一.背景
第二，隐私泄露问题
在移动互联网时代，智能手机已经成为人们工作生活中不可或缺的工具。2021年8月27日，中国互联网信息中心发布的第48次《中国互联网络发展状况统计报告》显示，截至2021年6月，我国手机网民规模已达10.11亿，较2020年底增长近2175万。中国智能手机持有率提高到96.3%，几乎每人一部智能手机。
智能手机有三大主流操作系统，分别是Android、iOS和Windows Phone。其中，应用范围从基本的社交娱乐、在线查询、移动支付、互联网金融，到教育、医疗、交通等公共服务。移动互联网正在潜移默化地影响着人们的生活和社会形态，但也暴露出越来越多的安全缺陷和个人隐私泄露问题。
得益于App Store严格的审核机制，iOS平台拥有比Android平台更安全的应用环境。然而，由于开发者缺乏安全意识或者没有遵守开发规范，iOS应用仍然存在大量的安全问题，其中隐私问题尤为突出，也更容易被忽视。
根据AppSec-Labs的移动安全报告，在测试的应用样本中，平均每个应用存在9.041个漏洞或缺陷。
如下图所示，移动应用中41%的漏洞和缺陷都是由于隐私信息泄露造成的。同时，OWASP发布的2016年十大移动安全威胁报告指出，十大威胁包括平台使用不当、数据存储不安全、网络通信不安全、认证不安全、加密策略不安全、授权不安全、客户端代码质量问题、代码篡改风险、逆向工程威胁等威胁。
图|移动应用程序的漏洞分布
其中，平台使用不当、数据存储不安全、网络通信不安全、加密策略不安全都可能导致隐私泄露。个人隐私的泄露可能会影响个人生活，但可能会威胁到个人和公司财产。因此，iOS应用的隐私泄露问题受到了高度重视，成为研究的焦点。
第三，法律法规不断完善。
在隐私问题越来越严重的同时，法律法规的要求也越来越严格，比如:
#信息安全技术个人信息安全规范
#中华人民共和国网络安全法
#互联网信息服务管理办法
#《App非法收集和使用个人信息的识别方法》
由于侵犯隐私而被强制移除的应用程序并不少见。但由于产品开发中对隐私问题的忽视，以及第三方SDK的引入，往往会获取未知信息，导致隐私数据上传到其他第三方服务。值得注意的是，开发者往往不会主动获取，但也被发现存在隐私问题。应用iOS隐私检测的必要性越来越明显。
四。隐私检测的现状
在隐私检测中，除了需要保持检测标准更新之外，检测方案是另一大障碍。随着隐私法规的不断更新，隐私检测已经从一开始的静态扫描产品包逐渐发展到今天的动态方案。以下问题一直困扰着市场上的隐私测试提供商。
1.时间成本
由于隐私的特殊性，自动检测无法保证其准确性，例如:
#测试标准:是否明确说明收集和使用个人信息的目的、方式和范围；
#测试标准:收集个人信息时不得诱导或欺骗用户；
如果使用自动检测，会出现判断不准确的情况，往往需要人工重新验证。人工隐私检测耗时较长，需要技术参与，比如HOOK系统API检查调用情况，调试应用获取堆栈等等。
2、检测不准。
隐私检测技术主要分为静态检测和动态检测。
2.1静态扫描
静态检测技术不需要运行要检测的应用程序。通过扫描应用的产品，反编译、反汇编代码、符号、文件信息、字符串等信息，判断是否存在隐私泄露的可能。
静态扫描实现简单，但存在以下问题:第一，当隐私策略有相应的声明时，用户可以在有权限的情况下获取个人信息，但静态检测只能检测应用是否获取了该信息。第二，静态检测中能完成的项目很少，比如有没有隐私策略，有没有个性化关机选项，有没有通知关机选项等等。，所以不可能检测到。
2.2动态检测
调试和分析正在运行的应用程序可以更准确地定位应用程序获取的信息是否符合隐私标准。与静态扫描相比，动态检测可以达到更全面、更准确的检测目的。但作为商业产品，客户提交的IPA包没有模拟器架构，用真机调试时存在安装签名、hook方案、自动化完成度低等问题。
动词 （verb的缩写）简易屏蔽检测方案
测试内容
伊顿iOS隐私检测内容包括以下内容:
01.申请基本信息概述
02.应用程序获得许可信息和许可描述。
03.隐私政策内容的描述
04.收集设备信息、个人信息和敏感数据的时间和频率。
5.应用隐私相关的功能，如个性化推送、账号注销、推送关闭等。
06.三方SDK信息
基于以上基本信息，结合隐私规定进行多项测试。每个测试项目提供测试标准、测试目的、测试结果、整改建议、截图定位等相关信息。，并生成完整的测试报告，例如:
程序特征
易盾的iOS隐私检测服务随着检测标准不断更新，通过大量内外部用户的反馈不断迭代改进。从技术人工检测到完整解决方案，由“静态扫描+动态检测+自动测试”组成。完整的过程如下:
静态检测主要扫描应用二进制文件信息、二进制符号、字符串、配置文件信息、第三方库的引入、资源文件等信息。
动态检测采用真机越狱关闭签名，自动运行应用，自动点击相关功能模块。HOOK方案采用越狱插件模式，功能检测部分采用自动测试方案检测应用功能和描述相关的隐私问题。
方案特征
#检测成本大幅降低，检测时间从3~4小时减少到15~30分钟。并且不需要技术人员参与。
#检测信息更加完善，基于越狱插件的HOOK方案可以满足不同应用的需求和动态库获取信息的检测。
#检测结果更加准确，结合自动化测试能力，大大提高了动态检测的自动化程度。
#用户可以在不考虑签名的情况下提交开发包、临时包、企业签名包和商店包。
基于该检测方案，操作人员在自动输出报告后只需确认部分页面的功能项，不需要参与具体的技术检测内容，大大降低了检测工具的使用门槛。获得检测报告后，用户可以查阅具体的风险项目和详细的整改建议。
不及物动词摘要
我们借助功能强大的手机或终端设备处理日常事务，这些设备中存储了大量的个人信息、行为数据和隐私数据。在用户不知情的情况下，iOS应用可以访问照片、通讯录、地址位置等信息。类似的行为是否符合用户的意图，就是隐私安全，影响到隐私的合规性。
《个人信息保护法》颁布后，定期开展APP侵害用户权益专项整治行动。无论是监管部门的专项整治行动，还是越来越严格的上架审核要求，都意味着iOS应用应该具备隐私保护能力。
