为什么我们的智能手机越来越不值得信任

百家 作者:腾讯数码 2017-11-30 03:31:36

腾讯数码讯(米可)智能手机可能包含一些让你变得更脆弱的“秘密”功能。

在这里我说的并不是黑客会利用产品偶然出现的一些设计缺陷,毕竟对于计算机类的产品,安全漏洞会一直存在。这是一种猫捉老鼠的游戏,图谋不轨的参与者总会试图破坏智能手机的安全,而智能手机行业则试图第一时间修复那些被黑客利用的偶然漏洞,这并不是什么新鲜事。

我们今天要讨论的是一种新的现象,在过去几周才刚刚出现这种问题。

我指的是智能手机公司在设计阶段作出的决策,智能手机在后台和隐藏在背后的事情,让手机变得不那么安全。

最近,谷歌、苹果和OnePlus都被发现有偷偷控制用户手机的行为,这些行为用户永远不会自己发现。即使用户采取行动关闭了一些软件,同样会造成潜在的不安全因素。

也许智能手机行业这么做的初衷是充满了善意,厂商想要提高产品的性能或易用性。但是在没有明确告知用户的情况下做出这样的决定,就是对用户和消费者的不尊重。

这是我们在过去的几周内得出的初步结论。

谷歌安卓Cell ID追踪事件

Quartz之前曾发布一份报告表示,安卓智能手机的系统会收集用户位置数据,并将这些数据发送回谷歌。就算用户主动关闭了手机上的GPS定位功能,也没有开启任何相关的程序,甚至没有插入运营商的SIM卡,只要接入网络,这些数据都会被发送回谷歌的服务器。

Quartz表示从今年年初开始,安卓智能手机一直都在收集附近信号塔的地址,这让谷歌获取到了远超“合理隐私权限”的用户位置信息。

谷歌已经承认了这一事实,并且表示在这份报告受到外界关注之后终止这一做法。

在一份公开的技术性声明中谷歌对此进行了解释。“为了确保用户能够第一时间接收到信息和通知,安卓智能手机使用了一个网络同步系统,该系统需要使用MCC和MNC代码。今年1月,我们开始研究使用Cell ID作为进一步提高信息传输速度和质量的额外信号。”谷歌在声明中表示。

Cell ID代码通常是代表信号单元塔的唯一标识,它是一个变量,可以用来确定某个设备的位置。谷歌表示收集的Cell ID从未被储存在网络同步系统中,使用完毕后所有数据都被立即删除。

谷歌现在已经表示,不会再收集用户的Cell ID代码,但仍会继续使用MCC和MNC代码,因为后两者为消息和通知传递提供了必要的网络信息。谷歌还补充,这些代码与定位服务完全不同,后者是为应用提供了设备的位置信息。

对谷歌来说,用Cell ID来加快消息传递是一种正确的方式。但在所有安卓智能手机上实现Cell ID追踪而不告诉用户正在传输位置信息,即使是这些数据被第一时间删除,也是错误的做法。

苹果iOS 11系统控制中心连接控制混乱

iOS系统的设置中心一直都可以让用户直接开启或关闭Wi-Fi或蓝牙连接功能。

当我们在设置界面中关闭Wi-Fi或蓝牙的时候,这两个功能会彻底断开与设备的连接,然后关闭这项功能,然后Wi-Fi和蓝牙就已经彻底无法连接,两种功能也会一直处于关闭状态,直到用户再开启为止。

这是用户期望的工作方式,以及它正常的工作方式。

为了方便起见,苹果在iOS 7系统中加入了控制中心功能。直到今天,用户依然可以通过从屏幕底部向上滑动的方式激活控制中心(当然在iPhone X中的激活方式变成了从屏幕中心向右滑动),用户就可以在控制中心快捷开启或关闭Wi-Fi和蓝牙,还有其它相关功能。

苹果加入控制中心功能是非常明智的选择,因为这可以让用户快速、频繁的开启或关闭。例如快捷开启Wi-Fi或蓝牙就可以节省不少电量。

但在iOS 11系统中出现了这样问题,虽然在控制中心看起来是关闭状态,但其实只是断开连接,并没有真正关闭两种功能。

当用户从控制中心关闭蓝牙或Wi-Fi的时候,iOS 11会自动重新连接到新的热点或蓝牙设备,只要在连接范围内即可。甚至会在凌晨5点重新连接到用户主动断开的网络或设备中。

在设置界面下关闭是彻底和永久性的关闭,在控制中心“关闭”只是一种错觉,Wi-Fi和蓝牙仍在继续。

对于大部分的用户来说,都会认为在控制中心关闭和设置界面关闭是实现相同的目的,但实际上它们的效果完全不同。苹果只是在一个模糊的、谁都不会在意的帮助界面下通知用户,苹果自己也知道,大多数的用户永远不会看到这个页面。

苹果这么做,本身就是为了快速脱离网络资源,并且让设备继续支持AirDrop、个人热点等网络,同时继续支持Apple Watch或Apple Pencil的外接设备。如果从方便的角度来说,苹果的做法是合理的。

但是苹果的错误在与没有能够清楚直接的告诉用户这样的变化,用户并不知道从控制中心开关上并不能彻底关闭Wi-Fi和蓝牙功能。

OnePlus EngineerMode后门

本月,移动安全研究专家Elliot Alderson表示OnePlus被发现安装了一款存在后门的应用EngineerMode。这是一款诊断软件,通常出现在原型机或预装软件中。

有三种方式可以激活EngineerMode,使用拨号命令、Android启动器或命令行。

这种支持root的EngineerMode应用虽然有密码保护,但是非常容易破解并且在网上被共享,可以对这款设备进行物理访问。

OnePlus在一篇博客中回应,认为这并不是一个重大安全问题,因为它不太可能被用于开发,但随后公司在更新中移除了这个应用。

EngineerMode是一款经过OnePlus定制的高通开发应用,包括华硕和小米也都使用过这款应用。

虽然不清楚OnePlus在什么情况下要安装这款应用,但作为一家大型智能手机,有意留下具有后门性质的漏洞可能性并不大。更可能的是,OnePlus希望通过这款应用加快手机系统的安装速度,而不需要在每部手机上都重复卸载安装过程。

如果OnePlus真的能够保证EngineerMode不会出现重大安全问题,那么这么做也是由足够的理由。


关注公众号:拾黑(shiheibook)了解更多

[广告]赞助链接:

四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

公众号 关注网络尖刀微信公众号
随时掌握互联网精彩
赞助链接