QQ「读取」用户历史记录,我们可以怎么办?

事件概要

1 月 16 日,V2EX 网友 mengyx 发帖称,电脑中的火绒检测到 QQ Windows 版存在读取浏览器记录的行为,次日,看雪论坛网友 qwqdanchun 对 QQ、TIM Windows 版进行行为分析,情况成功复现。

对此,腾讯方面回应称,读取浏览器历史用以判断用户登录安全风险的情况,判断是否恶意登录,所有相关数据不会上传至云端,不会储存,也不会用于任何其它用途,并推出更新,移除相关代码

具体过程可参考火绒安全实验室发布的文章《关于“QQ读取浏览器历史记录”,我们的查看结果》

解决方案

企业圈地为王、「造福」用户此类事件我们已经见怪不怪了,当面对软件在未经授权的许可下,访问用户隐私,我们可以怎么办?

对于个人用户,可以使用具备自定义防护策略功能的安全软件进行拦截,如火绒、ESET 与卡巴斯基,亦或是使用沙箱类应用、虚拟机进行隔离运行。企业中如有使用终端安全管理系统,则可以由 IT 管理员统一分发防御策略。

使用安全防护软件

1、下载、安装火绒安全软件

下载地址:火绒安全

火绒安全软件

火绒安全软件

2、打开安全设置

进入「安全设置 - 高级防护 - 自定义防护

安全设置 - 自定义防护功能

安全设置 - 自定义防护功能

3、下载、导入防护规则

  • 皮皮酱:仅对 AppData/History 目录进行防护
  • tutugreen:防护覆盖更完整,但敏感度偏高,有一定误触的概率

下载后在火绒中导入规则。

导入规则

导入规则

4、启用规则

点击上方的「立即启用」。

启用规则

启用规则

使用沙箱、虚拟机

借助 Windows Sandbox 功能、Sandboxie 沙箱应用或者是虚拟机,同样可以实现隔离运行,避免隐私窥探、后台驻留程序等安全风险。

Windows Sandbox

Windows Sandbox

Sandboxie Plus

Sandboxie Plus

Windows Sandbox 功能与 Sandboxie 的安装教程,可参考文章《给毒瘤应用找个好去处,轻量、易用的 Windows 沙盒工具:Sandboxie》

需要注意的是:

  • 部分软件设置有虚拟机检测机制,可能存在无法运行的情况;
  • Sandboxie 已停止更新并转向开源,可使用由社区维护更新的 Sandboxie Plus (GitHub 仓库地址);
  • Windows Sandbox 功能无法永久存储文件,一旦沙箱被关闭,文件会被立即销毁,无法恢复;

一些碎碎念

沙盒机制

目前 UWP 版 QQ 已变更为 Win32 转制版,与官网版相比少了 QQProtect.exe 这一驻留程序,可以考虑使用 UWP 版替代官网版,从而避免后台驻留程序。

即便是经过沙盒化的 UWP 应用,仍通过 Win32 Bridge 进行沙盒逃逸,进而可以读取、修改用户电脑上的注册表、文件。Microsoft UWP 类应用与上架至 Mac App Store 的应用均有采用 Sandbox 机制,应用仅能允许在容器之中。

但 UWP 应用无论是在商店上架审核亦或是防护功力上都弱于苹果,在 macOS 中,如果应用需要读取容器外的文件,需经过用户许可获得磁盘访问权限,亦或是借助外部辅助程序。

而在 Win32 应用,部分厂商会通过后台驻留程序来「保证用户程序运行安全」,如 AlibabaProtect.exeBaiduNetdiskhost.exeQQProtect.exeQyKernal.exe 等。但不少网友们发现,这些后台驻留程序运行时,电脑会出现 CPU、内存与带宽高占用的情况。在运行时后台驻留可以理解,那如何解释用户退出主程序后还保持驻留状态呢?小企鹅能有什么坏心思呢(嗐

监管上

事实是否正如声明所说的「仅用于判断安全风险」,作为普通用户的我们不得而知,不使用 QQ 对于我亦或是是大众而言,有一定困难。但是用户见招就拆,官方逢谣便辟,并不是一个有效的解决方案。从长远发展的角度而言,只能依托法规约束、强力监管、高额处罚。

GDPR 上线以来,已开出 489 张罚单,共计 2.29 亿欧元罚款(数据来源于 PrivacyAffairs),一些发布有海外版的国内软件,还为欧盟用户提供了清晰明确的隐私保护措施,比如微信,具体情况可参考文章《对于微信「隐私政策」的一点小的发现》

《网络安全法》、《民法典》

《网络安全法》、《民法典》

先前颁布的《网络安全法》、《个人信息保护法(草案)》与今年年初生效的《民法典》,在法律层面上一定程度上保障了用户的权利。但在未来,它们是否能够有效规范企业与个人信息的处理流程、构建好个人数据保护与网络安全的护盾,以及给侵害用户权益的行为当头一棒,仍有待观察与探讨。