1
時尚的網(wǎng)絡用語以及多變的皮膚，第三方輸入法往往成為替代手機自帶輸入法的最佳選擇。
但如果這些虛擬鍵盤會泄露你的數(shù)據(jù)……
最近，據(jù)外媒報道，第三方鍵盤應用 AI.type 因儲存信息的服務器未加密保護而泄露了超過 3100 萬用戶的個人數(shù)據(jù)。而儲存在服務器上超過 577 GB 的用戶敏感數(shù)據(jù)，包括用戶的完整名字、電子郵件地址，以及應用安裝的時長，甚至每條記錄還包括用戶的精確位置，如城市和國家。
總部位于以色列特拉維夫的 AI.Type 宣稱全球擁有超過 4000 萬的用戶量。而最先發(fā)現(xiàn)其數(shù)據(jù)庫未加密的 Kromtech 安全中心的安全研究人員卻質(zhì)疑其收集用戶信息與該虛擬鍵盤功能無關。
畢竟在研究人員安裝 Ai.Type 時發(fā)現(xiàn)，用戶必須允許其“完全訪問”存儲在測試 iPhone 上的所有數(shù)據(jù)，甚至包括曾經(jīng)的鍵盤數(shù)據(jù)。
你以為這就結束了嗎？
當然沒有，研究人員還在其中某個泄露的數(shù)據(jù)庫中發(fā)現(xiàn)了 3.746 億個手機號碼及 1070 萬個電子郵箱地址，以及針對不同地區(qū)用戶 Google 查詢的平均信息量、信息字數(shù)、用戶年齡等數(shù)據(jù)的統(tǒng)計表格。
一個第三方輸入程序為什么需要收集用戶手機或平板電腦的全部數(shù)據(jù)呢？
除此之外，AI.type 分為付費版本與免費版本，而根據(jù)其隱私政策，其免費版本收集的用戶信息更為詳細，包括設備的 MSI 和 IMEI，型號，屏幕分辨率和 Android 版本，甚至還有手機號碼、服務商、IP 地址，用戶公開的 Google 賬號信息，用戶在設備上安裝的應用列表等。而這些數(shù)據(jù)一般被該公司用于廣告盈利。
稍顯奇怪的是，研究人員發(fā)現(xiàn) AI.type 數(shù)據(jù)庫中似乎只出現(xiàn)了 Android 用戶的個人信息，也就是說 iOS 用戶信息未被泄露。
移動安全愛好者無名俠告訴雷鋒網(wǎng)，這與 iOS 系統(tǒng)本身防御無關，主要由于 App store 隱私政策禁止一切應用收集用戶的個人信息（如電子郵件、序列號等），即 Ai.type 可能并沒有收集 iOS 用戶的數(shù)據(jù)，所以不存在 iOS用戶信息泄露。另外，這次信息泄露的源頭是服務器，ai.type 由于未對服務器的數(shù)據(jù)進行加密才導致大量泄露，如果服務端存在 iOS 用戶的數(shù)據(jù)，也難以躲過這一場浩劫。
目前 AI.type 的聯(lián)合創(chuàng)始人 Eitan Fitusi 稱公司已經(jīng)對數(shù)據(jù)庫進行了加固操作，但他沒有就此事發(fā)表評論。
盡管作為英文輸入法的 Ai.type 并不會對國內(nèi)大量用戶產(chǎn)生影響，但也引發(fā)了圍觀群眾對國內(nèi)第三方輸入法應用的擔憂，畢竟這些輸入法無時無刻都在上傳用戶的個人信息。無名俠也在此建議用戶禁止輸入應用的網(wǎng)絡訪問。
未對數(shù)據(jù)庫加密的第三方輸入法遠不止 Ai.type，如此大規(guī)模的用戶數(shù)據(jù)泄露的確為廠商敲響了警鐘。值得思考的是，如何保證虛擬鍵盤應用數(shù)據(jù)庫的數(shù)據(jù)安全？
無名俠告訴雷鋒網(wǎng)，目前，Android 應用都會使用 Android 提供的 Sqlite 數(shù)據(jù)庫。Sqlite 數(shù)據(jù)庫本身支持加密，加密的 Sqlite 數(shù)據(jù)庫將不能被直接訪問。Sqlite 數(shù)據(jù)庫是存放在用戶手機本地的，但即使有加密，也可以通過逆向分析和動態(tài)調(diào)試等手段獲得數(shù)據(jù)庫密碼。
當然，這很大程度上取決了系統(tǒng)的安全性，Android 系統(tǒng)在非 root 情況下，應用之間的數(shù)據(jù)庫是不能互相訪問，這一定程度上保護了 APP 私有數(shù)據(jù)的安全性。如果 Android 系統(tǒng)被 Root，那么其它惡意程序就能很容易得訪問到正常程序的數(shù)據(jù)庫。所以建議 Android 用戶盡量不要 root，iOS 用戶盡量不要越獄。
無名俠也建議廠商對本地數(shù)據(jù)庫設置密碼并對存儲的數(shù)據(jù)進行二次加密，數(shù)據(jù)通信采用 HTTPS 協(xié)議并對服務器證書進行校驗，數(shù)據(jù)包一律添加簽名字段，盡可能保證服務端收到數(shù)據(jù)的真實性。
（打完這篇文章，雷鋒網(wǎng)編輯默默卸載了剛換了皮膚的輸入法……）
文章參考自hackread
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權禁止轉載。詳情見轉載須知。
