TGFC Lifestyle - Powered by Discuz! Board

标题: [其他] 这是官方的声音么：中科院报告：360产品存在三大隐私安全问题 [打印本页]

作者: xxxyz 时间: 2012-11-23 09:43 标题: 这是官方的声音么：中科院报告：360产品存在三大隐私安全问题

360浏览器侵犯用户隐私话题再次引人关注。新浪科技援引《上海青年报》11月23日报道，中国科学院信息工程研究所主办的“隐私保护”学术研讨会在京召开。会上一份由中科院保密技术攻防重点实验室研究撰写的《个人隐私泄露风险的技术研究报告》报告揭示：一直以安全为名的360浏览器在架构设计、运作原理方面竟然存在着三大隐私安全问题，将会给用户安全带来严重危害。

“这将会给用户安全带来严重危害”，《上海青年报》援引一位与会专家观点称。

此前，工信部曾公开宣布将对360安全问题展开调查，但目前尚没有权威机构出台令人信服的调查结果。中科院作为信息研究的专业机构，此次所出具的该项报告，或将成为推动该问题解决的重要依据。

《上海青年报》还从会上获悉，中科院针对当前互联网常用产品及服务的隐私保护问题进行了整体研究，涉及浏览器、即时通讯、电子商务、社区网站等多个类别。从记者辗转获得的报告原文来看，在浏览器隐私保护情况的研究章节里，中科院信息工程研究所研究人员对360安全浏览器进行了详细的研究和分析，并归纳列举出360安全浏览器存在的三大安全问题，其中包括：收集用户所打开过的浏览页面地址、收集用户在浏览器地址栏输入的信息以及预留后台端口，在用户不知情的情况利用云端指令，在后台执行《安装许可协议》规定内容之外的功能等。

调查中，研究人员通过专业技术手段对整个软件运行过程及环境进行了综合测试，证实了360确实存在安全问题，并在实验室进行了多次复现。研究人员在报告中举例称，当用户在360安全浏览器地址栏中输入一个完整的网址时，360浏览器会向360公司的特定服务器依次发送用户的每一次输入数据直至输入完成，发送的信息包含了能够确定用户唯一性的ID，这可能会导致特定用户的地址栏输入以及浏览记录容易被跟踪和泄漏。另有分析显示，“这些组件或以欺骗的方式被下载到电脑以实现360安全浏览器的某些未明示的功能，也可能造成用户的电脑被恶意侵入”。

实际上，在过去数月，360安全软件一直深陷安全及隐私泄漏漩涡，饱受来自网民、媒体、意见领袖和主管部门的质疑。知名打假人士方舟子也就安全问题对360软件发出连番质疑，指称360私自窃取用户隐私、伪装系统补丁、捆绑安装软件以及360通过“云控制”远程操控用户电脑等。尽管360方面并未正面回应这些问题和质疑，仅仅将其归为“竞争对手迫害”，但层出不穷的真实案例，仍然引发大量用户关注并卸载360，一些世界500强企业也内部通知禁用360全系产品。根据CNZZ最新发布的数据，自方舟子开始打假360以来， 360浏览器的市场份额下降了1.6%，保守估计流失用户1000万。

面对沸沸扬扬的“360隐私泄露门”， 10月25日，工信部新闻发言人、通信发展司司长张峰表示，工信部已经介入调查方舟子指控的奇虎360浏览器窃取用户隐私一事，“如果查实确有违法违规行为，将依法予以严肃处理”。360方面随即宣布将主动将产品送至国家质检总局和工信部检验。

对于360的主动“送检”，互联网威慑防御(IDF)实验室创始人、安全专家万涛认为作用不大。万涛指出，360使用的是云端控制技术，单检测桌面软件很难检测到问题，对整个过程与环境进行检测评估才能更好地说明问题。

中国人民大学教授石文昌曾表示，如果安全软件不遵守软件安全机制设计的重要原则之一 -- 最小特权原则(POLP，principle of least privilege)，而是利用特殊权限，进行非功能实现所必须的操作，其对系统权限的滥用将影响到用户系统的信息安全。

相关与会专家表示，“根据此次中科院的研究报告，和之前社会各界对360软件安全性的质疑，360公司以安全为名、行盗取泄漏用户隐私之实的一系列行为，已经严重违反了工信部2011年第20号令颁布并于2012年3月15日实施的《规范互联网信息服务市场秩序若干规定》中的相应条款”。

该《个人隐私泄露风险的技术研究报告》标明“V1.0”，发布者为“中国科学院信息工程研究所保密技术攻防重点实验室”，发布时间是2012年11月。

以下为《个人隐私泄露风险的技术研究报告V1.0》的部分内容：

随着国内外个人隐私泄露事件的频繁发生和对个人隐私保护的重视，人们越来越关注日常工作生活中计算机软件、移动终端以及高技术带来的个人隐私问题。中国科学院信息工程研究所保密技术攻防重点实验室对当前常用软件和终端产品的用户隐私保护情况进行了初步调查，通过实验研究发现了一些有关隐私保护存在的风险。本文主要从常用软件、网络服务、移动终端以及声光电磁等四个方面介绍了实验室的研究结果和发现。文中内容注重实例研究和数据再现，希望引起有关部门对个人隐私相关问题的关注。

本文得到了北京大学互联网安全技术北京市重点实验室的帮助。

1 终端常用软件与用户隐私保护

1.1网络浏览器

许多网络浏览器为了增强用户体验、提供个性化服务、发展定向广告业务等目的，通常会在后台收集用户的网页浏览记录等个人信息上传到服务器。然而许多收集用户个人信息的行为是在用户不知情的情况下进行的，或者所收集的信息超出了软件《安装许可协议》中进行了明确规定的范围。

实验室以360安全浏览器当前最新版本5.0为例，对浏览器的用户隐私泄露问题进行了分析和研究，网络浏览器中的隐私泄露威胁存在于以下几个方面：

1)预留后门，植入代码：一些浏览器在使用过程中会在用户不知情的情况下在后台执行《安装许可协议》规定内容之外的功能，360安全浏览器在运行过程中约每5分钟与服务端进行一次通信，并下载一个文件，如下图所示，下载的文件为se.360.cn/cloud/cset18.ini，但是从数据流可以看出该文件实际上是一个PE文件，文件头中标识的产品名称为DataDll。

中科院报告：360产品存在三大隐私安全问题

将该文件从数据流中提取出来得到一个dll文件，查看该文件的属性，得到其文件说明为“360安全浏览器安全网银”。

中科院报告：360产品存在三大隐私安全问题

从该文件中提取到一段Base64编码的文本信息：

W3N0XQ0KY291bnQ9Mg0KW3N0MV0NCmlkPTENCnVybD1odHRwOi8vd3d3LmJhaWR1LmNvbS9zZWFyY2gvcmVzc2FmZS5odG1sKg0KW3N0Ml0NCmlkPTINCnVybD1odHRwOi8vdmVyaWZ5LmJhaWR1LmNvbS92Y29kZT8qDQpbdHJheW1zZ10NCnN0YXRpY3NpZD0zMQ0KY291bnQgPSAxDQp1cmwxPWh0dHA6Ly93d3cuYmFpZHUuY29tL3NlYXJjaC9yZXNzYWZlLmh0bWwqDQpbbWFpbl0NCmhrcmVzMj0xDQpjYmM9MQ0KW2NiY10NCnVybGNvdW50PTENCnVybDE9aHR0cDovL3d3dy5iYWlkdS5jb20vc2VhcmNoL3Jlc3NhZmUuaHRtbCoNCmNiY2NvdW50PTINCmMxPUJBSURVSUQNCmMyPUJEVVNT

经过解码后的内容为：

[st]

count=2

[st1]

id=1

url=http://www.baidu.com/search/ressafe.html*

[st2]

id=2

url=http://verify.baidu.com/vcode?*

[traymsg]

staticsid=31

count = 1

url1=http://www.baidu.com/search/ressafe.html*

[main]

hkres2=1

cbc=1

[cbc]

urlcount=1

url1=http://www.baidu.com/search/ressafe.html*

cbccount=2

c1=BAIDUID

c2=BDUSS

由此可推测该DLL文件的功能与网银无任何关系，而是跟搜索引擎百度相关可能是为了躲避Referer字段的检查。这种行为虽然不涉及用户隐私，但是具有欺骗性。

此外，360安全浏览器还会在用户不知情的情况下定期从服务端下载和执行一个名为“ExtSmartWiz.dll”的动态链接库。如果该动态链接库被植入恶意功能或者不法分子利用域名劫持等方法对浏览器下载的“ExtSmartWiz.dll”文件进行恶意篡改，将会给用户安全带来严重危害。

2)收集用户浏览记录：很多浏览器会将用户所打开的页面地址上传到服务器，以分析用户的个人爱好或者统计网站的受欢迎度，从而在浏览器首页更好地为用户推荐个性化内容。这种行为也侵犯了用户的隐私数据。下图为当用户使用360安全浏览器5.0访问网页的时候，每打开一个网页之后都会向360的特定服务器发送一个POST请求，内容包含加密过的url信息。

3)收集浏览器地址栏输入信息：当用户在浏览器地址栏中输入网址的时候，很多浏览器为了帮助用户自动补全网址，会把用户所输入的内容上传到服务器来。下图为当用户在360安全浏览器5.0的地址栏中输入“10.105.240.57”时，浏览器会将该地址发送到sug.so.360.cn，并且发送时附带的Cookie中会带有具有用户唯一性标志的guid值，这可能会导致特定用户的地址栏输入以及浏览记录被跟踪和泄漏。

下图所示为当用户在360安全浏览器5.0的地址栏中输入“weibo.com”的过程中，每输入一个字符，浏览器就会向sug.so.360.cn发送当前浏览器地址栏中的内容(即“w”、“we”、“wei”、“weib”、“weibo”、“weibo。”、“weibo.c”、“weibo.co”、“weibo.com”)。

作者: magtree 时间: 2012-11-23 09:51

posted by wap, platform: UC

这个...好复杂的感觉.....

作者: hudihutian 时间: 2012-11-23 09:51

当用户在360安全浏览器地址栏中输入一个完整的网址时，360浏览器会向360公司的特定服务器依次发送用户的每一次输入数据直至输入完成，发送的信息包含了能够确定用户唯一性的ID，这可能会导致特定用户的地址栏输入以及浏览记录容易被跟踪和泄漏。

我肿么感觉这是在曲线黑GOOGLE

作者: 强棒奶娃 时间: 2012-11-23 09:52

360早不用了，IE9真心不错

作者: beterhans 时间: 2012-11-23 09:55

posted by wap, platform: iPhone

隐私问题在中国不是问题

作者: twilightgod 时间: 2012-11-23 10:24

上传url貌似很多都这么干吧, 流氓的是后台下载dll运行

作者: godzillaqqq 时间: 2012-11-23 10:48

等某个说3721是艺术，佩服周红衣的来洗地，中科院什么也不懂，全是外行

作者: kiler 时间: 2012-11-23 10:49

偷隐私又怎么了，用户就是sb，只会用360，你能给出一个比360更好用的东西吗？

作者: Crusher 时间: 2012-11-23 11:43

posted by wap, platform: Android

360的大部分用户根本不在乎这些，各位可去拜读一下周鸿伟的三低用户论，这人绝壁是it 界最杰出的流氓

作者: kissr1981 时间: 2012-11-23 12:14

posted by wap, platform: iPhone

lz转文章为什么不转全？中科院说的是360和gmail

作者: 流川枫 时间: 2012-11-23 12:25

回个贴测试下。

作者: 神威 时间: 2012-11-23 12:27

周鸿伟的三低论~~~

他的用户都是低收入、低年龄、低文化水平的……

作者: wpang 时间: 2012-11-23 12:28

Gmail23333

作者: elia 时间: 2012-11-23 13:01

360极速呢？就这个好用啊

作者: 神威 时间: 2012-11-23 13:04

引用:

原帖由 elia 于 2012-11-23 13:01 发表
360极速呢？就这个好用啊

用谷歌………………

作者: lovexiaoya 时间: 2012-11-23 13:06

楼主你断章取义什么目的？

作者: 夏多南纳特 时间: 2012-11-23 13:41

我觉得360急速比谷歌好用，强化得人性化

作者: 去日留痕 时间: 2012-11-23 13:59

posted by wap, platform: iPhone

出来混早晚要还的

作者: yangjuniori 时间: 2012-11-23 14:06

posted by wap, platform: Galaxy S II

神马网络收藏夹都有隐患

作者: 不是他 时间: 2012-11-23 14:52

如果说用什么都泄漏隐私，问题是隐私泄露给谁，泄漏给TG还是泄漏给非TG，被TG知道了会怎么样，被非TG知道会怎么样，是不是这个道理?

作者: 泄娜 时间: 2012-11-23 15:01

posted by wap, platform: Android

这是百度的声音。

作者: xxxyz 时间: 2012-11-23 15:05

引用:

原帖由 kissr1981 于 2012-11-23 12:14 发表
posted by wap, platform: iPhone

lz转文章为什么不转全？中科院说的是360和gmail

引用:

原帖由 lovexiaoya 于 2012-11-23 13:06 发表
楼主你断章取义什么目的？

哇，这么严厉我好怕怕
全本不知道在哪，本文来源驱动之家，有替360主持公道的请去骂驱动之家
http://news.mydrivers.com/1/247/247663.htm
欢迎转帖全本供学习

作者: 测试一下 时间: 2012-11-23 15:12

引用:

原帖由 godzillaqqq 于 2012-11-23 10:48 发表
等某个说3721是艺术，佩服周红衣的来洗地，中科院什么也不懂，全是外行

歪曲别人的话很有成就感嘛？~

分清楚事实对你这种智商的人来说太难了~

作者: naohlc 时间: 2012-11-23 16:38

周红衣是大流氓，但是我朝这无奈的现实只能产生大流氓~~~

作者: 左右中 时间: 2012-11-23 16:44

posted by wap, platform: Nexus S

流氓祖宗改行的警察就是有人信

作者: Jeffrey 时间: 2012-11-23 16:46

不用360的高端人士其实在其他很多地方也已经泄漏了自己的私密信息

其结果是一样的，也不是因为浏览器产生了优越感，只是他自己不知道而已

本质是一样的

作者: 流雲隱劍 时间: 2012-11-23 17:02

posted by wap, platform: SonyEricsson (Xperia Play)

我想问我大企鹅如何呢？

作者: 雾桑 时间: 2012-11-23 17:03

posted by wap, platform: XiaoMi (MI-ONE Plus)

周出来辟谣，说跟中科院确认过，不是中科院文章。至于来源，让大家百度。233。

作者: 测试一下 时间: 2012-11-23 21:18

引用:

原帖由雾桑于 2012-11-23 17:03 发表
posted by wap, platform: XiaoMi (MI-ONE Plus)

周出来辟谣，说跟中科院确认过，不是中科院文章。至于来源，让大家百度。233。

百度的结果是~

http://www.donews.com/net/201211/1700094.shtm

23日下午，中科院信息工程研究所副所长孟丹在接受记者采访时称证实了这一资料的真实性。

作者: 罗克萨斯 时间: 2012-11-24 00:52

http://www.cnbeta.com/articles/215291.htm

作者: cc0128 时间: 2012-11-24 01:00

posted by wap, platform: iPad

有你的sessionid就能不用你密码登陆你账号。缺点是必须在服务器没有清掉你的session前，进入。

本帖最后由 cc0128 于 2012-11-24 01:01 通过手机版编辑

作者: hellblack 时间: 2012-11-24 01:48

360用户才是真IDC的王者。

作者: literry2001 时间: 2012-11-24 02:30

posted by wap, platform: XiaoMi (MI-ONE Plus)

谷歌不就是这么干得嘛，
我开了tg，网站带的谷歌广告栏会显示我看的网页相关的广告，甚至是和我打开的文档相关的广告

作者: Running82 时间: 2012-11-24 08:06

posted by wap, platform: iPhone

360极速太好用了，是之前世界之窗的团队弄的

作者: dalert 时间: 2012-11-24 10:02

posted by wap, platform: Android

只用遨游ie，遨游收藏夹用了很多年了

作者: Kuzuryuusen 时间: 2012-11-24 16:01

posted by wap, platform: Android

在这互联网时代，确实要说古狗萎卵苹果之流完全不会收集个人隐私我也不信。用它们来说事真有点五十步百步的味道。
真要在乎这个只能完全不上网。
360与这些巨头的区别在于诚信（credibility）。西方社会太看重这个了，稍微行差踏错马上陷于舆论漩涡万劫不复。扎克伯格接受采访被问道隐私处理问题都连连擦汗，不能说演播室的空调烂吧？
反观这周某，3721之后还能重出江湖并且用那些臭名昭著的老伎俩还混得风生水起，丫这还到处找人吵架，只能说奇葩环境造就了奇葩事件。
换句话说，既然隐私泄露实在难免，那些重重监管下小心翼翼的西方巨头我还能忍，360之流就真的有多远滚多远吧。

作者: 微信 时间: 2012-11-24 18:59

在用360浏览器看这贴，压力很大

欢迎光临 TGFC Lifestyle (http://bbs.tgfcer.com/)