1   1  /  1  页   跳转页

[侃谈天下] 怕怕

收藏
十动然拒
头像
自信弱冠狮
  • 帖子:581
  • 注册: 2012-11-16
  • 来自:
发表于： 2012-11-23 15:23 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

怕怕

中科院报告：XXX产品存在三大隐私安全问题

2012年11月23日 08:51财经网


【《财经》综合报道】XXX浏览器侵犯用户隐私话题再次引人关注。据《上海青年报》11月23日报道，中国科学院信息工程研究所主办的“隐私保护”学术研讨会在京召开。会上一份由中科院保密技术攻防重点实验室研究撰写的《个人隐私泄露风险的技术研究报告》报告揭示：一直以安全为名的XXX浏览器在架构设计、运作原理方面竟然存在着三大隐私安全问题，将会给用户安全带来严重危害。
“这将会给用户安全带来严重危害”，《上海青年报》援引一位与会专家观点称。
此前，工信部曾公开宣布将对XXX安全问题展开调查，但目前尚没有权威机构xxx令人信服的调查结果。中科院作为信息研究的专业机构，此次所出具的该项报告，或将成为推动该问题解决的重要依据。
《上海青年报》还从会上获悉，中科院针对当前互联网常用产品及服务的隐私保护问题进行了整体研究，涉及浏览器、即时通讯、电子商务、社区网站等多个类别。从记者辗转获得的报告原文来看，在浏览器隐私保护情况的研究章节里，中科院信息工程研究所研究人员对XXX安全浏览器进行了详细的研究和分析，并归纳列举出XXX安全浏览器存在的三大安全问题，其中包括： 收集用户所打开过的浏览页面地址、收集用户在浏览器地址栏输入的信息以及预留后台端口，在用户不知情的情况利用云端指令，在后台执行《安装许可协议》规定内容之外的功能等。
调查中，研究人员通过专业技术手段对整个软件运行过程及环境进行了综合测试，证实了XXX确实存在安全问题，并在实验室进行了多次复现。研究人员在报告中举例称，当用户在XXX安全浏览器地址栏中输入一个完整的网址时，XXX浏览器会向XXX公司的特定服务器依次发送用户的每一次输入数据直至输入完成，发送的信息包含了能够确定用户唯一性的ID，这可能会导致特定用户的地址栏输入以及浏览记录容易被跟踪和泄漏。另有分析显示，“这些组件或以欺骗的方式被下载到电脑以实现XXX安全浏览器的某些未明示的功能，也可能造成用户的电脑被恶意侵入”。
实际上，在过去数月，XXX安全软件一直深陷安全及隐私泄漏漩涡，饱受来自网民、媒体、意见领袖和主管部门的质疑。知名打假人士方XX也就安全问题对XXX软件发出连番质疑，指称XXX私自窃取用户隐私、伪装系统补丁、捆绑安装软件以及XXX通过“云控制”远程操控用户电脑等。尽管XXX方面并未正面回应这些问题和质疑，仅仅将其归为“竞争对手迫害”，但层出不穷的真实案例，仍然引发大量用户关注并卸载XXX，一些世界500强企业也内部通知禁用XXX全系产品。根据CNZZ最新发布的数据，自方XX开始打假XXX以来，XXX浏览器的市场份额下降了1.6%，保守估计流失用户1000万。
面对沸沸扬扬的“XXX隐私泄露门”， 10月25日，工信部新闻发言人、通信发展司司长张峰表示，工信部已经介入调查方XX指控的XX虎XXX浏览器窃取用户隐私一事，“如果查实确有违法违规行为，将依法予以严肃处理”。XXX方面随即宣布将主动将产品送至国家质检总局和工信部检验。
对于XXX的主动“送检”，互联网威慑防御(IDF)实验室创始人、安全专家万涛认为作用不大。万涛指出，XXX使用的是云端控制技术，单检测桌面软件很难检测到问题，对整个过程与环境进行检测评估才能更好地说明问题。
中国人民大学教授石文昌曾表示，如果安全软件不遵守软件安全机制设计的重要原则之一 -- 最小特权原则(POLP，principle of least privilege)，而是利用特殊权限，进行非功能实现所必须的操作，其对系统权限的滥用将影响到用户系统的信息安全。
相关与会专家表示，“根据此次中科院的研究报告，和之前社会各界对XXX软件安全性的质疑，XXX公司以安全为名、行盗取泄漏用户隐私之实的一系列行为，已经严重违反了工信部2011年第20号令颁布并于2012年3月15日实施的《规范互联网信息服务市场秩序若干规定》中的相应条款”。
该《个人隐私泄露风险的技术研究报告》标明“V1.0”，发布者为“中国科学院信息工程研究所保密技术攻防重点实验室”，发布时间是2012年11月。


以下为《个人隐私泄露风险的技术研究报告V1.0》的部分内容：
前言
随着国内外个人隐私泄露事件的频繁发生和对个人隐私保护的重视，人们越来越关注日常工作生活中计算机软件、移动终端以及高技术带来的个人隐私问题。中国科学院信息工程研究所保密技术攻防重点实验室对当前常用软件和终端产品的用户隐私保护情况进行了初步调查，通过实验研究发现了一些有关隐私保护存在的风险。本文主要从常用软件、网络服务、移动终端以及声光电磁等四个方面介绍了实验室的研究结果和发现。文中内容注重实例研究和数据再现，希望引起有关部门对个人隐私相关问题的关注。
本文得到了北京大学互联网安全技术北京市重点实验室的帮助。
1 终端常用软件与用户隐私保护
1.1网络浏览器
许多网络浏览器为了增强用户体验、提供个性化服务、发展定向广告业务等目的，通常会在后台收集用户的网页浏览记录等个人信息上传到服务器。然而许多收集用户个人信息的行为是在用户不知情的情况下进行的，或者所收集的信息超出了软件《安装许可协议》中进行了明确规定的范围。


实验室以XXX安全浏览器当前最新版本5.0为例，对浏览器的用户隐私泄露问题进行了分析和研究，网络浏览器中的隐私泄露威胁存在于以下几个方面：
1)预留后门，植入代码：一些浏览器在使用过程中会在用户不知情的情况下在后台执行《安装许可协议》规定内容之外的功能，XXX安全浏览器在运行过程中约每5分钟与服务端进行一次通信，并下载一个文件，如下图所示，下载的文件为se.XXX.cn/cloud/cset18.ini，但是从数据流可以看出该文件实际上是一个PE文件，文件头中标识的产品名称为DataDll。
将该文件从数据流中提取出来得到一个dll文件，查看该文件的属性，得到其文件说明为“XXX安全浏览器 安全网银”。
从该文件中提取到一段Base64编码的文本信息：
W3N0XQ0KY291bnQ9Mg0KW3N0MV0NCmlkPTENCnVybD1odHRwOi8vd3d3LmJhaWR1LmNvbS9zZWFyY2gvcmVzc2FmZS5odG1sKg0KW3N0Ml0NCmlkPTINCnVybD1odHRwOi8vdmVyaWZ5LmJhaWR1LmNvbS92Y29kZT8qDQpbdHJheW1zZ10NCnN0YXRpY3NpZD0zMQ0KY291bnQgPSAxDQp1cmwxPWh0dHA6Ly93d3cuYmFpZHUuY29tL3NlYXJjaC9yZXNzYWZlLmh0bWwqDQpbbWFpbl0NCmhrcmVzMj0xDQpjYmM9MQ0KW2NiY10NCnVybGNvdW50PTENCnVybDE9aHR0cDovL3d3dy5iYWlkdS5jb20vc2VhcmNoL3Jlc3NhZmUuaHRtbCoNCmNiY2NvdW50PTINCmMxPUJBSURVSUQNCmMyPUJEVVNT
经过解码后的内容为：
[st]
count=2
[st1]
id=1
url=http://www.XX.com/search/ressafe.html*
[st2]
id=2
url=http://verify.XX.com/vcode?*
[traymsg]
staticsid=31
count = 1
url1=http://www.XX.com/search/ressafe.html*
[main]
hkres2=1
cbc=1
[cbc]
urlcount=1
url1=http://www.XX.com/search/ressafe.html*
cbccount=2
c1=XXID
c2=BDUSS
由此可推测该DLL文件的功能与网银无任何关系，而是跟搜索引擎XX相关可能是为了躲避Referer字段的检查。这种行为虽然不涉及用户隐私，但是具有欺骗性。
此外，XXX安全浏览器还会在用户不知情的情况下定期从服务端下载和执行一个名为“ExtSmartWiz.dll”的动态链接库。如果该动态链接库被植入恶意功能或者不法分子利用域名劫持等方法对浏览器下载的“ExtSmartWiz.dll”文件进行恶意篡改，将会给用户安全带来严重危害。
2)收集用户浏览记录：很多浏览器会将用户所打开的页面地址上传到服务器，以分析用户的个人爱好或者统计网站的受欢迎度，从而在浏览器首页更好地为用户推荐个性化内容。这种行为也侵犯了用户的隐私数据。下图为当用户使用XXX安全浏览器5.0访问网页的时候，每打开一个网页之后都会向XXX的特定服务器发送一个POST请求，内容包含加密过的url信息。
3)收集浏览器地址栏输入信息：当用户在浏览器地址栏中输入网址的时候，很多浏览器为了帮助用户自动补全网址，会把用户所输入的内容上传到服务器来。下图为当用户在XXX安全浏览器5.0的地址栏中输入“10.105.240.57”时，浏览器会将该地址发送到sug.so.XXX.cn，并且发送时附带的Cookie中会带有具有用户唯一性标志的guid值，这可能会导致特定用户的地址栏输入以及浏览记录被跟踪和泄漏。
下图所示为当用户在XXX安全浏览器5.0的地址栏中输入“weibo.com”的过程中，每输入一个字符，浏览器就会向sug.so.XXX.cn发送当前浏览器地址栏中的内容(即“w”、“we”、“wei”、“weib”、“weibo”、“weibo。”、“weibo.c”、“weibo.co”、“weibo.com”)。
最后编辑十动然拒 最后编辑于 2012-11-23 15:28:45
分享到：
gototop
 
十动然拒
头像
自信弱冠狮
  • 帖子:581
  • 注册: 2012-11-16
  • 来自:
发表于： 2012-11-23 15:39 | 只看楼主 短消息 资料
字号： 小 中 大 2楼

回复: 怕怕

谁说的是真的！



 附件: 您所在的用户组无法下载或查看附件
gototop
 
谁盗了我的ID
头像
社区嘉宾
  • 帖子:37965
  • 注册: 2005-08-02
  • 来自:三界之外
幸运草论坛9周年纪念09欢乐圣诞2012我眼中的你们12周年爱心传递勋章
发表于： 2012-11-23 15:40 | 短消息 资料
字号： 小 中 大 3楼

回复：怕怕

xxx是什么
童话般的爱情和柴米油盐的生活残废了的蚊子依旧怀念噬血的日子
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2012-11-23 15:41 | 短消息 资料
字号： 小 中 大 4楼

回复：怕怕

那xxx，压根就不用。不管它收费不收费。
gototop
 
hfm525
头像
锋芒艾服狮
  • 帖子:2483
  • 注册: 2012-09-13
  • 来自:国民革命军第三十九军
2012我眼中的你们
发表于： 2012-11-23 19:07 | 短消息 资料
字号： 小 中 大 5楼

回复：怕怕

360呗，。。。我也不用360的产品，，，我宁愿裸机也不用他的。、、、他给我钱我考虑用一下
  寂寞的时候就想想签名。看到签名就发现原来一直很寂寞。
gototop
 
天月来了
头像
版主
  • 帖子:76904
  • 注册: 2007-02-06
  • 来自:
发表于： 2012-11-23 19:20 | 短消息 资料
字号： 小 中 大 6楼

回复 4F baohe 的帖子

有些人总是又想用***软件，还又到处发贴要求***改变那些垃圾行为

就象一个人，明知道马路上站那的是一小偷，他还非要带那小偷去家里做事，同时还傻不拉几的要求小偷别偷什么东西。

典型的脑袋被那啥踢了的。
百年以后，你的墓碑旁 刻着的名字不是我
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT