Realme 系统疑似在后台偷传应用列表？

[superrichman]

手机是 realme 系统。早上用 burp 抓包测试 app 的时候，无意中发现有请求在后台传应用列表。数据自己看图吧。发送的地址是 `https://api.open.oppomobile.com/security/app-summarys/type` 应该是发到 oppo 的服务器了。从 url 判断也许是安全相关功能。包的内容就是手机上装的应用的包名。

中午尝试用 adb 把所有系统自带的安全相关 app 都删掉。下午重启手机又试了一下，还会往外发这个数据包。



所以这个请求不是某个 app 发的，可能是 realme 系统跑了什么程序直接发到 oppo 服务器上的？

P.S. 上面的请求看上去很多，其实只有两个不一样的请求，每个都发了三四遍。。。是怕 http 请求届不到吗？。。。只有签名之类的数据不一样。目前暂时不知道请求是怎么触发的。

[danbai]

realme 是 oppo 子牌

[pengtdyd]

很奇怪吗？这不是潜规则嘛

[superrichman]

现在只想把这个上传给关了，不知道有没有什么简单有效的办法

[morty0]

换 iPhone

[hidemyself]

语音助手上传的吧

[k9982874]

楼主以为为啥国产手机这么便宜

[processzzp]

@superrichman 试试用用 hosts 文件或者 VPN 应用，把 api.open.oppomobile.com 这个域名拦截了？就是不知道会不会影响其他功能，比如来电归属地和骚扰电话拦截

[docx]

发包名到服务器检测？可能没装反诈也能收到电话就是这么来的

试着 host 到 127.0.0.1 ？

[miaomiao888]

@k9982874 事实上也并不便宜

[calano]

@k9982874 这跟便宜有啥关系

[rb6221]

国产系统是这样的，ubuntu 都会上传东西，oppo 算什么

[liuidetmks]

苹果也传好像

[goodhellonice]

看来安卓机还是得刷机。。。

[AlphaTauriHonda]

不要用有中国背景的系统，Android 只能换 AOSP 用。如果用中国公司的手机，这类数据和隐私是完全没有办法保障的。

简单的方法就是碰都不要碰，买到只能换成 AOSP 。

[Buges]

@AlphaTauriHonda 强调一下基于 AOSP 的 FOSS ROM 也需要包含厂商提供的 vendor blob ，最保险的还是买 pixel 机。
当然，应用列表这种东西 Google 也会上传（ play protect ），微信等应用也会上传（不过现在高版本 target API 无法获取全部 app ）。
一般来说安装的应用列表不算隐私，Linux 发行版也有 pkgstat 。但要考虑威胁模型，你可能不希望某些特定机构知道你在使用某些可能会导致你 jailed 东西。

[AlphaTauriHonda]

@Buges 是，就算是刷 AOSP 也不会把作为驱动的 Vendor Blobs 删掉，换成开源的驱动。
估计大部分手机的中国版和国际版 ROM 的 Vendor Blobs 没有区别，除非用不同的硬件。
要是有区别那应该是为了让你换成 AOSP 也要想办法搞你的隐私了。

[AlphaTauriHonda]

@Buges 没办法，刷 AOSP 起码安全一点。实在不行换成 AOSP 再重复原来的方法看看还会不会连接 oppo 的服务器，上传隐私。

[AlphaTauriHonda]

看了一下 api.open.oppomobile.com 的 DNS 解析。
全世界都是上传到北京的 oppo 服务器，除了印度。先换成基于 AOSP 的系统再看情况有没有改善吧。

[shyrock]

@goodhellonice #13 刷成啥 rom ？除了原生 android ，其他各种三方 rom 刷上去都是驱虎吞狼而已。。。

[learningman]

手机有 root 的话，netstat 看看是哪个 pid 发的试试

[felixcode]

楼上那些说 iPhone 的，都不知道 iPhone 连周围路由器和其它手机的 mac 地址连同 GPS 坐标一起传回苹果服务器吗？
连同着周围的 Android 手机一起祸害，而且还关不掉。
https://www.reddit.com/r/privacy/comments/v624di/apple_tracks_you_even_if_you_dont_have_apple/
https://www.scss.tcd.ie/doug.leith/apple_google.pdf

[ronman]

@AlphaTauriHonda 所有的品牌都会，只是说数据交给谁的区别，当然交给外人应该要好点

[Buges]

@AlphaTauriHonda “国际版”根本不代表任何东西。一般这种统计类的功能都是 system 做，但是 vendor 中的间谍行为只要有那绝对是 non-trivial 的。

[ZegWe]

@Buges 既然都是侵犯隐私，又何来的交给外人好一点这一说

[yanyumihuang]

@felixcode 真就没一个好货

[goodhellonice]

@shyrock canogenmod LineageOS 或者 国内厂商出品的国外版本的 ROM ？
一直在用 iPhone 。。。对安卓不是很了解，不知道上面说的还更新么

[monkeyzsf]

@ronman 鬼子来了，赶紧把你家花姑娘交出来吧哈哈

[wipbssl]

这两天推上讨论的人挺多的，相对于谷歌，苹果上传的数据量比较少，但是上传的种类更多，只能说不要相信巨头对于隐私的承诺

[Buges]

@ZegWe 不是交给什么人好，而是什么实体取得了你的什么信息会对你个人人身安全造成威胁。
比如外国人想发表种族歧视或反人类言论来可以国内平台，能充分保障他的言论自由和言论后的自由。

[cat9life]

潜规则？

[arvinsilm]

@felixcode 那个，你上面只有一个说换 iPhone 的。。。。

[AlphaTauriHonda]

@Buges 说到点子上了。用给北京服务器上报隐私的系统实在不太明智。

[fonlan]

其实都一样，苹果也有你的应用列表，否则没法给你提供应用更新，安卓同理，否则 Play 商店没法给你提供应用更新

[hefish]

苹果有列表也许是正常的，realme/oppo 有列表就是不正常的，我滴设备我要做主滴，这个是隐私数据。。。咳咳。。。[doge]

[hello2090]

@ZegWe 就像如果你的裸照丢了最好丢在国外而不是丢在小区或者公司门口？

[taobibi]

realme 这行为有点跟不上时代吧，记得 4 年前就有新闻爆料国内的 ota 升级公司有这个行为了

[AlphaTauriHonda]

@hello2090 哈哈哈哈，好直白的说法。

[chotow]

苹果上传应用列表，没人找我事
国产安卓上传应用列表，我可能会接到某中心的亲切问候
综上，我选择上传给苹果，至于楼上大神们提到的隐私，罢了，众人裸奔的互联网时代

[wsseo]

@hello2090 就像如果你弄丢了重要文件，最好丢在小区或者公司门口而不是丢在国外。
你果照久在国内丢了，别人也不敢随便传播，分分钟请喝茶。在国外丢了，别人可能勒索你，威胁你，你却不能怎么样。

[woyaojizhu8]

@janus77 ubuntu 会传什么？能具体说说吗

[fhbyljj]

@felixcode 你没抓住重点，其实只是担心某中心的亲切关爱

[FightPig]

怎么有人觉得 ip 不上传？国外的不上传？以前刷机我都是自己做 rom ，现在实在折腾不动了，爱怎么怎么的吧

[AkideLiu]

座机应该不至于上传数据了吧

[TAsdd]

有能力的还是尽量刷类原生，xda 上很多，我现在用的就是印度老哥魔改的 lineage

[hello2090]

@wsseo 不是很懂，听说小到丢了自行车大到存银行的几百万不翼而飞都没人管，你确定所谓你的重要文件丢了会有人请喝茶？喝茶一般不都是请翻墙的人吗？

[Lightbright]

@wsseo 哈哈，你别逗我笑

[dingwen07]

@liuidetmks #12 苹果需要传吗。。。每次下载应用都要服务器根据你的账户和你的设备签名。。。

[Zy143L]

其实不止系统 广告 SDK 也是这样子的
参考某光推送 某盟 之前抓包的时候发现了
就挺恶心的 所以说 哪里需要反诈 APP 上传 APP 名单啊
各大 SDK 早把你扒拉干净了

[nicevar]

没有哪个系统不干这事的，这样说起来 chrome 更恐怖，几乎记录了你的所有浏览操作，包括时间地点及浏览页面，全部存储在服务器上，拿到一个人的 gg 账号能看到它几乎所有操作。

[bsfmig]

@ZegWe 因为美国的司法系统不大可能跨境找你（一般来说是普通中国公民）的麻烦，除非国际形势发生更重大的颠覆性变化。为了个人的信息安全，适当利用敌国的信息技术基础设施是自我保护的一个有意义的办法。

[luckyc]

解决方法就是换 iPhone.

[cpstar]

天下乌鸦一般黑，国外的就比国内的白？ GDPR 一样该罚的罚，但同时遇到 ZZZQ 也是选择性处理，至于人类毒瘤的社交软件更不用说了。自由？不存在没有条条框框的自由。

[titanlpy]

@ronman 典中典

[bsfmig]

不存在没有条条框框的自由，但是东亚大陆的问题是接近于没有自由（特别是政治自由）。
这都不是五十步笑百步了，这是五步笑五十万步。

[soraginko]

见怪不怪了

[wangkun025]

@soraginko 见惯不怪

[wallbreakerno4]

@goodhellonice LOS 还是在更新的

[nguoidiqua]

一群人讨论哪里乌鸦更黑，我也是笑了。

这不是哪里乌鸦黑的问题，是哪里乌鸦可以搞你的问题。

你在内，那外面乌鸦不太可能进来搞你。你在外，那内里的乌鸦不太可能飞出去搞你。

[nguoidiqua]

还有人开口就 iPhone ，iCloud 都给你备份应用及应用数据了，你说它上传不上传应用列表。

这种事情是这个年代无法避免的，除非你用 PinePhone Librem 什么之类的，但说实话这些手机能不能保证不上传我也不是很有信心。

不要在这上面纠结，重点从源头控制。如果手机不放自拍照就不用担心手机泄露自拍了，不装应用就不用担心上传应用列表了，重点就是不要依赖手机。你其实不需要在手机上搞那么多东西，真的。

[zxxufo008]

一边在说换 ip ，一边在说赶紧润。也不知道是不是一拨人

[wangtian2020]

楼里有些果子用户也太双标了，我也没见 jc 来找我安卓用户啊
上传就上传呗，被迫害妄想症

[Kasumi20]

Big 胆！居然敢装电报！

[mond30081989]

1.厂商侵犯用户隐私肯定不对，大厂小厂其实都有；
2.都 2022 了，部分果粉怎么依然信奉苹果的 shi 都是香的，刘海屏那么丑的设计都沿用 N 年不改，太垃了；
3.那些想 run 的赶紧圆润地离开吧，整天搞得要亡 guo 似的，负能量满满的卢瑟。

[uyoungco]

@fonlan ???不获取你是不是阅读理解不过关？更新和上传应用列表有啥关系，不上传也可以更新啊

[shabbyin]

这贴里的部分评论是人能写出来的吗？
国外侵犯隐私，可以
国内侵犯隐私，不行
太双标了啊朋友们

[zxcslove]

就说一种可能啊，云服务备份应用也是需要应用列表的。

[loryyang]

这个是个挺普遍的行为，好多 app 都会捞用户的 app list

[yinzhili]

@mond30081989 没办法他们虽然没有美股账号但已经是 APPL 精神股东

[DoveAz]

@shabbyin 国外拿到你的非法 app 列表，没有任何后果，北京拿到，那你就可能被训诫

[Shorekeeper]

对于这类行为，我个人的标准是分级处理
安全——根本没有涉及隐私的联网行为（例如 Debian Server 版）
行为不端——可能危害信息安全但没有实际证据（例如深信服 EasyConnect 给自己签发了个全用途的证书）
一般违规——未经用户许可获取隐私信息并上传（例如阿里的一堆 App ）
严重违规——获取隐私信息并非常明确地用于对用户不利的用途（例如反诈获取敏感 App 信息导致用户被有关部门骚扰）

它最多也就到一般违规，能避免尽量避免。

Apple 获取应用列表的行为**可以**另当别论，因为 Apple 设备在没有越狱的情况下，可安装的 App 是由 Apple 决定的，但也应当考虑其数据可能传输给国内数据中心（虽然可能不一定那么容易拿到）。

信息安全对个人的影响一定是需要考虑的，不是“国内侵犯不行国外就可以”，是“人在国内，国外就相对宽松；人在国外，国内就相对宽松”，因为我们大部分人没有精力和能力完全保证自己不用任何在线服务 /有泄露风险的设备 /系统。让自己的信息尽可能被更不容易影响自己的组织拿到是能做到的“折中”的办法，确实不“公平”但没有能力范围内的更好方案。

[Shorekeeper]

这个功能本身也有点“牺牲隐私安全换取便利性”的意味，也是一种比较偷懒的解决方案。

[bsfmig]

@SunsetShimmer 实际上近期 AAPL 把 PRC 区账号的 iCloud 迁移到 icloud.com.cn ，我认为是一个好的 Move 。因为这消除了用户到底是归属于哪个司法管辖区的疑虑，对 PRC as a nation 不信任的用户从此可以更放心地使用外国区 Apple 账号和 iCloud 服务，尤其是当他们的 Apple 账号是早年从 PRC 区转出的情况下。

[Shorekeeper]

@bsfmig 我还以为早就挪了（“云上贵州”？），如果是域名加 cn 强调的话确实是好的。像微软就不做区分，也不知道具体保存位置（即使换区）。

[jiyan5]

很多应用都有 读取应用列表的权限，和 上传应用列表 是两码事吧？

[bsfmig]

@SunsetShimmer 个人版 OneDrive （和整个微软个人账号服务）没有在 PRC 设置服务器，可预见的未来也不会有。
世纪互联运营的 sharepoint.cn 是 Microsoft 365 for Enterprise 的专有版本，面向各类企业，与个人用户无关。

[Shorekeeper]

@bsfmig 有个例外是 Skype ，似乎是和国内合作的。

[rev1si0n]

不要惊慌，据我所知你用的大部分电商等 APP 都会收集这种东西，这还算隐私？可笑（狗头）
注意：我所说的收集，是直接上传到他们的服务器
既然说了，那我不妨说的明白清楚一些，为了识别你它们可不在乎你的隐私
不仅有这些，你的 APP 首次安装 /更新时间，你的 ifconfig 输出的任何信息，你的同局域网主机（ ARP ）
你的 WIFI 名称 bssid ip ，你的号卡运营商 IME/SI, 开机时间，
你的陀螺仪 /磁场传感器（你想想我能不能推测出你在用什么姿势玩手机？）
太多了我实在列不玩，就这连 1%都不到。
隐私？不会存在的事，某砍一刀尤甚。

[guxin0123]

有没有可能是 应用商店 检测本地应用更新升级

[shabbyin]

@DoveAz
所以国外可以拿？这就是双标的理由？
那北京拿到也不会训诫的话 就可以拿？
你是怎么好意思说出来这句话的

[Huelse]

什么奇葩啊？居然说把数据给外人更好？给数据这件事本身就不对吧？

[muyiluop]

上面不少人说非法应用列表的事情。难道这些人就是在东南亚搞电信诈骗的？不然为啥这么怕非法应用列表？
如果说翻墙软件、电报这下被禁的 App ，那我安装这么久了，为啥没被抓起来？
不说注重隐私的问题，为啥有些人总有被害妄想症？你有什么值得被关注的，请认清现实，你就是个普通人而已，走在大街上都没人关注你的。当然除非你裸奔。

[imsoso]

被害 w 想过度了吧。
手机系统连你手机上装了什么都不知道，还正常吗？
苹果不也一样，只是方式不同而已。

[silypie]

是不是开了桌面云同步之类的

[Zel]

举个印度的例子，对于在印度境内获取到的数据是禁止保存在印度区域以外的

[e3c78a97e0f8]

@shabbyin

哪里双标了？怎么不好意思了？我不想被抓去喝茶在你看来是没有道理的需求？

[bsfmig]

@shabbyin
1.国外我也不希望它拿，但由于国外的法律目前还不能做到禁止拿，那么鉴于国外拿了之后后果不大，可以忍受一下。
2.所谓训诫（这本身就是法外行为）等行为，从来都是在指向公民试图行使国际公认的政治权利、发表言论、结社组党的行为。这些行为在国外是合法合理，受到保护的。
3.从而，违的所谓的“法”，也就不必然正当。抱歉，别国的法是议会提出、公开辩论、表决通过、有合法性审查与诉讼，某些国则完全是定于数名乃至特定一名支配者的意志。

[Chingim]

如果隐私一定要给，我是赞成把隐私给国境外的机构的，而且最好是敌对国家。

美国的用户，可以把隐私给大陆，那样看盗版不会被 fbi 抓。
大陆得用户，可以把隐私给美国，这样手机装翻墙软件不会被请喝茶

[beixiao]

是你用的某个系统 APP 上传的，但是也经过你同意了，隐私协议一般都有声明，你同意了才会上传，清除数据或者卸载之后不打开，应该就不会上传了，现在都要合规的，这个算不得偷偷传

[shabbyin]

@e3c78a97e0f8
@bsfmig
你们俩开心就好
先带着预设立场去看一个东西时，你能得到的只有你想得到的

[bsfmig]

@shabbyin 其实你也是。不过立场这东西是有善恶的。

[Shorekeeper]

用基于本机 VPN 的抓包软件可以确定是哪个 App 吗？可能需要 root 添加自签名证书。

[Torpedo]

apple 的不就是云上贵州么？为啥就变成国外了？

[Shorekeeper]

@Torpedo 非国区账号可能不是云上贵州

[shabbyin]

@bsfmig
是的，我更倾向于从善的角度去看待任何事情
我不会在双方都作恶时倾向于宽恕特定一方
更不会在某一方并未做出实际行动前 通过脑补给其打上更坏的标签
我更喜欢各大 50 大板

[aloxaf]

@shabbyin #65 这怎么双标了，我们的标准非常明确——以拿到隐私信息的一方是否会威胁到自己为标准。

美帝显然不会跨太平洋请我喝茶，所以即使拿到我的应用列表我也不在意。但兔子显然会，所以我不希望被它拿到。趋利避害不是很正常吗？

[imn1]

真无聊，这么点小事居然吵了这么久，大家停一停吧
一起吃口坦克雪糕凉快一下，咦，怎么掉线了？

[系统通知] 数据库已更新，关键词 +1 ，⭕⭕⭕⭕，归入食品类

[bsfmig]

@shabbyin “更不会在某一方并未做出实际行动前"——特定一方的实际行动已经做了接近 73 年，至少至少也是接近 10 年（自 2012 年 11 月起算）了，这么长的时间完全可以得出确定无误的结论。

[zxCoder]

应用列表都不让看？

狗头狗头

[hello2090]

@shabbyin 就像要自由还是要活命，你自己选一个？

[shabbyin]

@bsfmig
73 年
生活在中国，你活得一定很不开心吧