WhatsApp引出的隐私泄漏风险
刚被Facebook收购的WhatsApp最近可谓是不太平。安全服务厂商DoubleThink公司3月13号称，Android版WhatsApp中存在加密漏洞，允许另一应用访问并读取所有用户的聊天记录。尽管WhatsApp对Android版本进行了大的更新，但该漏洞仍然存在。导致漏洞的是因为Android版的WhatsApp聊天记录被存储在手机上的SD卡内，只要用户授权其他应用访问这些数据，这些聊天记录即可被任何Android应用读取。
Android的SD卡存储在 /sdcard 目录，仔细观察该目录权限设置，发现SD卡权限是777，也就是说，任何APP都可以读取其他APP保存在SD卡的文件。联系到前文说到恶意软件那么多，保存在SD卡的用户敏感文件就很危险了。
而刚刚结束的315晚会里所曝光的大唐神器，就是这么一个会盗取用户隐私数据的“神器”。一旦你的Android手机连接上这个神器，就会被强制安装上各种恶意APP，这些APP利用诸如上文WhatsApp的信息泄漏漏洞，来盗窃你手机上的隐私数据。而大唐神器仅仅是冰山一角，根据手机管家的报告：在Android上截获的木马中，超过15%会去窃取用户手机中的隐私。
众多APP的隐私信息何去何从？
1. 将数据库和敏感信息文件存入手机私有目录
Android系统的安全模型告诉我们：在默认权限下，任何 APP都无法窃取其他APP私有存储区域的任何数据，谈何隐私窃取。因此，简单的将隐私数据从SD卡移入到APP的私有存储区域即可基本的解决隐私泄漏风险。
不过这个简易的解决方案，却存在以下几个问题：
- ROOT风险：在已ROOT的Android手机中，任意APP只要取得了ROOT权限，就可以绕过Android的安全模型，随意读写任何数据。而根据DCCI的数据，超过了20%的Android手机都已经被ROOT
- 手机内置存储空间有限：鉴于Android系统的设计，APP的私有存储区域位于手机内置存储中。而大多数的手机内置存储空间很有限，无法存下庞大的图片或者视频文件。隐私数据往往迫不得已被放到不受保护的SD卡中。
2. 加密这些隐私数据
在敏感数据存入数据库或者文件之前，对其进行加密，需要从数据库中取出使用前，再对其进行解密。
这个解决方案能解决隐私信息保护的问题，但是却给APP带来了可观的修改成本。
