中科院:360隐私泄露风险的技术研究报告

360浏览器侵犯用户隐私话题再次引人关注。据《上海青年报》11月23日报道,中国科学院信息工程研究所主办的“隐私保护”学术研讨会在京召开。会上一份由中科院保密技术攻防重点实验室研究撰写的《个人隐私泄露风险的技术研究报告》报告揭示:一直以安全为名的360浏览器在架构设计、运作原理方面竟然存在着三大隐私安全问题,将会给用户安全带来严重危害。

对中科院的报告,给360我是真心给跪了 这点子都能想的出来。

“这将会给用户安全带来严重危害”,《上海青年报》援引一位与会专家观点称。

此前,工信部曾公开宣布将对360安全问题展开调查,但目前尚没有权威机构出台令人信服的调查结果。中科院作为信息研究的专业机构,此次所出具的该项报告,或将成为推动该问题解决的重要依据。

《上海青年报》还从会上获悉,中科院针对当前互联网常用产品及服务的隐私保护问题进行了整体研究,涉及浏览器、即时通讯、电子商务、社区网站等多个类别。从记者辗转获得的报告原文来看,在浏览器隐私保护情况的研究章节里,中科院信息工程研究所研究人员对360安全浏览器进行了详细的研究和分析,并归纳列举出360安全浏览器存在的三大安全问题,其中包括: 收集用户所打开过的浏览页面地址、收集用户在浏览器地址栏输入的信息以及预留后台端口,在用户不知情的情况利用云端指令,在后台执行《安装许可协议》规定内容之外的功能等。

调查中,研究人员通过专业技术手段对整个软件运行过程及环境进行了综合测试,证实了360确实存在安全问题,并在实验室进行了多次复现。研究人员在报告中举例称,当用户在360安全浏览器地址栏中输入一个完整的网址时,360浏览器会向360公司的特定服务器依次发送用户的每一次输入数据直至输入完成,发送的信息包含了能够确定用户唯一性的ID,这可能会导致特定用户的地址栏输入以及浏览记录容易被跟踪和泄漏。另有分析显示,“这些组件或以欺骗的方式被下载到电脑以实现360安全浏览器的某些未明示的功能,也可能造成用户的电脑被恶意侵入”。

实际上,在过去数月,360安全软件一直深陷安全及隐私泄漏漩涡,饱受来自网民、媒体、意见领袖和主管部门的质疑。知名打假人士方舟子也就安全问题对360软件发出连番质疑,指称360私自窃取用户隐私、伪装系统补丁、捆绑安装软件以及360通过“云控制”远程操控用户电脑等。尽管360方面并未正面回应这些问题和质疑,仅仅将其归为“竞争对手迫害”,但层出不穷的真实案例,仍然引发大量用户关注并卸载360,一些世界500强企业也内部通知禁用360全系产品。根据CNZZ最新发布的数据,自方舟子开始打假360以来, 360浏览器的市场份额下降了1.6%,保守估计流失用户1000万。

面对沸沸扬扬的“360隐私泄露门”, 10月25日,工信部新闻发言人、通信发展司司长张峰表示,工信部已经介入调查方舟子指控的奇虎360浏览器窃取用户隐私一事,“如果查实确有违法违规行为,将依法予以严肃处理”。360方面随即宣布将主动将产品送至国家质检总局和工信部检验。

对于360的主动“送检”, 互联网威慑防御(IDF)实验室创始人、安全专家万涛认为作用不大。万涛指出,360使用的是云端控制技术,单检测桌面软件很难检测到问题,对整个过程与环境进行检测评估才能更好地说明问题。

中国人民大学教授石文昌曾表示,如果安全软件不遵守软件安全机制设计的重要原则之一 — 最小特权原则(POLP,principle of least privilege),而是利用特殊权限,进行非功能实现所必须的操作,其对系统权限的滥用将影响到用户系统的信息安全。

相关与会专家表示,“根据此次中科院的研究报告,和之前社会各界对360软件安全性的质疑,360公司以安全为名、行盗取泄漏用户隐私之实的一系列行为,已经严重违反了工信部2011年第20号令颁布并于2012年3月15日实施的《规范互联网信息服务市场秩序若干规定》中的相应条款”。

该《个人隐私泄露风险的技术研究报告》标明“V1.0”,发布者为“中国科学院信息工程研究所保密技术攻防重点实验室”,发布时间是2012年11月。

以下为《个人隐私泄露风险的技术研究报告V1.0》的部分内容:

前言

随着国内外个人隐私泄露事件的频繁发生和对个人隐私保护的重视,人们越来越关注日常工作生活中计算机软件、移动终端以及高技术带来的个人隐私问题。中国科学院信息工程研究所保密技术攻防重点实验室对当前常用软件和终端产品的用户隐私保护情况进行了初步调查,通过实验研究发现了一些有关隐私保护存在的风险。本文主要从常用软件、网络服务、移动终端以及声光电磁等四个方面介绍了实验室的研究结果和发现。文中内容注重实例研究和数据再现,希望引起有关部门对个人隐私相关问题的关注。

本文得到了北京大学互联网安全技术北京市重点实验室的帮助。

1 终端常用软件与用户隐私保护

1.1网络浏览器

许多网络浏览器为了增强用户体验、提供个性化服务、发展定向广告业务等目的,通常会在后台收集用户的网页浏览记录等个人信息上传到服务器。然而许多收集用户个人信息的行为是在用户不知情的情况下进行的,或者所收集的信息超出了软件《安装许可协议》中进行了明确规定的范围。

实验室以360安全浏览器当前最新版本5.0为例,对浏览器的用户隐私泄露问题进行了分析和研究,网络浏览器中的隐私泄露威胁存在于以下几个方面:

1)预留后门,植入代码:一些浏览器在使用过程中会在用户不知情的情况下在后台执行《安装许可协议》规定内容之外的功能,360安全浏览器在运行过程中约每5分钟与服务端进行一次通信,并下载一个文件,如下图所示,下载的文件为se.360.cn/cloud/cset18.ini,但是从数据流可以看出该文件实际上是一个PE文件,文件头中标识的产品名称为DataDll。

 

中科院:360隐私泄露风险的技术研究报告

图1-1

 

将该文件从数据流中提取出来得到一个dll文件,查看该文件的属性,得到其文件说明为“360安全浏览器 安全网银”。

 

中科院:360隐私泄露风险的技术研究报告

图1-2

 

从该文件中提取到一段Base64编码的文本信息:

W3N0XQ0KY291bnQ9Mg0KW3N0MV0NCmlkPTENCnVybD1odHRwOi8vd3d3LmJhaWR1LmNvbS9zZWFyY2gvcmVzc2FmZS5odG1sKg0KW3N0Ml0NCmlkPTINCnVybD1odHRwOi8vdmVyaWZ5LmJhaWR1LmNvbS92Y29kZT8qDQpbdHJheW1zZ10NCnN0YXRpY3NpZD0zMQ0KY291bnQgPSAxDQp1cmwxPWh0dHA6Ly93d3cuYmFpZHUuY29tL3NlYXJjaC9yZXNzYWZlLmh0bWwqDQpbbWFpbl0NCmhrcmVzMj0xDQpjYmM9MQ0KW2NiY10NCnVybGNvdW50PTENCnVybDE9aHR0cDovL3d3dy5iYWlkdS5jb20vc2VhcmNoL3Jlc3NhZmUuaHRtbCoNCmNiY2NvdW50PTINCmMxPUJBSURVSUQNCmMyPUJEVVNT

经过解码后的内容为:

[st]

count=2

[st1]

id=1

url=//www.baidu.com/search/ressafe.html*

[st2]

id=2

url=//verify.baidu.com/vcode?*

[traymsg]

staticsid=31

count = 1

url1=//www.baidu.com/search/ressafe.html*

[main]

hkres2=1

c**=1

[c**]

urlcount=1

url1=//www.baidu.com/search/ressafe.html*

c**count=2

c1=BAIDUID

c2=BDUSS

由此可推测该DLL文件的功能与网银无任何关系,而是跟搜索引擎百度相关可能是为了躲避Referer字段的检查。这种行为虽然不涉及用户隐私,但是具有欺骗性。

此外,360安全浏览器还会在用户不知情的情况下定期从服务端下载和执行一个名为“ExtSmartWiz.dll”的动态链接库。如果该动态链接库被植入恶意功能或者不法分子利用域名劫持等方法对浏览器下载的“ExtSmartWiz.dll”文件进行恶意篡改,将会给用户安全带来严重危害。

2)收集用户浏览记录:很多浏览器会将用户所打开的页面地址上传到服务器,以分析用户的个人爱好或者统计网站的受欢迎度,从而在浏览器首页更好地为用户推荐个性化内容。这种行为也侵犯了用户的隐私数据。下图为当用户使用360安全浏览器5.0访问网页的时候,每打开一个网页之后都会向360的特定服务器发送一个POST请求,内容包含加密过的url信息。

 

中科院:360隐私泄露风险的技术研究报告

图1-3

 

3)收集浏览器地址栏输入信息:当用户在浏览器地址栏中输入网址的时候,很多浏览器为了帮助用户自动补全网址,会把用户所输入的内容上传到服务器来。下图为当用户在360安全浏览器5.0的地址栏中输入“10.105.240.57”时,浏览器会将该地址发送到sug.so.360.cn,并且发送时附带的Cookie中会带有具有用户唯一性标志的guid值,这可能会导致特定用户的地址栏输入以及浏览记录被跟踪和泄漏。

 

中科院:360隐私泄露风险的技术研究报告

图1-4

 

下图所示为当用户在360安全浏览器5.0的地址栏中输入“weibo.com”的过程中,每输入一个字符,浏览器就会向sug.so.360.cn发送当前浏览器地址栏中的内容(即“w”、“we”、“wei”、“weib”、“weibo”、“weibo。”、“weibo.c”、“weibo.co”、“weibo.com”)。

 

中科院:360隐私泄露风险的技术研究报告

 

图1-5

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至253000106@qq.com举报,一经查实,本站将立刻删除。

发布者:卢松松,转转请注明出处:https://www.chuangxiangniao.com/p/1069294.html

(0)
上一篇 2025年1月13日 15:54:00
下一篇 2025年1月4日 19:00:29

AD推荐 黄金广告位招租... 更多推荐

相关推荐

  • 方舟子再曝360浏览器安全问题

    今日,又有网友在微博上曝光了360浏览器的安全漏洞问题,并愤慨地表示果断卸载了所有360产品。一位显示为卡博特公司员工、ID为“桃麻”的网友称,自己用了360的浏览器后,不用登陆公司专用内部软件就能进入公司内网系统,而其他浏览器则不行。他表…

    IT业界 2025年1月13日
    100
  • 360安全浏览器小范围测试拦截百度首页

    网友微博爆料360安全浏览器,拦截百度首页,如图所示,不过现在据说已经恢复了。 王小川转发说:360安全浏览器对百度来说太不安全了。1. 应该还只是小规模测试; 2. 搜狗又有浏览器又有搜索,这种招数怎么就想不出来呢 王小川这是夸360呢?…

    IT业界 2025年1月13日
    100
  • 百度怎么样判断网站的用户粘度

    百度不停的提出用户粘度的重要性,最近k站后也给粘度高的网站很大的权重提升,但是,我查看了好多关于搜索引擎原理的书籍,都没有提到如何实现用户粘度是怎么样判断的。很多使用cnzz来跟踪流量的站长都知道,里边可以统计出单个用户点击次数、页面停留时…

    2025年1月13日
    100
  • 百度浏览器史上最淫荡的浏览器,有图有真相

    百度浏览器看来在大量山寨机里做了猛烈的淫荡植入。无限弹出。百度影音大有赶超快播之势,难道百度浏览器也想借助屌丝们的力量,继续奋勇向前!!!??? 百度浏览器试用着玩玩还可以,真的要用其进行工作、学习和阅读是非常困难的,其虽然是在IE的内核上…

    IT业界 2025年1月13日
    100
  • 360公司的软肋是什么?

    老生长谈的说,产品可替代性什么的无需多谈,因为360的产品在同类产品中体验遥遥领先。只有一点至为关键:用户粘性极低。 用户相互之间几乎无法产生关系。 说得更开一点,其根基是安全产品,主打的也是安全与客户端策略,除了专为通讯用的客户端或游戏什…

    IT业界 2025年1月13日
    100
  • Android 5.0十大功能预测

    从目前的情况来看,谷歌毫无征兆的放慢了Android操作平台的开发速度。2011年年底,Galaxy Nexus率先开跑Android 4.0。随后的今年6月底I/O开发者大会上,谷歌再度发布代码名为Jelly Bean的Android 4…

    IT业界 2025年1月13日
    100
  • 小米营销的经验分享

    几天前去小米公司参观,和小米负责营销的副总裁黎万强交流了下小米营销上的经验,收获颇丰,分享如下: 1)小米的营销主要自己操盘,包括公关、微博营销、客服等都由自己来做而不是选择外包,有效保证了和用户的零距离沟通,执行力更强。 2)小米的营销负…

    IT业界 2025年1月13日
    100
  • 微信之父张小龙谈移动互联网产品的经验心得

    2012年7月24日下午14:20—23:30,我应邀参加了《腾讯大讲堂》的特别讲座,由微信之父张小龙主讲《微信背后的产品观》。张小龙的讲演长达8小时20分,是我此生参加过的最漫长讲座。腾讯为此开设17个分会场,同步直播讲座,参…

    IT业界 2025年1月13日
    100
  • 请小米公司自重:MIUI系统造成用户大量敏感数据泄露

    在目前所有MIUI系统中,满足漏洞条件的情况下,该漏洞导致手机中任何应用程序均能获取用户的以下敏感数据: 1. 已安装应用软件列表及版本号 2. 用户通讯录中联系人姓名、电话号码、邮箱地址等 3. 用户通话记录中电话号码、通话时间等. 4.…

    IT业界 2025年1月13日
    100
  • 某天使内部邮件曝光:移动互联网创业机会只剩3年

    1、今天的几千万总用户的移动互联网只是冰山一角,真正的冰山至少是10倍的量,这个冰山会在未来3年完成上浮。所以今天移动互联网上千万用户的这些大牛App,在3年后将再上升10倍。我估计三年后像xxx 这样的App,只要自己不犯大错,一定是轻易…

    IT业界 2025年1月13日
    100

发表回复

登录后才能评论

联系我们

156-6553-5169

在线咨询: QQ交谈

邮件:253000106@qq.com

工作时间:周一至周五,9:30-18:30,节假日休息

联系微信