亮点方式提醒用户，并且会在进行“监听”的App转入后台运行后，启动“一分钟切断”的机制。也就是说，现有的常用手机系统已经采取了相应的提醒和防范“监听”的机制，用户可以通过观察是否存在“亮点”提示的方式，方便快捷地识别是否存在“监听”的可能。
中国电子技术标准化研究院网安中心测评实验室副主任何延哲
实验三测试了手机操作系统对于“监听”相关的权限控制，发现麦克风只能被当前位于前台的App或者最后一个使用的App占用，也就是说，无法实现两个App同时录音，亦即无法实现多款App同时“监听”的情况，因为同样会受到手机操作系统“后台一分钟切断机制”的限制。
在比较严格、严谨的实验条件控制下，由技术专家展开的实验和测试，通过实测数据展现了App实施“监听”的技术过程和实际效果。这些过程通过专业的设计和可回溯、可验证的步骤，充分披露了测试原理亦即相关信息和数据。这一方面展现了“监听”和非“监听”情况下手机硬件和软件的不同表现状态，将测试实验的原理进行充分展示，有助于用户了解实验过程和机理；另一方面也以简洁明了的方式向用户展示了如何方便、快捷地对手机App是否调用麦克风、录音功能从而实施“监听”的可能性，便于用户自行识别和判断。
实验结论不仅具有相当的科学性和专业性，也保持了测试过程的透明度，使得实验存在可还原性和可验证性，也可以在其他场景下参照实验设计进行设计，同时也为用户了解原理和自行测试提供了信息和工具，有助于用户建立对于App使用的安全感和信任感。
实验报告还指出，除了技术上不具有可行性，持续“监听”，并据此展开数据分析的行为，对于App运营者来说也是一桩“不合算”的买卖。
一方面，监听行为会导致非常严格的法律责任，包括刑事制裁。冒着重大法律风险实施“监听”，目的只为实施精准营销，这一行为不符常理。
另一方面，正如其他业内专家指出的，持续无目的“监听”处理的数据量级超乎寻常，即使不考虑违法成本，单纯从商业收益和成本角度来看也极其不合算。
以智能语音行业某头部公司的语音转写成本为例，市场售价为10元/万秒，服务成本2元/万秒。假设App每天有效监听1小时，监听成本0.72元/人日，日活1亿的App每日成本达到 0.72亿元，一年成本就为263亿元，而如果按照每天监听24小时来算，每年成本更是高达6307亿元。如此高昂的成本，决定了现实中难以有哪种商业变现模式能以“监听”产生收益。
共建用户信任防火墙
随着新技术新业态的不断涌现，用户的隐私安全和个人信息保护，虽然在法律上主要依托于用户知情同意的授权机制，但是，从公众到专家都意识到，隐私和个人信息的收集和处理依托复杂而专业的技术过程，缺乏专业知识和技能的用户很难充分了解其中的技术细节。
在大多数情况下，App的合规情况通过政府建立的监管和执法机制来进行，相关政府部门通过常态化的检查、抽查、评估、测评等方式，对于企业的数据安全合规进行督促和监管，并对违法违规行为进行处罚，后果严重的还可以追究刑事责任。与此同时，用户也可以通过向法院提起侵权诉讼，主张自己的个人信息被侵害，但如何从更多维度去打消对App“监听”的误解与忧虑，依然值得业界探索。
对于App“监听”的怀疑，正是源自信息不对称带来的用户安全感缺失。通过具有权威性的专业机构的专家团队提供第三方的技术评测报告，能够为用户提供客观、科学、透明的评测结果，并且为用户提供自行辨别的方法和手段，既“授之以鱼”也“授之以渔”。
因此，在实验报告的支撑下，用户既可以消除安全使用环境下的疑虑，放心使用相关服务，也可以在出现未授权“监听”情况下进行有效识别，并采取相应的保护措施。实验报告对于App“监听”疑云的破除，起到了正本清源的效果。此类专业技术测评机制，有必要成为隐私和个人信息保护领域的常态化机制，既可以为用户自助维护权益提供基础，也可以成为相关部门展开监管和执法的重要参考。
作者为中国社会科学院大学互联网法治研究中心主任
