Re: [新闻] 蒐台用户资料 小米认了急修补

楼主: alentanic (.....)   2014-08-11 13:19:03
※ 引述《dropboss (恕不赊帐)》之铭言:
: 1.来源:中央社
: 小米台湾的脸书(Facebook)官网昨天发表声明,证实确有一个内置于小米手机系统内的
: “网络短信”服务,在未经使用者同意的情况下会自动启动,将使用者的电话号码、IMSI
: (国际移动用户识别码)及IMEI码(国际移动装置识别码)传回小米的服务器上。
: 另外,小米也证实,透过这个“网络短信服务”上传使用者电话号码没有加密。因采用明
: 码传送,有能力的网管人员可轻易利用监控工具、窃取使用者的电话号码。
相较于将资料传回北京这件事
使用明码传输机敏资料一直是资安大忌
正常的来说这类资料 传输前应该都会加密
接收端事后再解密
严格一点的资讯 例如密码
会直接用杂凑(Hashing)后的结果传递或储存
除了输入者 其他人无法得知密码内容
小米机好像提供了各式各样的服务
如果任意让这些机敏资料以明码方式传递
本身也是非常严重的安全问题
作者: gpc (gpc)   2014-08-11 13:21:00
应该只是imei/imsi/phone这些很少会加密不是非常重要的东西,不过小米的问题是没HTTPS
作者: wondtty (好冷)   2014-08-11 13:23:00
426的东西能用吗?
作者: bilinear (太甜的东西有毒)   2014-08-11 13:23:00
这种偷来暗去没人在加密的啦,容易被发现。
作者: Marty (DNA探针)   2014-08-11 13:23:00
更严重的是 自己防不了 只要你有朋友用小米 你就被卖了根本就被无差别攻击

Links booklink

Contact Us: admin [ a t ] ucptt.com