勿只审查Waze豁免TuJu，专家提醒网安应一视同仁

科技专家认为，随着政府推广本地导航应用程序TuJu以取代Waze，本地开发的导航应用程序也应受到相同的网络安全审查，以保护用户数据。

他们质疑政府禁止公务员使用Waze的理由，并指出谷歌地图等类似应用程序也会收集用户资料，而谷歌的母公司谷歌于2013年收购了Waze。

首相安华近期大力推介TuJu，作为Waze的替代应用程序，理由是后者具有以色列背景，引发国家安全疑虑。政府随后禁止公务员使用Waze。

然而，随着用户数量激增，TuJu很快便面对技术故障及导航功能不足等投诉。安华在收到大量公众反馈后，也承认有关问题。

马来西亚大道局主席哈斯尼（Hasni Mohammad）接受《当今大马》访问时澄清，开发TuJu从来无意与Waze竞争，最初旨在改善收费大道沿线的服务，提供交通路况更新、休息站资讯及紧急联络方式。

尽管TuJu原本的定位较为有限，但本地导航应用程序的准备程度及安全性，仍引起外界疑问。

应采用一致标准

网络安全顾问阿伦（Aaron Ikram Mokhtar）接受《当今大马》访问时表示，政府应采用一致的标准评估所有导航应用程序，包括收集哪些类型的数据、数据储存在哪里、是否与第三方共享，以及如何防止未经授权的访问。

“TuJu仍会收集位置数据，也依赖外部地图服务，而且目前没有明确的公开证据显示，这两款应用程序中的任何一款曾接受独立审计。”

“来源国应是考量因素之一，而非决定性因素。对Waze、谷歌地图、TuJu及PINTAZ采用相同标准，将使这项政策更具公信力，也更不会显得有所选择。”

他指出，本地应用程序也应接受同样严格的审查，以确保其安全性。

他补充，本地开发者可以推出漏洞悬赏计划，向发现安全漏洞的安全研究人员提供奖励，让开发者能够在恶意人士利用漏洞之前修复问题。

这类措施尤其重要，因为如果用户在多个平台重复使用相同的登录凭证，包括社交媒体及网上银行服务，那么一款应用程序的安全漏洞就可能使用户面临更广泛的风险。

呼吁提高透明度

另外，AKATI Sekurity执行长克里希（Krishna Rajagopal）表示，本地开发者可以通过提高透明度，说明应用程序如何运作及处理用户资料，以建立公众信心。

他说，长期使用Waze的用户可能不愿转用不熟悉的服务，尤其是当政府只是要求他们停止使用某款应用程序，却没有充分解释原因，也没有证明替代应用程序可靠时。

不过，如果开发者更清楚地披露数据收集方式、安全措施及问责机制，用户就更有可能根据本地应用程序本身的表现，考虑是否采用。

“原则上，国家网络安全机构（Nacsa）列出的六项要求，大道局或TuJu，以及任何其他本地替代应用程序，都应该作出回应。”

“我认为这非常重要。很多人可能对一个事实感到有些不安，那就是在马来西亚，政府机构并不受《个人资料保护法令》约束。”

“因此，如果本地替代应用程序发生事故，谁应该承担责任？”

Waze否认收集敏感资料

10月20日，安华以Waze与以色列有关联，可能导致用户的个人资料及行动轨迹面临安全风险为由，呼吁马来西亚人改用TuJu。政府随后禁止公务员在执行公务时使用Waze。

根据Nacsa发布的常见问题（FAQ）指南中，评估导航应用网络安全风险的六项因素包括：应用能够获取的数据类型、应用权限、数据处理地点、数据保留政策、与第三方共享数据的安排，以及开发者实施的安全管控措施。

Nacsa指出，Waze收集的不仅是用户的位置资料，还包括行程及路线、全球定位系统（GPS）和设备传感器数据、时间戳及IP地址。

根据用户的设备及账户设置，即使应用程序没有处于主动使用状态，也可能收集位置及行程资料。

Nacsa警告，这些数据如果被反复收集并进行汇总分析，可能揭示用户的行动及活动规律。

总部设于特拉维夫的Waze否认其应用收集敏感政府资料，或允许第三方滥用用户个人数据的指控。

Waze发言人告诉《当今大马》，该应用遵循严格的隐私政策，以保护用户数据，并符合全球数据保护标准。

什么理由禁止Waze？

除了质疑本地替代应用程序是否准备就绪，专家也对政府禁止Waze的决定提出疑问，尤其是仅凭该应用程序与以色列法律有关联，是否足以构成禁令的理由。

阿伦说，尤其当限制措施影响公众广泛使用的服务时，有必要区分潜在安全风险与获证实的威胁。

“潜在风险是指应用收集的数据可能遭到滥用；获证实的威胁，则意味着有证据显示数据确实遭到滥用、发生泄露，或被非法获取。”

“Nacsa表示，没有证据显示Waze曾分析汇总后的位置数据，以建立用户画像。因此，政府可以将禁令解释为一项预防措施，但不应将其说成是现有安全事故的证明。”

他认为，政府应公布针对Waze所进行的安全评估摘要，包括该应用程序如何收集、储存及共享用户数据，以解释禁令的必要性。

“否则，公众就无法判断这项禁令是否合乎比例原则，还是主要基于政治考量。”

数码媒体专家兼镇蒙纳士大学（Monash University）讲师本杰明（Benjamin Loh）也认同这一观点。他表示，政府应明确指出实际存在的国家安全疑虑，而不是将Waze提及以色列法律视为充分的理由。

“仅仅因为Waze表示自己在某种程度上遵守以色列法律……目前仍不清楚，这是否意味着它会凌驾于马来西亚法律之上，或绕过马来西亚法律，并开始收集相关数据。”

为何不禁止谷歌地图？

专家也质疑，为何有关限制似乎只针对Waze，其他广泛使用的外国导航应用程序，尤其是谷歌地图，也会收集类似类别的用户资料。

谷歌地图的母公司谷歌于2013年收购Waze，而谷歌总部设于美国。

阿伦说，从技术角度来看，Waze与谷歌地图具有可比性，因为两者都可能收集用户的位置资料、行驶路线及设备数据，而是否在后台获取位置资料，则取决于用户的设置及授权。

他说，两者较明显的区别在于各自适用的法律管辖权，而非它们能够收集的数据类型存在根本差异。

不过，本杰明形容，以谷歌地图受美国法律管辖为由，将其排除在限制范围之外的做法“愚蠢”。

他认为，外国科技公司通常跨越国界经营业务，同时仍须遵守其提供服务所在国家的法律。

他说，收集用户数据是包括美国科技公司在内的大型科技企业的普遍做法，因此，仅凭Waze的来源国不同，就给予它不同的待遇，很难找到充分理由。

“从技术上来说，任何应用程序都会遵守其所属国家的法律。但由于应用程序本身具有国际性，大多数应用程序实际上也会遵守其在特定国家运营时所适用的当地法律。”

本杰明补充，尽管数据保护法规加强了对个人资料遭滥用及传播的防范措施，但大型科技公司仍持续收集大量用户数据。

因此，他认为，政府应解释Waze与其他导航应用程序相比，究竟存在什么独特的安全风险，而不是选择性地实施限制。

初衷为提升大道服务，大道局指TuJu原非Waze竞品

“我和陆兆福到了”，法丽娜加入网民TuJu嘲讽梗

起底TuJu开发：森酋长、亲政府州议员参与其中

TuJu错漏百出引投诉，法米促大道局开发商交代

安华透露政府考虑全面封杀Waze，“非同小可不容拖延”

否认收集政府敏感讯息，Waze驳大马政府指控