資訊頻道
八大主流中文手機(jī)輸入法曝出泄密漏洞，僅華為幸免
近日，隱私研究機(jī)構(gòu)citizenlab發(fā)布安全報(bào)告顯示，除華為以外的八家廠商的手機(jī)云輸入法應(yīng)用均存在嚴(yán)重漏洞，黑客可利用這些漏洞完全竊取用戶輸入內(nèi)容，目前已有超10億用戶面臨泄密風(fēng)險(xiǎn)。
與此同時(shí)，Citizenlab表示已經(jīng)向上述八家存在漏洞的手機(jī)輸入法廠商報(bào)告了漏洞，大多數(shù)廠商做出了積極回應(yīng)，嚴(yán)肅對(duì)待問(wèn)題并修復(fù)了報(bào)告的漏洞，但仍有一些鍵盤應(yīng)用程序存在漏洞。Citizenlab在報(bào)告中警告說(shuō)，五眼聯(lián)盟情報(bào)機(jī)構(gòu)此前曾利用類似的中文輸入法安全漏洞實(shí)施大規(guī)模監(jiān)控。
云輸入法安全危機(jī)
隨著用戶規(guī)模的不斷增長(zhǎng)，云輸入法應(yīng)用的后端技術(shù)正變得越來(lái)越復(fù)雜，人們對(duì)此類應(yīng)用的潛在安全風(fēng)險(xiǎn)也越來(lái)越重視。安全研究人員對(duì)云輸入法應(yīng)用安全最關(guān)注的問(wèn)題主要有兩點(diǎn)：
l 用戶數(shù)據(jù)在云服務(wù)器上是否安全
l 信息從用戶設(shè)備傳輸?shù)皆品?wù)器的過(guò)程中是否安全
為了更好地了解這些廠商的鍵盤應(yīng)用是否安全地實(shí)現(xiàn)了其云推薦功能，研究者對(duì)這些輸入法進(jìn)行了安全分析以確定它們是否充分加密了用戶的輸入按鍵記錄。
研究者使用了靜態(tài)和動(dòng)態(tài)分析方法：使用jadx反編譯并靜態(tài)分析Dalvik字節(jié)碼，并使用IDAPro反編譯并靜態(tài)分析本機(jī)機(jī)器碼；使用frida動(dòng)態(tài)分析Android和iOS版本，并使用IDAPro動(dòng)態(tài)分析Windows版本。最后，研究者使用Wireshark和mitmproxy執(zhí)行網(wǎng)絡(luò)流量捕獲和分析。
對(duì)九家廠商的輸入法進(jìn)行分析后，研究者發(fā)現(xiàn)只有一家廠商（華為）的輸入法應(yīng)用在傳輸用戶按鍵記錄時(shí)未發(fā)現(xiàn)任何安全問(wèn)題。其余八家廠商的每一家至少有一款應(yīng)用發(fā)現(xiàn)了漏洞，黑客可以利用該漏洞完全竊取用戶輸入的內(nèi)容。
在大多數(shù)情況下，攻擊者只需要是網(wǎng)絡(luò)上的被動(dòng)竊聽者即可利用這些漏洞。但是，在某種情況下，針對(duì)使用騰訊搜狗API的應(yīng)用，攻擊者還需要能夠向云服務(wù)器發(fā)送網(wǎng)絡(luò)流量，但他們不必一定是中間人(MitM)或在網(wǎng)絡(luò)第3層欺騙來(lái)自用戶的流量。在所有情況下，攻擊者都必須能夠訪問(wèn)客戶端軟件的副本。
由于蘋果和谷歌的鍵盤輸入法應(yīng)用都沒(méi)有將按鍵記錄傳輸?shù)皆品?wù)器以進(jìn)行云推薦，因此沒(méi)有（也無(wú)法）分析這些鍵盤的安全功能。
研究者表示，雖然業(yè)界一直在推動(dòng)開發(fā)能夠保密用戶數(shù)據(jù)的隱私感知云輸入法，但目前并未得到廣泛使用。
隱私專家的建議
輸入法安全漏洞可導(dǎo)致個(gè)人財(cái)務(wù)信息、登錄賬號(hào)和隱私泄露。隱私專家建議手機(jī)用戶應(yīng)保持應(yīng)用程序和操作系統(tǒng)更新到最新版本。如果用戶擔(dān)心云輸入法的隱私問(wèn)題，建議考慮切換到完全在設(shè)備上運(yùn)行的本地輸入法應(yīng)用（模式）。
本文僅供讀者參考，任何人不得將本文用于非法用途，由此產(chǎn)生的法律后果由使用者自負(fù)。
如因文章侵權(quán)、圖片版權(quán)和其它問(wèn)題請(qǐng)郵件聯(lián)系，我們會(huì)及時(shí)處理：tousu_ts@sina.com。
打開微信，點(diǎn)擊底部的“發(fā)現(xiàn)”
使用“"掃—掃"即可將網(wǎng)頁(yè)分享至好友
舉報(bào)郵箱: Jubao@dzmg.cn 投稿郵箱：Tougao@dzmg.cn
未經(jīng)授權(quán)禁止建立鏡像，違者將依去追究法律責(zé)任
大眾商報(bào)(大眾商業(yè)報(bào)告)并非新聞媒體，不提供任何新聞采編等相關(guān)服務(wù)
Copyright ©2012-2023 dzmg.cn.All Rights Reserved
湘ICP備2023001087號(hào)-2