10:09 am - Thursday 03 December 2020

保安專家證實: 小米手機內整個聯絡人清單都會分享至北京

週六 2014年08月09日, 9:14 下午【點此取得本文短網址】

  • 0 Comments
  • 20179 views
  • Print Print
文章來源

由: Truman 發佈 2014.8.9

上月有網友發現小米手機暗中長期連接大陸,由手機啟動開始就有程式將你的照片、訊息和其他檔案傳送至大陸伺服器。期後小米官方否認指控,宣稱只會透過「小米帳號」和「小米雲服務」同步用戶資料,而用戶可以自己選擇是否啟動這些服務。不過保安軟件公司 F-Secure 最新的測試就有更驚人的發現。

F-Secure 測試的是一部新開箱的「紅米 1S」,以確保沒有啟動任何雲端服務。然後進行一系列工作,包括放入 SIM 卡;連接 Wi-Fi;啟動 GPS;新增聯絡人;傳送及接收 SMS 訊息;撥打和接聽電話。

結果發現紅米一開機就會自動暗中傳送電訊商名稱、手機序號和電話號碼到小米的北京伺服器。令人更擔心的是手機內每一個聯絡人的號碼,甚至每個向你傳送訊息的號碼通通都會傳送至北京。這些全部都是在沒有啟動小米電端之下發生。

小米偷傳資料 專家證實
2014年08月09日


資安業者實測,發現小米手機確實有將資料回傳中國的狀況。(AFP)

【記者方惠萱/台北報導】有中國背景的小米與紅米機,利用飢餓行銷在兩岸掀起風潮,不過對於中國產品,許多人都擔心資安問題,小米日前就被爆料會於夜間傳資料回中國北京,當時小米否認,但是日前有媒體請資安業者實測,發現確實有將資料回傳的狀況。

台灣網路媒體iThome請資安廠商實測,資安公司芬安全(F-Secure)實測兩款全新紅米機與小米機,從7月31日至8月6日,每個環節都經過資安實驗室人員2~3次的反覆測試,8日發布實測結果。

芬安全發現,紅米手機在開機連網後,會連上「api.account.xiaomi.com」伺服器,回傳手機序號(IMEI)碼及手機號碼。對此,台灣小米官方回覆,開機後是為了驗證手機是否為真品,且確認雙方皆為小米機,才能使用網路簡訊功能。

而另一間資安公司戴夫寇爾執行長翁浩正,則測試一支已經正常使用多時的紅米機,其中只安裝少數基本App,進行封包側錄。他表示,一開機,紅米機就會把所有作業系統安裝的程式名稱傳送到小米主機(http://policy.app.xiaomi.com/cms/interface/v1/checkpackages.php),且查不到相關資訊。他認為,一般手機很少會將使用者的應用程式清單全數回傳給手機業者,這是他測試紅米手機最感到不解之處。

芬安全建議,用戶可以安裝防火牆或是加密APP,防止資料外洩,因為目前小米傳輸資料是以純文字且非加密的形式傳輸,傳輸過程可能有被偵測的風險。◇

專家實測 小米手機的確傳資料到北京

2014-08-09 18:10

〔本報訊〕中國品牌小米手機在兩岸掀起風潮,但前陣子卻被爆料小米手機會回傳使用者資料至中國北京,對此小米否認。日前iThome找來資安專家實機測試,發現無論是使用過或是全新的紅米手機,確實會把資料傳回小米公司位在北京的伺服器。


iThome找資安專家實機測試,發現小米手機確實會把資料傳回北京的伺服器。(圖擷取自小米手機官網)

iThome聯繫資安公司芬安全(F-Secure)馬來西亞亞洲實驗室,實測全新的小米機第三代以及紅米機1s。在手機插入SIM卡、連上Wi-Fi並啟動時,紅米手機1s會連上小米手機某台伺服器(api.account.xiaomi.com),並且回傳手機序號IMEI碼和插入SIM卡的手機號碼到該伺服器。

芬安全也發現,小米手機會把接收簡訊者的電話號碼回傳小米手機北京伺服器。啟用雲端服務時,紅米手機會也會連至小米手機的北京伺服器,並回傳國際行動用戶辨識碼(IMSI)、手機序號(IMEI號碼)和電話號碼。資安公司戴夫寇爾執行長翁浩正感到不解,因為一般手機很少會將使用者的應用程式清單全部回傳給手機業者。

iThome網站指出,台灣小米官方則表示,一開機後的連線,是要回傳IMEI確認是否為正貨,並確認該號碼是否申請過小米帳號;傳送簡訊時是為了確認雙方都是小米手機,才能使用網路簡訊;登錄小米雲服務所回傳的資料,則是依照使用者設定,才能同步使用者手機資料;回傳應用程式清單,是因為使用者開啟小米雲備份功能,當使用者換新手機時,可以直接由雲備份下載。

台灣小米官方強調,未經用戶允許,不會主動上傳涉及使用者隱私的個人資訊和資料,而其它個人隱私的個人資料、照片、簡訊等,需要使用者主動開啟,也可以隨時關閉。

翻牆問答﹕小米手機的洩密問題
【阿波羅新聞網 2014-08-09 訊】

對中國異見人士而言,就算你並非使用經實名登記的預付咭,與其他朋友的通訊,仍然有機會在使用手機過程中在不知情下資料外洩。由於部分小米手機傳送給中國主機的資料並未有加密,若然有黑客故意攔截資料,更可能令你的個人資料落入不明人士手上,這其實是相當危險的一件事。 就算對普通人,小米手機未經用戶批准不斷傳送資料,亦可能製造無謂的數據流量,由於數據流量所產生的費用由用戶負擔,換言之,這會令用戶有實質的財政損失。所以用戶要自行衡量,使用小米手機涉及的費用及私隱風險。

DC:小米手機被查出會自動連接在北京的主機後,一直令很多人對小米手機有疑慮。最近台灣有些有心人,進一步查出關於小米手機連接北京主機的詳情,請問能否介紹一下?

李:台灣有網站將小米第三代手機交給F-Secure在馬來西亞的實驗室進行測試,他們對全新完全未啟動過﹑未連接小米云服務的手機進行測試,在容許手機連接實驗室的Wi-Fi網絡後,發現手機會自動將手機的號碼、IMEI、SIM卡編號等資料傳到小米在北京的主機,就算未有連接小米云都無可倖免。

而實驗室在實驗過程中發現更大問題在於,當你用小米手機接收短信時,小米手機會將短信發信人的資料一併送到北京的主機。而小米手機內各類奇奇怪怪的程式,亦會以加密方式連接到中國的QQ以至友盟公司的主機。換言之,你根本不知道有多少私隱會漏到北京方面。

DC:對中國的用戶而言,若然使用小米手機,將有什麼風險?

李:對中國異見人士而言,就算你並非使用經實名登記的預付咭,與其他朋友的通訊,仍然有機會在使用手機過程中在不知情下資料外洩。由於部分小米手機傳送給中國主機的資料並未有加密,若然有黑客故意攔截資料,更可能令你的個人資料落入不明人士手上,這其實是相當危險的一件事。

就算對普通人,小米手機未經用戶批准不斷傳送資料,亦可能製造無謂的數據流量,由於數據流量所產生的費用由用戶負擔,換言之,這會令用戶有實質的財政損失。所以用戶要自行衡量﹐使用小米手機涉及的費用及私隱風險。

DC:那有沒有任何不令自己資料外洩的方法,可以繼續使用小米手機?

李:由於小米手機就算沒有裝小米云都好,只要你連接了數據網絡,就會傳送IMEI、SIM號碼等資料到北京小米主機,因此唯一安全使用小米手機的方法,就是小米手機完全不連接互聯網。但買智能手機的目的,其實都是想享用流動互聯網帶來的方便,如此斬腳趾避沙蟲的方法,並非買智能手機的人所期望的。

DC:那現有小米手機的用家,有什麼補救方法?

李:由於小米手機的傳送資料機制,與那些內置木馬的山寨手機分別不大,因此,對現有小米手機的用家,最能保障自己的方法,就是備份資料後﹐停用小米手機。而由於小米手機已經將你手機的SIM號碼和電話號碼傳到北京方面,要徹底保障你個人利益的方法,就是連SIM卡和手機號碼都一併換,對為數不少的中國預付手機卡的用戶,最簡單的方法就是拋棄你現有的手機號碼,並換上沒有實名登記的新手機卡,並在沒有類似問題的手機上使用。雖然很多人花了大筆錢去買小米手機,但由於小米手機的做法對用戶威脅實在太大,這也是迫於無奈的做法,購買非中國公司出品的手機,是對中國用戶私隱最徹底的保護辦法。因為現在事實證明,不論山寨手機,還是名牌手機,他們洩漏個人資料的手法都是大同小異。

  • 0 Comments
  • 1 Star2 Stars3 Stars4 Stars5 Stars (No Ratings Yet)
    Loading...
  • 20179 views

Leave a Reply