互联网用户隐私保护策略初探

1. 互联网用户隐私保护策略
弦
dan.liu@renren-inc.com

2. 摘要
• 背景介绍
• 隐私定义
• 泄漏原因和途径
• 泄漏举例和策略
• 隐私保护攻守博弈
• 隐私保护产品赏析

3. 背景
从 GOOGLE 最新推出的隐私策略中我们是否看
见了什么？
“ 今天，我将关闭我的谷歌邮箱账户，我还将
把默认搜索引擎（从谷歌）改为必应 ……” 2 月
29 日 , 福布斯网站资深撰稿人大卫 · 库西在一
篇文章中写道。

4. Google 为什么会对隐私策略调整？
设备
信息 定
精 制
准 化
广 搜索 缓存 个
告 兴趣模型 Cookie 性
投 历史 服
放 务
位置
信息

5. 大规模帐号泄漏
大规模帐号泄漏事件曝光的背后
• 互联网帐号泄漏事件，是积蓄已久的安全问题的
明朗化
• 迫使互联网企业提升安全保护策略防止事态发展
恶化
• 利益链条驱使信息窃取者大范围的盗取截获用户
的帐号相关信息

6. 信息的价值
• 信息被健康的使用
– 利用全面的信息对用户建模，分析用户行为，获得用
户的行为特征，对用户的消费行为进行导向
– 利用用户模型为用户提供增值消费服务
– 销售基于信息的平台服务 : 为商家提供供销平台
• 信息被盗后贩卖的价值
– 贩卖用户资料到推销公司从中获得利益
– 窃取信息进行诈骗和金融盗窃
– 根据信息盗取虚拟货币进行贩卖

7. 隐私信息 健壮的隐私保护体系
增值服务 广告
信息贩卖诈骗
合法互联网厂商
非法数据获取
隐私信息
完善安保策略

8. 隐私定义
• 狭义
– 个人资料
• 联系方式
• 朋友关系
• 私人信息：
– 个人银行信息
– 个人兴趣爱好
• 广义
– 信息 : 散落在互联网各个角落的数据
• 上述隐私数据
• 访问痕迹数据
• 网络遗留数据

9. 隐私泄漏的原因
非法 黑色产业链收集隐私
获取 学习研究目的收集隐私
产品 产品设计缺陷
缺陷 程序存在安全漏洞
意识 用户忽略隐私泄漏
薄弱 产品设计者缺乏安全意识
存储 传输过程不安全
传输 存储方式不安全

10. 隐私泄露途径
• 不安全的传输、存储、展现
– 数据非加密传输
– 存储环节存在诸多逻辑和物理漏洞
– 缺乏全面的安全产品意识，导致用户隐私信息
泄漏

11. 隐私泄露途径
• 用户隐私意识薄弱
– 忽视数据在互联网的残留
– 无视程序和产品对自己隐私信息的收集
– 隐私信息被恶意收集者采用欺诈的方式收集

12. 隐私泄露途径
• 隐私收集者的收集手段
– 利用漏洞入侵互联网产品
– 通过搜索引擎进行收集 : 遗留在角落中的数据
– 通过恶意危险程序收集 : 客户端程序收集
– 恶意收集爬取用户的数据 : 数据抓去程序，云抓取

13. 隐私泄漏举例
• 云存储服务
– 各种存储用户信息的云服务 : 云笔记 (evernote) ，云引擎 (SAE,GAE)
• 移动设备信息
– LBS 位置泄漏 : 谷歌纵横，签到应用，交友应用
– 设备丢失造成的泄漏
– 恶意终端程序收集信息 : 绕过智能手持设备，收集用户信息
• 传统互联网产品
– 社交产品信息泄漏：安全意识薄弱导致的泄漏
– 第三方应用信息泄漏 : 未授权的应用收集用户行为和爱好
– 搜索引擎对用户信息的存储和索引
– 用户的浏览记录，网页浏览习惯
– 服务器遭受入侵导致泄漏 : 某大型网站数据库被窃取并公开
• 恶意程序收集
– 桌面程序的恶意扫描收集 : 某些程序扫描本地硬盘内容

14. 隐私保护 - 攻和守的博弈
• 互联网厂商安全体系
– 完善的产品安全策略
– 健壮的数据监控保护系统
– 全面的数据安全使用规范
– 提供灵活、开放、全面的隐私管理功能
– 提供隐私保护相关的设备、工具、方案
• 互联网用户的安全意识
– 提醒用户隐私泄漏的危害
– 教育用户习惯保护自己的隐私
• 相关司法条款
– 相关部门制定隐私保护条例

15. 产品安全策略
• 对产品进行隐私数据评级
– 数据种类评定 : 何种数据将被使用
– 数据展现范围确定 : 好友可见 , 特殊人群可见，悄悄话
– 数据的价值判定 : 是否是核心数据 ( 帐号密码联系方
式)
– 保护开关机制 : 随时可以切断数据供给
– 数据的分发途径 : 何种业务线会使用
隐私数据分类评级！

16. 数据使用规范
• 根据级别制定严格的使用规范
– 明确不同数据的作用域 : 禁止数据跨域展示
– 限制数据的流通渠道 : 特定的数据只能存在于特定业务
– 数据泄漏黑盒白盒检查 : 需要对产品进行数据泄漏检测
规范化的泄漏检测流程！

17. 数据监控保护系统
• 数据调用监控机制
– 监控接口调用量异常
– 监控数据的被调用途径
• 数据调用保护机制
– 规范权限控制接口
– 低耦合的数据供给切断功能
– 数据访问控制
– 框架拦截机制
运用完善的架构和机制！

18. 隐私管理功能
• 将完善的隐私保护接口呈现在用户面前
– 灵活 : 保护级别和范围的灵活控制 ( 黑白名单机制 )
– 开放 : 用户完全自己定义数据的展现程度
– 全面 : 覆盖各个业务线
– 细致 : 业务区分明确 , 低耦合（开放平台 , 内部调用）
– 透明 : 用户可以下载自己的数据集合 (Google Facebo
ok)
– 帐号关闭功能
开放的态度进行信息保护！

19. 隐私保护的设备和方案
• 密码保护策略 多
– 密保问题 级
– 冗余帐号 别
• 硬件设备辅助身份认证 的
– 动态口令卡
– 手机身份绑定
保
– 纸质密保卡 护
• 非传统认证保护方式 措
– 基于好友关系的认证 施

20. 用户安全意识提高
• 制定详细隐私保护说明
– 让用户明确产品的安全保护特性
• 曝光用户隐私泄漏事件
– 告警用户隐私泄漏正在时刻发生
• 通过案例教育用户隐私泄漏的危害
– 提高用户的危机意识，认识泄漏的危害
• 产品设计阶段加入醒目的隐私保护提示
– 用户在使用中学习隐私保护

21. 相关司法条款
泄
• 从法律层面进行限制 露
– 数据的使用的义务和责任 数
– 数据泄漏惩罚措施 据
• 主观泄露 需
• 客观泄露
要
– 数据窃取的惩罚措施
• 黑色产业链的生产环节
承
– 非法数据消费者的惩罚措施
担
• 黑色产业链的消费者环节
的
– 非法数据流通的惩罚措施 后
• 黑色产业链数据流通环节 果

22. 各个层面的联动监控保护体系
• 面临的对手
– 数据爬取
– 黑客攻击
– 内部泄露
– 业务逻辑漏洞
– 用户自己泄漏

23. 各个层面的联动监控保护体系
• 通过联动体系杜绝
– SDL 引入
• 产品设计阶段 : 制定安全策略
• 产品开发阶段 : 制定数据访问调用规范
• 产品测试阶段 : 针对数据的泄漏和展现范围进行测试
• 产品上线监控 : 针对数据爬取黑客入侵进行监控
– 基础设施支持
• 防火墙
• 用户行为识别系统
• 数据访问监控系统
• 完善的产品上线流程规范

24. 完善安全策略
数据使用规范
用户行为识别系统 产品设计 数据接口监控
在线离线分析系统
框架体系保护
数据分析 产品开发
数据访问监控系统 上线监控 产品测试 功能泄漏测试
统计报表系统 逻辑泄漏测试

25. 隐私保护产品赏析
• Google
• Twitter
• Facebook
• Linkedin
• Tumblr
• Mixi

26. 隐私保护系统
• 定义
– 对社交网站上的用户信息进行保护的相关策略和配套
基础服务
• 作用
– 保护用户的资料
– 为用户提供开放透明的管理机制
• 存在的问题
– 保护体系作用范围
– 网站的结构决定系统的有效性

27. 各大网站特征对比
曝光度
多会 第三 垃圾
帐号 隐私 手机 黑名 资料 联系 App 登录 / 消息
话管 方绑 信息
删除 设置 绑定 单 导出 邮箱 管理 加密 范围控
理 定 屏蔽
制
Goolgle √ √ √ √ √ √ √ √ √ √ √ √
√
Twitter √ √ √ √ 㐅 㐅 㐅 √ √ √ √
Faceboo
√ √ √ √ 㐅 √ √ √ √ √ √ √
k
Linkedin √ √ 㐅 √ 㐅 㐅 √ √ √ √ √ √
Tumblr √ 㐅 㐅 √ 㐅 㐅 㐅 㐅 㐅 √ 㐅 㐅
Mixi 㐅 √ √ 㐅 㐅 㐅 √ √ √ √ 㐅 √

28. 隐私保护分析
• 第三方连接
– 第三方连接的管理
– 第三方隐私控制
• App 控制
– App 应用管理
– App 隐私访问控制
• Spam 控制
– 屏蔽特定来源的信息 :App, 垃圾用户
– 屏蔽特定类型的信息 : 邀请，招呼
– 屏蔽管理功能：管理屏蔽的信息

29. Facebook Application Info
Facebook 针对第三方应用的隐私授权页面

30. Mixi アプリ・ゲームのプライバシー設
定
MIXI 针对应用和游戏的隐私设定

31. Google Application Info
Google 的应用程序隐私设置

32. Linkedin Application Info
Linkedin 对于隐私数据的授权设置

33. Facebook Archive
Facebook 隐私数据打包下载

34. Google 数据备份
Google 隐私数据打包下载

35. Facebook Restricted List
Facebook 消息屏蔽列表

36. Google Account Delete
Google 帐号删除页面

37. Mixi 搜索可见性
MIXI 的搜索可见设置 : 资料和邮箱