1
時尚的網(wǎng)絡(luò)用語以及多變的皮膚，第三方輸入法往往成為替代手機自帶輸入法的最佳選擇。
但如果這些虛擬鍵盤會泄露你的數(shù)據(jù)……
最近，據(jù)外媒報道，第三方鍵盤應用 AI.type 因儲存信息的服務(wù)器未加密保護而泄露了超過 3100 萬用戶的個人數(shù)據(jù)。而儲存在服務(wù)器上超過 577 GB 的用戶敏感數(shù)據(jù)，包括用戶的完整名字、電子郵件地址，以及應用安裝的時長，甚至每條記錄還包括用戶的精確位置，如城市和國家。
總部位于以色列特拉維夫的 AI.Type 宣稱全球擁有超過 4000 萬的用戶量。而最先發(fā)現(xiàn)其數(shù)據(jù)庫未加密的 Kromtech 安全中心的安全研究人員卻質(zhì)疑其收集用戶信息與該虛擬鍵盤功能無關(guān)。
畢竟在研究人員安裝 Ai.Type 時發(fā)現(xiàn)，用戶必須允許其“完全訪問”存儲在測試 iPhone 上的所有數(shù)據(jù)，甚至包括曾經(jīng)的鍵盤數(shù)據(jù)。
你以為這就結(jié)束了嗎？
當然沒有，研究人員還在其中某個泄露的數(shù)據(jù)庫中發(fā)現(xiàn)了 3.746 億個手機號碼及 1070 萬個電子郵箱地址，以及針對不同地區(qū)用戶 Google 查詢的平均信息量、信息字數(shù)、用戶年齡等數(shù)據(jù)的統(tǒng)計表格。
一個第三方輸入程序為什么需要收集用戶手機或平板電腦的全部數(shù)據(jù)呢？
除此之外，AI.type 分為付費版本與免費版本，而根據(jù)其隱私政策，其免費版本收集的用戶信息更為詳細，包括設(shè)備的 MSI 和 IMEI，型號，屏幕分辨率和 Android 版本，甚至還有手機號碼、服務(wù)商、IP 地址，用戶公開的 Google 賬號信息，用戶在設(shè)備上安裝的應用列表等。而這些數(shù)據(jù)一般被該公司用于廣告盈利。
稍顯奇怪的是，研究人員發(fā)現(xiàn) AI.type 數(shù)據(jù)庫中似乎只出現(xiàn)了 Android 用戶的個人信息，也就是說 iOS 用戶信息未被泄露。
移動安全愛好者無名俠告訴雷鋒網(wǎng)，這與 iOS 系統(tǒng)本身防御無關(guān)，主要由于 App store 隱私政策禁止一切應用收集用戶的個人信息（如電子郵件、序列號等），即 Ai.type 可能并沒有收集 iOS 用戶的數(shù)據(jù)，所以不存在 iOS用戶信息泄露。另外，這次信息泄露的源頭是服務(wù)器，ai.type 由于未對服務(wù)器的數(shù)據(jù)進行加密才導致大量泄露，如果服務(wù)端存在 iOS 用戶的數(shù)據(jù)，也難以躲過這一場浩劫。
目前 AI.type 的聯(lián)合創(chuàng)始人 Eitan Fitusi 稱公司已經(jīng)對數(shù)據(jù)庫進行了加固操作，但他沒有就此事發(fā)表評論。
盡管作為英文輸入法的 Ai.type 并不會對國內(nèi)大量用戶產(chǎn)生影響，但也引發(fā)了圍觀群眾對國內(nèi)第三方輸入法應用的擔憂，畢竟這些輸入法無時無刻都在上傳用戶的個人信息。無名俠也在此建議用戶禁止輸入應用的網(wǎng)絡(luò)訪問。
未對數(shù)據(jù)庫加密的第三方輸入法遠不止 Ai.type，如此大規(guī)模的用戶數(shù)據(jù)泄露的確為廠商敲響了警鐘。值得思考的是，如何保證虛擬鍵盤應用數(shù)據(jù)庫的數(shù)據(jù)安全？
無名俠告訴雷鋒網(wǎng)，目前，Android 應用都會使用 Android 提供的 Sqlite 數(shù)據(jù)庫。Sqlite 數(shù)據(jù)庫本身支持加密，加密的 Sqlite 數(shù)據(jù)庫將不能被直接訪問。Sqlite 數(shù)據(jù)庫是存放在用戶手機本地的，但即使有加密，也可以通過逆向分析和動態(tài)調(diào)試等手段獲得數(shù)據(jù)庫密碼。
當然，這很大程度上取決了系統(tǒng)的安全性，Android 系統(tǒng)在非 root 情況下，應用之間的數(shù)據(jù)庫是不能互相訪問，這一定程度上保護了 APP 私有數(shù)據(jù)的安全性。如果 Android 系統(tǒng)被 Root，那么其它惡意程序就能很容易得訪問到正常程序的數(shù)據(jù)庫。所以建議 Android 用戶盡量不要 root，iOS 用戶盡量不要越獄。
無名俠也建議廠商對本地數(shù)據(jù)庫設(shè)置密碼并對存儲的數(shù)據(jù)進行二次加密，數(shù)據(jù)通信采用 HTTPS 協(xié)議并對服務(wù)器證書進行校驗，數(shù)據(jù)包一律添加簽名字段，盡可能保證服務(wù)端收到數(shù)據(jù)的真實性。
（打完這篇文章，雷鋒網(wǎng)編輯默默卸載了剛換了皮膚的輸入法……）
文章參考自hackread
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
