Privacy Violation: Android Internal Storage

对机密信息（如客户密码或社会保障号码）处理不当会危及用户的个人隐私，这是一种非法行为。

Privacy Violation 会在以下情况下发生：

1. 用户私人信息进入了程序。

2. 数据被写到了一个外部介质，例如控制台、file system 或网络。

在这种情况下，数据使用 SharedPreferences类保存在物理 Android 设备上。

例 1：下列代码用 Android 的 SharedPreferences 类存储用户首选项。在存储的其他值中，用户提供的 password 以明文形式存储在设备上。

SharedPreferences userPreferences = this.getSharedPreferences("userPreferences", MODE_WORLD_READABLE);
SharedPreferences.Editor editor = userPreferences.editor();
editor.putString("username", userName);
editor.putString("password", password);
...
editor.language("language", language);
...

虽然默认情况下 Android 的 SharedPreferences 实例是应用程序专用的，无法由其他应用程序访问，但对该设备进行物理访问时可能会允许访问这些文件。此外，在Example 1 中，如果将模式设为 MODE_WORLD_READABLE，则会使首选项文件可供其他应用程序使用，从而会进一步侵犯用户隐私。

虽然许多开发人员认为 file system 是存储数据的安全场所，但是不应对其予以绝对的信任，特别是在涉及到隐私问题时。

可以通过多种方式将私人数据输入到程序中：

— 以密码或个人信息的形式直接从用户处获取

— 由应用程序访问数据库或者其他数据存储形式

— 间接地从合作者或者第三方处获取

通常，在移动环境下，此私人信息除了包括密码、SSN 和其他常规个人信息之外，还包括以下信息：

- 位置

- 手机号码

- 序列号和设备 ID

- 网络运营商信息

- 语音信箱信息

有时，某些数据并没有贴上私人数据标签，但在特定的上下文中也有可能成为私人信息。比如，通常认为学生的学号不是私人信息，因为学号中并没有明确而公开的信息用以定位特定学生的个人信息。但是，如果学校用学生的社会保障号码生成学号，那么这时学号应被视为私人信息。

安全和隐私似乎一直是一对矛盾。从安全的角度看，您应该记录所有重要的操作，以便日后可以鉴定那些非法的操作。然而，当其中牵涉到私人数据时，这种做法就存在一定风险了。

虽然私人数据处理不当的方式多种多样，但常见风险来自于盲目信任。程序员通常会信任运行程序的操作环境，因此认为将私人信息存放在文件系统、注册表或者其他本地控制的资源中是值得信任的。尽管已经限制了某些资源的访问权限，但仍无法保证所有访问这些资源的个体都是值得信任的。例如，2004 年，一个不道德的 AOL 员工将大约 9200 万个私有客户电子邮件地址卖给了一个通过垃圾邮件进行营销的境外赌博网站 [1]。

鉴于此类备受瞩目的信息盗取事件，私人信息的收集与管理正日益规范化。要求各个组织应根据其经营地点、所从事的业务类型及其处理的私人数据性质，遵守下列一个或若干个联邦和州的规定：

- Safe Harbor Privacy Framework [3]

- Gramm-Leach Bliley Act (GLBA) [4]

- Health Insurance Portability and Accountability Act (HIPAA) [5]

- California SB-1386 [6]

尽管制定了这些规范，Privacy Violation 漏洞仍时有发生。