Categories: 資訊保安重點推介重點消息

保安測試報告: 用小米 Send 訊息給朋友，對方手機號碼一樣傳到北京

2014-08-08

Published by

天恩

早前我們 unwire 因小米回傳用家個人資料回北京一事，獲得官方回應指那些資料只是手機的資料更新而非個人訊息。不過保安軟件公司 F-Secure 經測試後就並不同意這個說法，unwire.hk 的讀者們你相信那一邊呢? 以下是測試結果:

從 F-Secure 的新聞稿中提及，以下是他們對紅米 1S 所做的測試 :

F-Secure 拿出一台新買未拆盒的手機進行這個測試，這個電話沒有完成任何設置或連接小米雲服務。

然後，他們通過以下步驟去開始：

插入SIM卡
連接到wifi無線網絡
允許GPS定位服務
新增一個聯繫人到電話簿
分別發送和接收一個SMS和MMS
致電和收聽電話

他們發現，在電話起始啟動時，手機會發出用戶正使用的電信公司名稱到一個伺服器api.account.xiaomi.com。它還會自動發出IMEI和電話號碼到該同一台服務器：

連剛剛新增到電話簿的聯繫人電話號碼和測試的接收的短信也被轉發。接下來連接並登錄到小米雲(如iCloud的服務)。然後重複之前同樣的測試步驟。

此時，該IMSI信息被送到api.account.xiaomi.com，連帶IMEI和電話號碼也被一併傳送。

F-Secure 指出，這只不過是一個快速的測試，以查看傳言中小米手機發送私隱訊息的行為是否屬實。

F-Secure 指回傳的封包被加密過，需要進一步檢測，不過有些封包把機內全部 App 的清單回傳，這是手機廠很少有的做法。不過就證實背後有在蒐集用戶的動作。

以下是小米對 unwire.hk 的官方回覆:

小米是一間行動互聯網公司，致力提供高質素的手機和優質的互聯網服務，同時非常重視保護用戶私隱。小米提供的所有互聯網服務均符合小米公司私隱條款：未經用戶允許，不會主動上傳涉及用戶私隱的個人信息和資料。

涉及用戶私隱的”小米賬號”和“小米雲服務“，如用戶個人資料、照片、短訊等，小米、紅米系列所有產品都是預設關閉此類互聯網服務，需用戶同意後主動開啟，且開啟後仍可隨時關閉；“小米賬號”和”小米雲服務“在數據存儲和使用上，充分尊重每個國家和地區的當地法律，並採取嚴格加密算法等必要措施保護用戶私隱安全。此外，用戶也可根據個人意願，另選”Google 雲端”服務等其他雲端供應商的服務。

至於近日個別用戶發文擔心的互聯網服務私隱問題，其所指的其實是”不涉及用戶私隱的互聯網服務”，主要是一些提供公共數據獲取的互聯網服務，如推薦短訊（針對不同節日向用戶推薦的短訊內容）、主題、作業系統 MIUI OTA 升級包。這些資料是需要連到總公司的伺服器進行驗證。所傳輸資料皆不涉及使用者私隱。

全球化經濟上，中國品牌手機已熱銷於歐美市場，海外品牌手機也在中國大陸熱銷，如果任何產品擴及全球的企業從事不法活動，必不相容於全球市場。

來源 : F-Secure 8/8 新聞稿