抖音海外版 TikTok，又惹新争议。
近日，苹果宣布 iOS 14 推出新功能：当 App 调用摄像头、麦克风或剪切板时，用户会收到 iOS 的横幅提醒。该版本将于 2020 年秋季推出，目前仅有测试版。
测试用户发现，TikTok 通过读取剪切板，可以访问 iOS 用户的密码、加密货币钱包地址等敏感信息。YouTube 的相关视频显示，在 TikTok 的评论区，哪怕只是输入标点符号，或者点击空格键，剪切板就会被读取。
如下图所示，由于用户不断地在评论区输入内容，手机上方的横幅一直在闪，这意味着 TikTok 正在以秒级速度读取用户剪切板。
目前，关于 TikTok 读取剪切板的视频，在 YouTube 已有十万多观看量。
TikTok 是当下全球最受欢迎的 App 之一。截止 2020 年一季度，该 App 已产生超 20 亿次下载，App Store 和 Google Play 单季下载量超 3 亿，是目前全球下载量最高的 App，并占据美、英、法、德等欧美主流国家的 iOS13/12 娱乐免费 App 榜首。
图 | 来源：七麦数据，数据截止北京时间 6 月 29 日下午
知名科技论坛 Blind 的研究显示，TikTok 是当下 Facebook、亚马逊和 Google 的员工最想跳槽的公司之一。部分外国用户使用 TikTok 的时间，甚至超过 Instagram 或 YouTube。有消息称，YouTube 还将推出对标 TikTok 的产品。
但无论如何，很多用户表示，从未想到 TikTok 会如此高频地读取剪切板，人们甚至担心在手机上的任何文字输出，都会被一双看不见的 “眼睛” 记录下来。
据外媒 Ars Technica 统计，50 多个常见 App 都存在类似情况。新闻类 App 包括路透社、纽约时报等；游戏类 App 包括水果忍者、植物大战僵尸等；社交类 App 则包含母公司在中国的微博。
不过上述 App 的读取行为，大多集中在刚刚打开 App 时。另外，高频读取剪切板，也跟 App 调用 API 有关。高频读取不一定代表真的获取了数据，部分 App 只是单纯地查看剪切板是否有内容，但 iOS 14 仍会就该情况进行提醒。
以编程工具 Codea 为例，它不断地读取剪切板，只是在检测有没有内容，以及提醒用户是否需要激活粘贴功能。
图 | 编程工具 Codea 也被提醒频繁读取（来源：twitter@twolivesleft）
来自德国的研究人员汤米 · 米斯克（Tommy Mysk，下称“Mysk”）早在 2020 年初，就曾写信给苹果公司，反馈过 App 读取剪切板内容的事情。
但直到 iOS 14 加入提醒功能，人们才意识到问题的严重性。Mysk 表示，安卓 App 读取剪切板“甚至比 iOS 更糟糕”，因为安卓操作系统的 API 要宽松得多。
例如，安卓 10 之前的版本，允许后台运行的 App 读取剪切板。相比之下，iOS App 只能在 App 激活时、即前台运行时，才会读取或查询剪切板。
Mysk 和他的研究伙伴 Talal Haj Bakry 表示，剪切板读取行为是 iOS 允许的、且广泛存在的行为，本意是方便 App 直接触发某些指令，比如浏览器如果发现剪切板是网址，就会自动提醒用户是否要访问。
但另一方面，以 TikTok 为代表的 App 们，似乎没有合适的理由这样做。即便有，如此夸张的读取频率，也让人感到困惑。
针对此事，TikTok 发言人在上周五发给外媒 The Verge 的邮件声明中解释称：“自 6 月 22 日发布 iOS 14 测试版以来，用户在使用许多流行的应用程序时看到了通知。对于 TikTok，这是由旨在识别重复性垃圾邮件行为的功能触发的。我们已经向 App Store 提交了该应用程序的更新版本，其中删除了反垃圾邮件功能，以消除任何潜在的混淆。”
此外，TikTok 还表示，该功能从未引入安卓设备。
读取数据不等于收集数据
为方便不同设备的数据共享，苹果在 Mac、iPhone 和 iPad 之间建立了一种基于蓝牙功能的数据传输功能，名为“通用剪切板（Universal Clipboard）”。
该功能允许附近使用相同 Apple ID 的设备建立蓝牙连接、并访问相同的剪切板。这样你就能在 Mac 上复制图片或文字，然后直接在 iPhone 上粘贴，从而实现内容跨平台分享。
但是这样一来，随意读取剪切板的 App，就会捕捉到其他设备上的信息。
那么，是否有技术手段可以应对？独立开发者周楷雯 Kevin 认为，iOS 可以推出复制权限管理，被复制的 App 可以决定被复制的内容，只有当用户明确点击粘贴时，才被输送到另外一个 App，而不是只能躺在剪切板里任人读取。
此外，必须强调的是：读取数据不等于收集数据。国外研究人员没有发现任何 App，私自将剪切板内容传回服务器上，可能仅限于本地读取。
严格意义上讲，这意味着开发商并未真正 “看过” 用户复制的内容，就像是蒙着眼睛将剪切板内容从应用 A 转移到 B。
比如，快递类应用或浏览器类应用会询问用户，是否要识别剪贴板中的快递单号或者网址。只有用户确认，信息才会上传服务器。
从操作系统角度来看，剪切板的存在，是为了方便信息的传递和转移，无论是 iOS、安卓、还是 Windows，绝大多数应用都默认使用剪切板访问权限。
不过风险依然存在，如果有 App 恶意试图抓取剪切板内容、并发回服务器，用户可能难以察觉，而且业界对于读取方式（主动 VS 被动）和频率，并没有统一的标准。
南开大学教授、天津市网络与数据安全技术重点实验室副主任汪定告诉 DeepTech，TikTok 这样做，可能是想自动预测类似“你是不是想输入 XXX”，或者将用户输入的文字转换成表情符号，这本身是有利于用户体验的。
但是读取信息后，App 是否会分析用户偏好和思想倾向，是否会侵犯用户安全和隐私，这是值得关注的问题。如果 App 将读取的数据，传到远程服务器进行分析，就有可能受到隐私政策和法律的约束。
而如何减少发生此类用户不期望的事情，是操作系统的难点。本次 iOS 14 的新功能，正是在弥补操作系统和用户之间的需求差异。
国内外 App 均在读取剪切板内容
6 月 28 日，TikTok 读取剪切板的新闻，在国外疯传之后，无码科技创始人冯大辉发微博称：“我在一个月前还特地说的这事儿。现在终于在苹果 WWDC 之后发酵了。”
一月之前，冯大辉发微博说：“有几家公司，尤其是某个电商巨头家全家桶的 App，一直监控用户的剪切板。比如你在微信里复制个内容，然后打开某个大公司家的 App，不管三七二十一，自动把你剪切板内容读取分析一遍，（然后）还传到云上去了。”
有网友也曝光，微博和微信均存在读取剪切板内容的行为。
图 | 来源微博用户 @狗 - 薛定谔 - 德川家康
对于读取剪切板是否违法，对外经济贸易大学数字经济与法律创新研究中心执行主任许可告诉 DeepTech，如果仅仅是读取行为、并没有把数据上传到服务器，那么就不构成收集行为，本身也不违法。
但如果 App 不但访问剪切板，还把数据上传，则将构成收集行为。App 应当遵循告知、并取得用户明确同意的规则。如果确实存在违法收集行为，国内用户可以向网信或工信部门举报。
目前，中国在这方面的依据是《网络安全法》第 42 条第 1 款：“网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。”
数据收集 “红线” 有望明确
6 月 28 日，十三届全国人大常委会第二十次会议在京举行，数据安全法草案（下称 “草案”）首次提请审议。草案包括“明确开展数据活动的组织、个人的数据安全保护义务，落实数据安全保护责任” 这一内容。
对此，许可表示，数据安全是相对的，一般来说，数据泄露等隐私事故肯定会发生。因此，如何合理分配数据安全义务，促进各方共同治理数据安全，就会成为必然选择。
而只有 App 开发方、应用商店和用户三方共同努力，才能促进良币驱逐恶币，实现市场净化。
具体来看，App 开发方是数据的控制者，应当承担数据安全的首要责任；应用商店是数据空间的运营者，其有责任制定 App 数据安全标准，履行必要的审查义务，并在 App 开发方无法担责的情况下，承担补充责任；用户则是个人信息的提供者，也应提升数据素养，尽量不用高风险 App。
浙江垦丁律师事务所联合创始人吴旭华，则对媒体表示，作为数据安全保护领域的一部专门法，数据安全法将设定相应的法律责任。
他分析称：“以往数据安全的法律体系中缺少行政处罚，导致出现问题后，要么通过民事责任，比如不正当竞争诉讼解决，要么直接上升到刑事犯罪。”
比如，前文冯大辉提到的读取剪切板、并上传到云上的商家行为，很少面临相应处罚。而重大的数据泄露，如 “爬虫” 技术入侵，则可能面临牢狱之灾。
《人民法院报》评选的 2019 年度人民法院十大刑事案件中，就包括全国首例 “爬虫” 技术侵入计算机系统犯罪案。
该案被告于 2016 年至 2017 年期间，采用技术手段抓取北京字节跳动网络技术有限公司服务器中存储的视频数据，导致后者损失技术服务费人民币 2 万元。最终，四名被告分别获刑九个月到一年不等，并被处以罚金。
这便是 “直接上升到刑事犯罪” 的案例之一，而如果本次草案通过，中国司法机关将拥有更多行政处罚手段，“一些尚处于萌芽阶段或尚不构成犯罪的违法行为就可以通过整改等手段得到纠正。”
吴旭华还对媒体表示，预测作用是法律很重要的一个功能。没有相应的规定，可能很多市场主体就不够重视。 只有明确“红线”，才能刺激企业合规发展。
同时，也只有明确“红线”，App 前的你我，才敢放心地用。
