|
來源：新聞晨報(bào) iPhone等設(shè)備通過三種方式收集用戶信息并發(fā)送給蘋果公司 三種方式搜集你的信息：
兩種方式存儲你的信息：
信息泄露可能帶來的危害：
被竊信息去哪兒呢？ iOS系統(tǒng)是蘋果公司自行開發(fā)的操作系統(tǒng)，也是目前世界上公認(rèn)的最先進(jìn)的操作系統(tǒng)。該獨(dú)立系統(tǒng)完全封閉，普通用戶很難了解其中門道。 在央視報(bào)道中，蘋果手機(jī)記錄用戶信息的方式主要有三種。國際開源應(yīng)用安全組織上海負(fù)責(zé)人宋國徽也表示：“我們也發(fā)現(xiàn)，iPhone會基于WiFi、基站和GPS收集定位信息，這個定位的準(zhǔn)確性可以說是非常高的，比單純的GPS定位精度要更高，偏差通常不會超過1-2個街道范圍。” 那么，具體來說，蘋果手機(jī)究竟如何記錄你用戶信息呢？我們知道，蘋果可以通過手機(jī)內(nèi)用戶安裝的App進(jìn)行實(shí)時定位。“比如微博、微信，或者一些需要定位功能的打車軟件、導(dǎo)航等，一旦開啟，也會定位用戶的位置。”宋國徽說，盡管這部分功能是軟件根據(jù)需要設(shè)定的，但是用戶數(shù)據(jù)信息并非僅僅掌握在App軟件中，蘋果后臺同樣可以獲得。“比如你在辦公室用手機(jī)打開一個App，蘋果后臺就能通過這個App的數(shù)據(jù)知道你在哪里，盡管你沒有開通‘常去地點(diǎn)’功能。” 如果安裝的App本身沒有定位功能呢？“比如某門戶新聞手機(jī)客戶端，它本身是新聞類App，沒有也無需開通定位功能。但是我們卻發(fā)現(xiàn)，下載了該App的用戶，每次使用App的位置依然被蘋果定位并保存了。”如此產(chǎn)生的數(shù)據(jù)直接放在系統(tǒng)后臺的所謂的用戶信息加密文件中。而這一切，用戶和客戶端本身都不知情。 這些被悄悄記錄的數(shù)據(jù)，最終又去了哪里呢？“我們目前還沒有追蹤到這個數(shù)據(jù)最后去了哪里，但國外的工程師曾表示，這些數(shù)據(jù)最終都回傳到了蘋果總部。”蘋果公司曾表示：i-Phone利用含有WiFi熱點(diǎn)和小區(qū)發(fā)射塔數(shù)據(jù)的眾包數(shù)據(jù)庫(crowd-sourced database)進(jìn)行實(shí)時計(jì)算，成千上萬的iPhone會將自己附近的WiFi熱點(diǎn)和小區(qū)發(fā)射塔信息打上地理標(biāo)簽，并以匿名和加密格式發(fā)送給蘋果。 “盡管蘋果說是匿名，但其實(shí)回傳的數(shù)據(jù)中還包括了蘋果設(shè)備的唯一識別碼，這讓蘋果很容易就能關(guān)聯(lián)出用戶的真實(shí)信息。”宋國徽說。 關(guān)閉相關(guān)功能還能竊取嗎？ 關(guān)手機(jī)也不見得行 如果將“常去地點(diǎn)”關(guān)閉，是否就能保證用戶信息不被記錄呢？宋國徽認(rèn)為，關(guān)閉只是讓用戶和其他人無法通過手機(jī)查看定位信息，但蘋果公司后臺數(shù)據(jù)依然在悄悄記錄。宋國徽稱，只要是智能手機(jī)，連接過WiFi、有運(yùn)營商網(wǎng)絡(luò)，打開過有位置記錄功能的App軟件，就都有可能被自動跟蹤。 記者試著關(guān)閉了“常去地點(diǎn)”功能，確實(shí)發(fā)現(xiàn)“歷史記錄”消失了。“但其實(shí)，這個只是你看不到數(shù)據(jù)，蘋果的后臺數(shù)據(jù)沒有任何影響，他們?nèi)匀豢梢愿鶕?jù)你使用的App或者系統(tǒng)定位功能進(jìn)行數(shù)據(jù)記錄，根本就是‘掩耳盜鈴’。” 早在三年前，兩名英國的工程師就發(fā)現(xiàn)了蘋果手機(jī)暗藏的一個文件可以記錄蘋果手機(jī)用戶曾經(jīng)去過的地理位置，并通過隱藏文件存儲這些信息。 中國信息安全測評中心是我國專門從事信息安全測試和風(fēng)險(xiǎn)評估的專業(yè)機(jī)構(gòu)。測評中心工程師王嘉捷在接受記者采訪時演示，通過電腦數(shù)據(jù)線將一部開啟了“常去地點(diǎn)”功能的蘋果手機(jī)接入電腦。通過特殊工具，抓取到了一些普通用戶看不到的系統(tǒng)目錄。 在這些目錄中，有一個隱藏很深的目錄，而此處就是蘋果存放定位信息的位置。“從操作視頻中可以看到，這個文件名為cache_en-cryptedA的db文件被保存在private/var/root/Library/Caches/locationd 。按照我們行話來說，就是藏得很深，是一個6級目錄。”盡管文件名為“encrypted”(中文譯為‘加密’)，但事實(shí)上這個文件并未加密。“打開文件的時候，完全無需再次解碼，說明這個只是一個虛假‘加密’。無需秘鑰就能打開，只是位置藏得很深。”宋國徽還發(fā)現(xiàn)。 “蘋果公司早在三年前就知道了這個問題存在，但至今，那個存儲用戶位置信息的文件卻依然未加密。事實(shí)上，從蘋果iOS4開始到iOS7，一直在記錄用戶位置信息，而這并未得到用戶同意及授權(quán)。”網(wǎng)絡(luò)隱私侵權(quán)與信息安全援助聯(lián)盟(PIPA)聯(lián)合創(chuàng)始人于勇說。 那如果用戶關(guān)機(jī)，蘋果手機(jī)是否還能得到位置信息？“這個目前還沒有一個定論，也是現(xiàn)在我們研究團(tuán)隊(duì)也比較關(guān)心的問題。”宋國徽說。 還有沒有其他“后門”？ 可進(jìn)行遠(yuǎn)程監(jiān)聽 “蘋果在用戶不知情的情況下竊取用戶地理位置信息等隱私的事情，的確是有違設(shè)備廠商的常規(guī)做法。”宋國徽說，其實(shí)iPhone除了搜集用戶地理位置外，iCloud也會自動將用戶的通訊錄、短信、照片等數(shù)據(jù)同步到云端，對于用戶來說可能比較方便，但是，由于iCloud作為互聯(lián)網(wǎng)軟件應(yīng)用，多少會存在一些安全漏洞，這勢必也會導(dǎo)致用戶在不知情的情況下泄露隱私數(shù)據(jù)。 宋國徽舉例，自2013年以來，iCloud已經(jīng)發(fā)現(xiàn)了多個重大的安全漏洞。例如，2013年10月份，俄羅斯的安全研究人員就通過分析iCloud的協(xié)議，發(fā)現(xiàn)它的協(xié)議在用戶認(rèn)證上存在安全缺陷，并且發(fā)現(xiàn)了iCloud遠(yuǎn)程備份協(xié)議上存在的安全漏洞，導(dǎo)致可以在用戶不知情的情況下，遠(yuǎn)程下載用戶的iCloud數(shù)據(jù)。“還有因iCloud密碼修改頁面的一個簡單的密碼找回邏輯錯誤，導(dǎo)致用戶的iCloud中存儲的通訊錄、照片和800G的數(shù)據(jù)被盜竊。” “我們最近還發(fā)現(xiàn)，由知名iOS黑客，早期iOS越獄開發(fā)團(tuán)隊(duì)成員喬納森·扎德爾斯基發(fā)現(xiàn)了蘋果的一個未公開的api函數(shù)接口。”2014年7月21日，喬納森發(fā)現(xiàn)了蘋果i-Phone/iPad設(shè)備中隱藏的“后門”和一個未公開的api函數(shù)接口。“這個隱藏的“后門”程序是com.apple.pcapd，當(dāng)“后門”被激活時，可以監(jiān)聽所有的網(wǎng)絡(luò)流量和網(wǎng)站訪問數(shù)據(jù)，并且這個“后門”被激活后可以遠(yuǎn)程對iPhone設(shè)備進(jìn)行網(wǎng)絡(luò)監(jiān)聽，這已經(jīng)不僅僅是竊取用戶隱私這么簡單了。” 除此以外，喬納森還發(fā)現(xiàn)了一個蘋果未公開的api函數(shù)接口(api函數(shù)一般是有操作系統(tǒng)提供的獲取特定數(shù)據(jù)的程序代碼)，最終發(fā)現(xiàn)可以通過這個未公開的api函數(shù)接口，繞過iPhone的安全機(jī)制，獲取到用戶手機(jī)中完整的數(shù)據(jù)信息，包括：用戶賬戶、通訊錄、短信、語音備忘錄、鍵盤記錄、GPS數(shù)據(jù)等用戶隱私數(shù)據(jù)。 7月27日，蘋果公司承認(rèn)存在“安全漏洞”。蘋果表示，公司員工可以通過一項(xiàng)未曾公開的技術(shù)獲取iPhone用戶的短信、通訊錄和照片等個人數(shù)據(jù)。但蘋果同時強(qiáng)調(diào)，該功能僅向部分特定人員提供所需信息，在獲取這些受限制的診斷數(shù)據(jù)之前，需要用戶授權(quán)并解鎖設(shè)備。 危害到底有多大？ 可能影響國家安全 過去，信息往往是按照重要性劃分安全級別。安全級別越高，防護(hù)措施越好。但是在大數(shù)據(jù)時代，泄密的往往不是哪些關(guān)鍵性的保密數(shù)據(jù)，而是一些普通的日常性信息。“一個手機(jī)能分析一個人的軌跡，從中獲得他的喜好、工作等。上億手機(jī)用戶，這個就能分析出一個人群的軌跡，這就可能會涉及到整個行業(yè)、經(jīng)濟(jì)、民生狀況。如果鎖定了涉密人群，那甚至可能影響國家機(jī)密安全。”宋國徽說。 美國蘋果公司在2013年11月5日曾發(fā)表報(bào)告承認(rèn)，蘋果公司對美國提出的88%的涉及具體設(shè)備的請求提供了信息。于勇認(rèn)為，蘋果這份報(bào)告無異推翻了此前自己所宣稱的“除非用戶明確同意將當(dāng)前的地理信息提交給第三方，不然會嚴(yán)格保密”這一說法。“盡管蘋果公司始終宣揚(yáng)為了大數(shù)據(jù)采集、為了未來技術(shù)創(chuàng)新，但我認(rèn)為，即使這種行為本身基于善意的目的，對用戶隱私及權(quán)利也是一種極大的侵犯。甚至，可能將公民個人信息集中后，提供給軟件商、廣告商甚至是國家情報(bào)機(jī)構(gòu)。” 俄羅斯媒體報(bào)道，俄羅斯向蘋果公司和SAP公司提議，希望他們向俄政府開放源代碼，以確保他們的產(chǎn)品不會成為監(jiān)控俄羅斯國家機(jī)構(gòu)的工具。“公民個人的信息安全不是小事情，從商業(yè)角度看可能只是用戶行為的大數(shù)據(jù)收集與分析，但是如果放在國家安全的角度上看，這種信息泄露可能一不小心就成了危害國家安全的‘不定時炸彈’”。 “我發(fā)現(xiàn)，其實(shí)很多市民對自己信息保護(hù)意識都不強(qiáng)。”于勇說，現(xiàn)在智能手機(jī)中通常記錄了機(jī)主的身份證信息、手機(jī)號碼、郵件、銀行卡號及密碼、照片、通訊錄、聊天記錄、消費(fèi)記錄、賬單、家庭信息、房屋信息、物理位置等等。“這些信息的珍貴程度不亞于錢包里的錢，丟信息比丟錢包往往能造成更大損失。”從警方偵破的很多詐騙案件中可以發(fā)現(xiàn)，不少電話和網(wǎng)絡(luò)詐騙都源于個人信息外泄。 “對于個體而言，這是一種隱私泄露。從更高層面說，甚至有可能危害到國家安全。”于勇說，他有幾個公職人員朋友，供職于國家某涉密單位，他們都被要求不可使用蘋果手機(jī)。“國家政府或者是與國家安全有密切關(guān)系人的行蹤如果被實(shí)施追蹤、竊取，這個問題就會相對更加嚴(yán)重。” 某手機(jī)界資深人士：短信照片指紋，蘋果公司都能利用 智能手機(jī)資深分析人士老杳說，蘋果有“后門”不意外，因?yàn)樘O果有能力做這件事。 老杳舉例說，比如此前的iPhone 5s，蘋果推出指紋解鎖，當(dāng)時很多人擔(dān)心指紋信息被泄露出去，對此蘋果公司還特別聲明：用戶指紋掃描圖只會存儲在處理器內(nèi)，被電話本身的沙盒所保護(hù)，絕不會上傳到蘋果的服務(wù)器或iCloud之類的云端，也不會讓NSA之類的部門或者指紋信息； 同時也不會向第三方開發(fā)商合作，既不會有其他iOS 應(yīng)用使用該功能。 “但是蘋果是有能力收集全球各地的指紋信息，至于用不用這種能力是另一回事。”老杳說。此前，安全領(lǐng)域?qū)＜襍hu-man Ghosemajumder也曾就此發(fā)表觀點(diǎn)認(rèn)為：建立指紋的云端數(shù)據(jù)存儲中心及其危險(xiǎn)，蘋果在這方面應(yīng)該是得到世界級安全專家的建議。 指紋掃描必須只基于硬件，掃描裝置不能通過軟件激活，或?qū)⒅讣y信息傳送給軟件，如果該裝置能夠被軟件激活，則無法避免被惡意代碼攻擊的風(fēng)險(xiǎn)。慶幸的是，掃描的指紋只被本地存儲，而不會上傳云端。但關(guān)于這一點(diǎn)，全球的安全專家依然不放心，希望能在iOS7越獄后得到答案。 無論是地理位置、短信、照片，還是指紋等個人信息，蘋果公司都有能力進(jìn)行存儲利用，問題的關(guān)鍵是蘋果是否會利用，以及如何利用。 蘋果泄密，你怎么看 中國工程院院士方濱興：蘋果“后門”或是惡意 “既然瞞而不露，那就是‘后門’。”北京郵電大學(xué)原校長、中國工程院院士方濱興說，實(shí)際上，“后門”也分善意還是惡意，善意的“后門”也會收集用戶的各類信息，但這些信息多是“脫敏”，瞄準(zhǔn)的是大數(shù)據(jù)生意。“這里的大數(shù)據(jù)，是通過對一群用戶的數(shù)據(jù)信息進(jìn)行推演，并不涉及某個具體的用戶。”方濱興說，“而惡意的“后門”，即用戶并不知道自己的數(shù)據(jù)被收集起來有什么用，蘋果在聲明中并沒有清晰的說明，從這點(diǎn)來看，蘋果留下的“后門”或是惡意的。惡意的“后門”可能涉及到用戶個人的隱私數(shù)據(jù)和信息安全。” 現(xiàn)在對于蘋果“后門”有各種說法，方濱興說，蘋果對用戶數(shù)據(jù)收集進(jìn)行隱瞞，而用戶在這方面卻顯得很“無力”，無法采取任何措施進(jìn)行制止。方濱興認(rèn)為，如果是普通用戶，對個人隱私和數(shù)據(jù)公開并不介意，則使用iPhone問題不大，但如果是國家公職人員，“那用iPhone手機(jī)相當(dāng)于在一個公開的環(huán)境說話，有時可能造成重要信息的泄漏，是很嚴(yán)重的問題，建議還是不要使用iPhone了。” 國家信息中心信息安全研究與服務(wù)中副主任葉紅也說，很多企業(yè)收集用戶數(shù)據(jù)可能是用于產(chǎn)品升級或系統(tǒng)維護(hù)，但這些必須提前告知用戶，如果一家企業(yè)留有“后門”，用戶并不知情，“則這家企業(yè)是不負(fù)責(zé)任的，容易喪失用戶對其產(chǎn)品的信任。用戶會質(zhì)疑，企業(yè)的數(shù)據(jù)收集行為是否會對自己的個人隱私造成危害，“后門”是否會被非法利用等。” 烏云創(chuàng)始人、白帽黑客方小頓：蘋果“后門”無法監(jiān)督 “蘋果iOS系統(tǒng)是一個封閉的系統(tǒng)，一旦曝出問題，大眾很難確定是“后門”還是漏洞。”烏云創(chuàng)始人方小頓對記者說。烏云是國內(nèi)知名互聯(lián)網(wǎng)漏洞平臺，方小頓是白帽黑客。 瑞星安全專家唐威也表示，任何軟件包括操作系統(tǒng)、應(yīng)用軟件，都有可能存在不完善的地方，軟件開發(fā)很難達(dá)到完美，這些不完美被稱為“漏洞”。漏洞的出現(xiàn)是開發(fā)者無意識的、被動的。相反，開發(fā)者如果主動通過預(yù)留程序，以控制用戶設(shè)備或傳輸用戶設(shè)備上的信息，則是“后門”。漏洞與“后門”之間的區(qū)別就是被動與主動。 方小頓說：“蘋果‘后門’究竟是干什么，除非查看蘋果當(dāng)時做這個項(xiàng)目的文件說明，否則很難確定這些‘后門’究竟用于什么。”唐威也認(rèn)為，從技術(shù)上看，蘋果留下一個“后門”并沒有難度，iOS系統(tǒng)是蘋果自己開發(fā)且是封閉的，蘋果系統(tǒng)的代碼不公開、看不到，也無法分析，沒有辦法對其監(jiān)督，留下一些隱藏功能都很輕松。此前發(fā)現(xiàn)蘋果iOS“后門”的法國科學(xué)家兼iOS黑客喬納森·扎德爾斯基早期是iOS越獄團(tuán)隊(duì)的一員，曾出版《iOS應(yīng)用安全攻防》，因此才發(fā)現(xiàn)蘋果留下的“后門”。 |
