“蹭網”軟件走向規范化？自家網絡“被自愿”分享引擔憂 工信部調查“蹭網”軟件

　　自2014年始，各手機應用商店上線了一系列有WiFi免費分享和輔助連接功能的軟件，可幫助用戶在不知曉網絡密碼的情況下連接并使用一部分已被分享出來的網絡；此外，一些網頁瀏覽器本身也搭載了WiFi輔助連接功能，記者嘗試用某款瀏覽器登錄一個陌生網絡，幾秒鐘后便連接成功。

　　隨著人們越來越注重個人信息保護，“蹭網”軟件引發了越來越多網民的擔憂。

　　日前，工信部宣布將對“WiFi萬能鑰匙”“WiFi鑰匙”等具有免費向用戶提供他人WiFi網絡功能、涉嫌入侵他人WiFi網絡和竊取用戶個人信息的移動應用程序進行調查。

　　“工信部在這個時間點對這些已存在多年的‘蹭網’軟件進行調查，背后的原因在于有關部門希望行業的發展更加規范。此外，由于《網絡安全法》的誕生，相關部門也有法可依了。”網絡服務商邁外迪CEO張程對《中國經濟周刊》記者分析說。

　　告知不充分，網絡“被自愿”分享

　　工信部發布公告后不久，被點名的“WiFi萬能鑰匙”回應稱，公司“一貫尊重并保護用戶的隱私，獲取的用戶信息均在國家法律允許的范圍之內，須經過用戶同意”。“WiFi萬能鑰匙”表示，公司一直強調由WiFi熱點主人分享熱點，并加大查處非熱點主人分享的力度，也將進一步優化取消熱點分享的流程。“產品只提供‘分享’功能，而非‘破解’，只有以熱點形式被分享出來的網絡才能被用戶使用，我們對密碼采取128位非對稱加密，從不明文顯示密碼。”

　　對于破解和分享兩種技術的區別，張程則明確告訴《中國經濟周刊》記者，“破譯”技術不外乎強大的計算程序使其采用窮舉法的方式試錯，一位數一位數地排列組合，最終獲得正確答案。

　　通信行業觀察家項立剛介紹，相比于分享，破解的難度更大，是在完全不知道密碼的情況下窮舉試錯，有一定的技術門檻。不過他強調，不能確定所有服務商都從未采取過破譯的嘗試，“服務商只需要‘破譯’出一部分城市中的網絡即可，其他的可以用熱點的方式進行分享。”

　　中國WiFi產業聯盟秘書長雄歌對《中國經濟周刊》記者說，從實際情況看，很多WiFi密碼都是相同的(比如8個8或12345678)，甚至很多WiFi不設密碼。“當然不排除一些服務商會使用破解技術，但目前主流的做法是通過用戶分享。”雄歌說，“在細節上有的公司做得比較理性，有的公司做得比較‘野蠻’。”

　　雄歌所說的理性和“野蠻”，區別在于WiFi的建立者和擁有者是否是在被充分告知的前提下，擁有充分知情權地主動將自家網絡分享出去，還是在提示和告知極不充分的前提下“被自愿”地分享了自家網絡。

　　以“360免費WiFi”軟件為例，用戶在知曉密碼的情況下用密碼登錄的方式登錄某網絡時，左下角會默認勾選為“我愿意分享該網絡”，由于該提示位置并不明顯，用戶稍不留意便會“被自愿”地分享自家網絡，此后任何使用同款應用的其他人均可通過該應用“蹭”上此網絡。

　　此外，一款名為“騰訊Wifi管家”的軟件推出的“離線WiFi包”也引起了市場的關注。騰訊方面稱，該服務是將城市里的部分公共WiFi打包成離線包，幫助用戶在沒有網絡或者網絡比較差的場景下連接上安全的公共WiFi，此功能基于“一個網絡對應一個密碼”的原則，而非“野蠻撞庫”。“在用戶嘗試連接WiFi之前，我們已經對這部分公共WiFi的安全性做了排查鑒定，這些離線包內的公共WiFi都是同意對外分享的公共WiFi。”騰訊公司一位負責人對《中國經濟周刊》記者說。

　　如何判定網絡主人是誰？

　　按照常理，有資格分享WiFi密碼的人應為網絡的創建者和擁有者，但在目前的手機應用中，均無對網絡所有者進行識別和排查的功能。項立剛告訴《中國經濟周刊》記者，一些私人網絡之所以會被上述軟件“分享”出去，原因在于有訪客從所有者處得知密碼后，使用此類軟件登錄，并在告知不充分的情況下“被自愿”地分享了所有者網絡。

　　張程介紹，判定一個登錄者是否是該網絡的創建者和所有者，背后涉及的一系列技術十分復雜，也要投入很高的成本，“要通過大數據分析判斷他是否經常登錄此網絡，還是只是偶爾登錄，還要知道他是否同時出現在這臺路由器的后臺并實際控制著這個網絡。”這些正是目前“蹭網”軟件行業絕大多數服務商尚未解決的問題。“這種認定技術很有難度，到底達到什么條件才認定登錄人是‘擁有者’，而不是訪客，是個挑戰。”張程說。

　　業內人士介紹，“微信連WiFi”是一種對雙方知情權保護比較到位的方式，通過關注微信公眾號等機制，網絡主人和登錄用戶都十分清晰地知曉正在分享或者正在被分享網絡的整個過程。

　　也有業內人士建議，應從WiFi技術底層做出改變，從根本上摒棄密碼登錄的方式。“從技術上看，最好的方式是從設備廠商開始，不再使用密碼的認證模式。”雄歌認為，與“蹭網”相比，非密碼登錄模式相對安全，比較適合公共場景，但如果用于家庭私人網絡，為了防“蹭網”只能通過驗證碼登錄，體驗感會差很多。

　　在上述軟件尚未完成自糾自查，工信部也尚未完成對該類軟件的調查之前，私人網絡如何避免被“蹭”？雄歌告訴《中國經濟周刊》記者，目前在WiFi連接領域的服務商和產品很多，在不斷競爭和洗牌的過程中，服務商都在避免被打上“蹭網”的標簽，增加了保護網絡安全的功能。“這個行業從過去的1000多家到只剩下兩三家主流公司，產品功能也從單純的‘蹭網’變成了網絡安全管理。”

　　例如，“騰訊WiFi管家”就有家庭網絡防“蹭”保護設置，一旦用戶通過真實密碼登錄將其設定為家庭網絡，陌生人就不能通過“智能連接”功能對家庭網絡解鎖。

　　除了依靠網絡安全管理，關閉私人網絡的對外廣播是否可以防“蹭網”？項立剛告訴《中國經濟周刊》記者，廣播關閉后陌生人的手機確實搜索不到該網絡信號，只能手動輸入網絡名稱和密碼才能進入，原則上可以保證安全。然而，若有訪客在主人關閉網絡對外廣播前便已經登錄過該網絡，其設備內依舊會存有網絡名稱和密碼，還是可以登錄網絡。

　　網絡密碼能否被認作個人信息？

　　在我國現行法律法規中，對個人信息安全保護的主要依據是2017年6月生效的《網絡安全法》，法律界呼吁盡快出臺的《個人信息保護法》目前尚在草案階段。2018年5月1日即將生效的《個人信息安全規范》雖被很多業內人士重視，但其本身只是行業內的國家級推薦性標準，沒有法律效力。也就是說，在法理上對“蹭網”軟件的執法依據只有《網絡安全法》。

　　中國政法大學李俊慧教授告訴《中國經濟周刊》記者，《網絡安全法》沒有專門的章節對WiFi密碼的保護問題進行規定，但是作為一種網絡服務，類似“WiFi萬能鑰匙”等WiFi熱點連接服務，也需要遵守《網絡安全法》有關個人信息保護和網絡安全等方面的規定。“如果密碼分享不是自主自愿的行為，涉嫌侵犯分享者的知情權和WiFi熱點設置者對其資產的管理和控制權。”

　　李俊慧介紹，對個人信息的保護，《網絡安全法》有明確闡述：任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。“問題的關鍵在于，網絡密碼在我國的司法實踐中是否會被認作個人信息。一旦‘蹭網’被認定為系侵犯個人信息的行為，有關單位就應承擔民事侵權責任，甚至行政責任、刑事責任。”

　　業內人士認為，“蹭網”軟件的生存空間在于很多人對“蹭網”本身有需求，軟件越是操作不規范，特別是在分享前對被分享者的知情權保護不到位，并且不給網絡主人停止或拒絕分享的權限，就可連接到更多的陌生網絡，也就更能吸引想“蹭網”的用戶。

　　李俊慧接受《中國經濟周刊》記者采訪時說，“劣幣驅逐良幣”發生的原因在于監管機制在很長一段時間內的失靈，“這就需要監管部門的監管手段或方式與時俱進，從事前、事中和事后等環節建立起有效的監管體系。類似‘WiFi萬能鑰匙’等產品和服務已經在市面存在多年，監管部門為何遲遲沒有動作，才是問題的關鍵所在。”

　　從2017年6月1日《網絡安全法》正式實施，到2018年元旦后的“支付寶年度賬單”事件，再到包括螞蟻金服、百度和今日頭條在內的企業接連因個人信息保護問題被有關部門約談，曾經宣揚“開放”“共享”等理念的互聯網行業，近期有向“安全”“隱私”等方面轉向的趨勢。“早期互聯網喜歡強調開放性，但目前的移動互聯網業內很多人已經不再提‘開放’了。”項立剛告訴《中國經濟周刊》記者，移動互聯網行業發展越接近成熟期，就越強調對安全和隱私的偏重，而不是一味開放。

　　個人信息保護相關法律：

　　《民法總則》第一百一十一條：自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。

　　《網絡安全法》第四十一條：網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。

　　《中國經濟周刊》記者 銀昕 | 北京報道 (本文刊發于《中國經濟周刊》2018年第15期)