B2B网络软件

标题: 对比看看哪个浏览器更安全问题和隐私问题 [打印本页]
作者: 贴贴狂贴    时间: 2016-8-16 20:17
标题: 对比看看哪个浏览器更安全问题和隐私问题
1. 概述
3 f; {5 h' `  h  q% t9 P# r' K2 c# }0 T/ a, p& A* T
在奥斯丁举行的互联网自由和开放通信研讨会 FOCI 16会议上，加拿大多伦多大学公民实验室的研究人员总结了中国三大巨头的浏览器——阿里巴巴的 UC 浏览器、腾讯的 QQ 浏览器和百度的浏览器的隐私与安全问题。4 Q) p1 A* O# Q5 f" B
& x6 Q, U7 i5 R) d9 D1 Y* N0 F
这些浏览器在中国有着庞大的用户基数，市场份额均位居前列，其安全性对广大用户而言影响深远。& V( x: k6 b$ c: N! v

/ J2 _. ?/ Z! m* w7 w) @! ?" k
对比看看哪个浏览器更安全问题和隐私问题 B2B网络软件

" T& o% {$ v. j2 f1 u
8 m5 _4 D0 N( Q) j0 G2 Q5 K中国的第三方浏览器市场在全球的地位不言而喻，特别是中国的“三巨头”科技公司，包括百度（B），阿里巴巴（A），腾讯（T），江湖人称“BAT”。这三家公司已分别发布了自己免费的浏览器，分别为百度浏览器，UC浏览器和QQ浏览器。所有的浏览器都是基于Chromium平台，这些浏览器提供一套Chrome和Safari等浏览器不具备的功能，包括产品组合绑定运营；内置洪流（built-in torrent）支持，鼠标手势（mouse gesture），以及压缩功能旨在减少移动数据使用量等。
1 o" W, j' b. _+ M
) H# U. \) o8 o" Z) w5 K  J这三个浏览器用户群庞大，尤其是在中国和整个亚洲。QQ浏览器和UC浏览器均跻身中国最常用的浏览器前五位，而百度浏览器在10名开外，位居22名。其中 UC 浏览器是仅次于 Chrome 的第二大移动浏览器，用户数量数以亿计。
- c4 r( y3 B/ F- U: b& A8 J; R9 C6 Z/ g+ |1 Y
但是，调查分析的主要结果如下：
+ M0 c4 K7 m. A5 n$ R0 Z
这三大浏览器都会收集和传输非常大量的用户隐私数据，包括各种硬件识别码，位置数据以及用户网页浏览历史数据等；/ [$ k0 n5 K% V4 Y1 O& O2 V
6 q! |) X; f8 @% j
三大浏览器都使用不安全的方法来传输这些数据，例如使用极易破解的对称式加密法，在没有任何加密措施的情况下传输用户隐私数据；/ P) R6 l: e, N* y9 w6 W
# d; I: @& P1 G3 g2 b
三大浏览器在软件更新进程都存在漏洞，每个浏览器至少有一个版本在软件更新进程中为攻击者留下可以执行任意代码的漏洞；( G- l. f$ e' U! L" c8 T
+ h1 L2 K# T$ S( A; B4 W7 j  B
三大浏览器没有使用行业标准的安全数据传输方法，比如没有使用标准的 OpenSSL 协议，而是使用自制的协议。
) S% B6 C* r4 J: `  ?* B
& `0 u' \2 d$ k: p( m* D$ Z
, m. ^: e- ^8 z. u) {' @# {
这些结果显示安全和隐私方面的缺陷并不是每一家公司孤立的问题，而是反映了中国流行应用开发和安全的更广泛问题。尽管这些浏览器拥有海量用户群，尤其是在中国，但是信息安全研究界对应用安全的重视度还是有限的，而这种意识的缺失是非常病态的，因为众所周知，西方情报机构曾利用UC浏览器使用不安全的传输方法传输用户个人数据而成功获取用户信息，实施监视活动。因此，我们认为安全研究人员应该更多的关注那些拥有亿万用户群却缺乏外部监管的应用程序。
$ Z& C( F( a/ i2 F3 U0 {* q, O/ W  F1 V( o/ X
2. 研究背景
7 K# x& \, N2 z+ o+ ^5 _5 i5 H, j+ j" M3 ^
三大浏览器的开发企业是中国最大的三家科技公司，在中国在线搜索，社交媒体和电子商务领域占据重要地位。在谷歌浏览器脱离中国市场的情况下，百度搜索引擎始终占据主导地位， 2016年3月的报告显示，其市场份额达到70%，每月拥有6.6亿移动搜索用户。腾讯运营着两家世界最大的通信平台，QQ平台拥有8.53亿用户，微信拥有6.97亿月度活跃用户。阿里巴巴经营着中国最大的电子商务网站，包括淘宝和天猫，拥有超过3.67亿的活跃用户。
1 A( [" t  s" c
$ s/ r5 b' @; D/ u0 {  C+ E  h& G8 q三大浏览器的准确市场占有率很难获取，但是通过研究我们发现，UC浏览器是目前最流行的，是中国，印度和印度尼西亚最流行的手机浏览器。此外，据估也是世界上第二大流行的手机浏览器。虽然一些报告估计QQ和百度浏览器在中国分别为第二和第三大流行的手机浏览器，但是也有人指出他们加在一起的市场份额还不到10％。
% j% \5 k7 P! o( N: y; |+ `* U
0 I. L4 e5 Z- R2 y; I: y7 R不安全传输用户隐私数据和应用程序中存在潜在的执行任意代码漏洞都不再是假想的担忧。根据“棱镜门”事件中爱德华·斯诺登泄露的文件显示，西方情报机构早在2012年就已经成功识别UC浏览器中的信息泄露漏洞，随后成功地利用漏洞设计了一个XKeyscore插件以窃取应用程序的用户数据，实施监控。  }2 ~% O+ X0 m+ J& t+ ~1 l9 h  s
: L4 ~, {4 b# b! P- z: k. b2 Z* ~' X
3. 技术分析
- X) k' j; ~7 n/ r, y
+ S( R# c/ m4 h& t以下的分析包括百度，QQ和UC浏览器的Android和Windows共11个不同的版本，具体如表1所示：& ]; z& t2 Y) s: V* k5 J/ `

! v# V" l! G+ D+ x. B3 h& A
浏览器操作系统版本  j7 ^2 P0 h9 }

3 r  |/ b8 i) w  ]7 }百度浏览器		Windows (C)7.6.100.20890 @: g9 ~7 h5 }5 k) I

! E% H& W6 ]: y' G. ^7 M2 e) e百度浏览器		Windows (I)43.22.1000.452; O/ _$ T. b$ X/ N. I/ Z# L) |
* Y" E/ F5 z" r4 V# Z, m
百度浏览器		Android (C)6.2.18.0
  x: t  y- v: M( Y- s) X% }' d
3 B8 b$ ~- `3 T) _6 m) W
百度浏览器		Android (I)5.1.0.10 U3 N9 d6 a3 d# Z  t8 N7 M  d' r
3 k5 Q- n, h0 m. f+ N
QQ浏览器		Windows9.2.54785 D$ C9 s- R' {$ I8 o+ r' X
. m6 N. |, v% F( V
QQ浏览器		Android6.3.0.1920
( g% W0 ~3 a4 Y0 [1 p
, J8 O  G: L( g# k+ d
UC浏览器		Windows (C)5.5.10106.5
) d3 C( D1 r' y. a4 _% Z
+ j) ~! q1 [9 y4 V
UC浏览器		Windows (I)5.5.9936.1231" c/ l7 Z- V) v# s, H

3 a; r3 a# Z' W. O3 rUC浏览器		Android (C)10.9.0.703/ B+ Y9 b9 [7 Y8 p0 {8 C

+ j% b" f0 U) {& VUC浏览器		Android (C)7.9.3.103
0 d$ ^$ }7 s0 l3 a7 H' F' W

2 g$ P5 l* k& u  x  d! t  wUC浏览器		Android (I)10.9.0.731

: Y, z8 s5 E' A! f4 N7 D% C+ f( n7 `% o" t
表1：应用程序版本分析（Ⅰ）指国际版，（C）指中文版

0 a2 i2 W5 h, O$ u( r: b8 `: G; e/ j9 L; ?
我们发现，无论是浏览器的哪个版本都存在收集用户个人信息（如硬件序列号等）的情况。大部分浏览器存在传输用户位置信息的情况，如GPS坐标或附近的WiFi网络，还有大多数浏览器会跟踪浏览网页的完整URL，即使是通过HTTPS最初检索的页面。) E: U* x7 o7 M( {# ^

& b$ H1 F  ]% W* J在谈到三大浏览器使用的加密的时候我们会用到“易破解”这个词语。当我们说加密术是“易破解”的时候，并不是说加密本身的算法是有缺陷或是不安全的（尽管有时候百度浏览器使用的算法的确是这样）。相反的，我们的意思是该算法使用不当，其使用的加密法是完全对称的，并且使用了硬编码密钥。由于用的是对称算法，所以任何分析浏览器使用的加密算法和硬编码的密钥的人都可以轻易破解它们加密的内容。
' r4 S* o  ?; O) N
, `$ K  D9 F. c' y0 j关于对称加密和非对称加密
* R1 ^$ h7 ^* r# m1 M
3 |1 A3 b8 ?. J+ e) m0 g加密数据有两种基本方法：对称加密或是非对称加密。对称加密相比于非对称加密的优点是加密速度快。缺点就是只要你知道使用的算法和某个键，你就能破解任意的密码。利用简单的算法，做到这点易如反掌。当加密术只使用了对称算法的时候，只要对程序稍加分析就可以写出一个破解工具来。
( N! s- z3 K2 k0 k, H  i6 j
& U( j$ M2 Z. y9 R7 u3 s; U
对比看看哪个浏览器更安全问题和隐私问题 B2B网络软件

) ^; @' ~" y& R
2 G- O3 x! V" M+ @- _$ e我们通过使用自己编写的代码破解了每个浏览器的加密流量证实了这一情况。表2中是我们总结的每个浏览器的不安全数据泄露情况。$ }. L. u. t5 k3 D& I, l

: U/ ^# j, |, t0 Z
浏览器（操作系统）用户个人信息地址信息浏览行为  
/ }) s5 w6 Z4 U- T8 @; k; O3 Y0 l
; \- m% k; g# k# t
百度浏览器 (W)		✓       ✓  
# t" n" e( [6 G+ u" `( u
7 ~6 m! q: E& H0 k) F3 l% Q1 F
百度浏览器 (A)		✓✓✓  
1 p5 d3 F' f* I3 T3 }

' ^' g" |, F% {+ Z! h. BQQ浏览器(W)		✓✓  
  h" j$ e4 \  s, T) K

+ u* C% n  H' o5 [- MQQ浏览器(A)		✓✓✓  ) v3 K, v; B- u

9 H7 a9 \" L) H" v% z: L0 X# h( RUC浏览器(W)		✓✓  
+ `2 F, i( x1 }3 Z; Z

  C( b8 r+ ?- T5 n5 ~2 xUC浏览器(A)		✓✓
4 Q+ g: `2 K* [* e1 ]) U
表2：每个中文最新版浏览器是否存在泄露用户隐私数据，地址或浏览器活动的情况；9 M' r6 o* ?! S$ ?5 C7 a+ w" e- U1 d

3 }9 F, C' l& T) ^7 k' X, A（W）指Windows版本，（A）指Android版本

% G; P* p) f* X7 d% `5 o; v. f& k1 p+ n
最后，我们发现大多数浏览器在其自我更新的过程中，允许有人从网络的特权点（privileged point）上注入流量，进而导致浏览器运行任意代码漏洞。下文为我们分析总结的百度，QQ以及UC浏览器中文版本的相关情况。
% L/ [- s2 ^1 a  x2 l3 o$ `! O5 V5 g  M; Z/ w; {7 Y" D, q0 h
3.1 百度浏览器分析
) M8 a: E* c% P1 `2 \
' Y+ H, h4 m' D( o7 j9 Y% f- J; A/ F如表3所示，我们发现百度浏览器（W）7.6.100.2089版本中存在通过网络泄漏敏感数据的情况。' X% L& \# c; C5 E! V, ]
数据信息数据类型加密措施  8 f6 v/ C. U0 r/ H0 _# V: U/ V, _

' G2 A2 q3 L* {# kMAC地址		用户个人信息易破解  
+ }* U. q& N3 O* O5 q

$ d9 _, ]" A( l0 X6 U硬盘序列号		用户个人信息易破解  
9 K3 n) p6 [) i$ H$ v% U
0 y4 x5 B, s) K1 D6 s, I  O
搜索字词		浏览行为未加密  
6 l. y) X* c5 i1 V) z9 [
9 U: c7 \' {. S4 z
完整的HTTP(S) 链接		浏览行为易破解  
; p; Q- T% i0 N  Y
8 f6 R% I7 S. X4 {- {- j
HTML页面标题		浏览行为易破解
8 d. ^: j  u* s/ a- l! q1 e' H) `# z! |
表3：百度浏览器（W）7.6.100.2089中文版本数据泄露情况总结

" Y/ M" Z; T( y/ {7 o- U0 f5 A0 |, p
简单加密的数据信息也只是通过对称分组密码进行保护，这种数据是用一种改编的TEA密码进行加密的，我们称为MTEA。百度用MTEA使用的密码模式块是CBC的一种非标准修改，叫做MCBC。
/ b8 x0 n3 {4 R4 f
  V( A9 r( E0 @/ d
对比看看哪个浏览器更安全问题和隐私问题 B2B网络软件
5 I' W6 @# b5 Z9 b5 N) a5 V
* {6 v. l7 P1 {; u/ Z
我们还发现，该浏览器并没有使用非对称加密算法来验证软件更新。更新元数据也是通过对称的MCBC + MTEA算法进行传输的，此外，下载的二进制文件也只使用MD5 hash进行验证，而不是数字签名验证。在浏览器检索更新时，通过发起中间人攻击，攻击者就能够下载并运行任意可执行文件。
, [- e( x/ Z2 N, a0 M2 P- Z) B! n: _4 M% C
此外，如表4所示，我们还发现百度浏览器（A）6.2.18.0版本通过网络泄露敏感数据的情况。
& T* [% t$ \' P$ b9 k. ^8 K
数据信息数据类型加密措施  
6 j# l+ A7 r. o' |% D2 B7 t8 A

$ F6 q( N: Q+ |- L国际移动设备标识（IMEI）		用户个人信息易破解  8 p1 c1 X  e% j! o$ E# S- j
. j: p7 j3 j. l% ]" E) x- o% Z
GPS坐标		地址信息未加密  
. D" }4 f7 r% v. L$ }; K

+ {3 h0 O  q, I附近的WiFi网络		地址信息易破解  
$ t6 i) `& O- q% c0 @
7 Y$ K# y$ q9 R# [0 u2 s3 Z
搜索字词		浏览行为未加密  , U$ }. z1 b9 e# z# D
. O. N) N  V) V
完整的HTTP(S)链接		浏览行为未加密

  M) e1 E* E9 C$ n  g
表4：百度浏览器（A）6.2.18.0中文版数据泄露情况总结
5 {, u5 T; H7 k" q" W* \3 d
9 d8 P$ n* d6 ]8 k
所谓简单加密也只是使用一些简单的对称算法进行加密。用户的IMEI信息通过不安全的传输方式被发送到多个地方，其中一个例子中，浏览器使用了一种“自制”算法，32位XOR mask，bit rotations和非标准的Base64编码。另一实例中，加密算法仅使用了硬编码5字节ASCII RC4密钥（“HR2ER”）进行加密。# \  ~$ d* S1 }

6 B* t: s2 ?" }  @我们还发现，百度浏览器加密数据使用的硬编码ASCII AES密钥(“h9YLQoINGWyOBYYk”)含有IMEI数据，GPS坐标，以及附近的WiFi接入点等信息。我们确定该代码不属于正式的百度浏览器，而是属于百度移动统计SDK。通过使用Lookout（一家移动安全公司）的数据，我们发现这个SDK不仅被用于百度产品，还为成千上万的第三方谷歌Play Store应用程序所用。其中，最流行的应用程序是ES File Explorer File Manager（com.estrongs.android.pop），据谷歌Play Store报告，该应用程序拥有1-5亿的安装量。 （由于谷歌Play Store在中国无法访问，所以这个数字很可能还不包含大量的中国大陆用户。）
. Q$ ?5 k9 i3 E5 R
; V/ s6 q9 ?; x; B6 v; a" B此外，我们发现Android版本的更新程序同样易受中间人攻击，因为其更新程序仅仅依靠MD5 hash保护。通过注入网络流量，攻击者就能够攻击浏览器，并提示用户安装任意应用程序。
6 c( v2 m  r. w9 u9 Q- l5 M. T: p) k$ g" m+ `
3.2 QQ浏览器分析
: E+ m& U0 A8 g5 S3 G0 y
/ a1 b* O* }  Y; S! t! OQQ浏览器（W）9.2.5478版本泄露敏感数据的情况总结如下表5所示：
8 o) T( s4 `: C) W) F3 K+ W8 o
数据信息数据类型加密措施  
% K6 z( C  R/ x7 C& j

$ v% A2 |+ _1 X- e设备硬件编号		用户个人信息未加密  
+ f9 q; f, @. u  P' ]  ~2 O
. k+ S4 g! {' e6 I- r- y
机器主机名称		用户个人信息易破解  & c% s& |# i! g/ z6 n) T. V

$ D5 f1 Q6 v, `8 ?  p网关MAC地址		用户个人信息易破解  / e% y) a: C" o$ f% P: B" b) h& o

' K7 \  ^+ s$ u& O硬盘序列号		用户个人信息易破解  
( R( ?' s# T2 ?  @' x+ M$ A

$ {7 q" |" c# gWindows用户安全标识符		用户个人信息易破解  ; {* }/ ]' a. {4 `
/ n8 N* A* }; J
搜索字词		浏览行为未加密  
. W" m+ \' k. o4 F
2 H) A. w( O& \9 G
完整的HTTP(S)链接		浏览行为未加密
& i8 E/ C1 i+ G: h7 s$ K9 @
表5：QQ浏览器（W）9.2.5478版本数据泄露情况总结
+ n' ~  W/ M6 Y$ V8 d" x8 B
7 z, K0 Z1 n# q+ n4 T6 S8 Q
表中提及的“易破解”加密方式采用的是多种含有硬编码密钥的加密算法，包括DES+ECB以及3DES+ECB模式。但是很有趣的是，大部分敏感数据都是采用和百度浏览器一样的非标准的MTEA+MCBC模式加密。目前还不清楚，为什么百度和QQ浏览器使用相同的非标准加密模式对敏感数据进行加密。
4 h. M; {" v1 g7 R1 ]' d( `
) a8 X& t* U1 ^1 h4 q" |我们针对QQ浏览器在更新进程中存在的两个安全漏洞进行了概念验证（proof-of-concept）。第一个安全漏洞说明仅是验证数字签名还不足以认证软件更新的安全性。数字签名验证只是判断下载的EXE是不是由腾讯签名的，但是不会判断这个EXE会不会更新QQ浏览器-这个EXE可以是任何一个腾讯签名的程序。我们发现，旧版的QQ浏览器安装程序不会执行签名检查（这个安装程序本身只使用了对称加密），在更新时也是这样，我们使用了漏洞版本的QQ浏览器在线安装服务来“更新”用户的QQ浏览器，然后下载和执行我们选择的一个EXE。9 p2 Z$ S7 v# w$ x% U  j
! z9 [! {& H  A; A& U# z: I& r4 g
第二个漏洞是在QQ浏览器更新进程中的目录遍历攻击（directory traversal）。通常，当有更新时，QQ的服务器会在响应中给出EXE文件的下载链接，MD5哈希，新功能和修复简介，EXE的文件名和保存位置。我们发现文件名中出现了目录，通过目录遍历，攻击者可以覆盖用户有权限写入的任何文件。例如，将文件命名为../../../../../../../../../program files/tencent/qqbrowser/qqbrowser.exe，我们就可以用任意程序替换QQ浏览器，这样用户在下次执行QQ浏览器时，实际执行的就是我们的程序。攻击者可以利用这种攻击方式来安卓隐藏的间谍软件或木马。- f  u# N0 u1 u8 t6 x# a. b

* d2 u6 @/ V+ |! H% t  @* w3 xQQ浏览器（A）6.3.0.1920版本泄露敏感数据的情况总结如下表6所示：
( r2 I9 j) @/ w* X3 E) H
数据信息数据类型加密措施  $ x3 ]+ V! e# i- G

( [/ ~  o$ D4 B" D4 U" f& n国际移动设备标识（IMEI）		用户个人信息易破解  1 ]! S: l; _: @  k* g- c
6 T* o8 v% `* L/ h
国际移动用户识别码（IMSI）		用户个人信息易破解  
! Q3 ~; ]% c$ \# A2 H. z
) F3 Q# W4 y7 ^+ c" k
安卓ID		用户个人信息易破解  : H  n7 j% m. {4 s: l2 [
6 J  w" I( g1 ]9 ^' Q" m- a, o
QQ用户名		用户个人信息易破解  
: ]1 H  ~4 D2 M& T' M4 P) L
+ R/ W& D: C( A  n/ V4 R4 X
WIFI MAC地址		用户个人信息易破解  & ?  \6 H. d# m5 j. Y
1 B2 W+ ^" |1 }. }* u2 j. g3 @- C
附近的wifi接入点		地址信息易破解  % ?% B0 H' T4 O9 O

+ f! `0 x2 f- Z- R9 n/ M6 IWifi热点		地址信息易破解  8 k; j6 a' r- ]  G. @

0 E3 M2 L! g. m5 i$ g6 e! j搜索字词		浏览行为未加密  8 N4 n5 P5 w; k  U' o( D

; c3 r* }/ N; V  j6 H; o完整的HTTP(S)链接		浏览行为未加密
) j1 t( h7 c4 u; S9 B
表6：QQ浏览器（A）6.3.0.1920版本数据泄露情况总结
: U" o$ y+ k* O
/ F$ j: t; m2 z) y5 K
该浏览器使用了RSA-AES加密敏感数据，RSA-AES是非对称算法，但是由于AES秘钥使用的是一个128位的RSA公钥加密，而RSA的安全程度取决于加密秘钥的系数分解难度，只有128位的RSA公钥加密分解起来并不难（RSA秘钥一般建议至少2018位）。使用Wolfram Aplpha在线计算引擎，用不了1秒就可以分解秘钥的系数:245406417573740884710047745869965023463，指数：65537。分解后，得到了下面两个质因数：14119218591450688427 x 17381019776996486069
! K; f! {4 x  N& T3 A
! @: b  A$ g6 _/ Y% Q- L' v总之，该浏览器的软件更新进程同上述的百度浏览器（A）一样易受攻击，用户信息安全性得不到保障。
* `$ p( _5 H* S0 M- `; \
+ i2 k0 q; P/ P6 x  t  |3.3 UC浏览器分析9 T: M' J. l% V( M5 m. @# n7 V
/ k  e  S3 |4 O) O
UC浏览器（W）5.5.10106.5中文版信息泄露情况总结如下表7所示：
( t. t& Q% V( i: Z1 `. F( @$ p
数据信息            数据类型            加密措施  
& [% h6 ?6 o) K. t5 B

& k# t% z) b1 k/ x" K7 P硬盘序列码		用户个人信息易破解  4 n! {3 X9 d2 O5 g2 U$ G

0 H8 w$ ~; X; V' g0 n) `2 H: A基板序列码		用户个人信息易破解  " M2 B' G/ L. x8 v; x& o3 i

% m$ F& M" U; ]1 B- g4 Q文件系统卷标信息序列码		用户个人信息易破解  8 Z) @* }% r, v3 e" o, {5 S
* t, Q# y, }+ P" O2 }
完整的HTTP(S)链接		浏览行为未加密
; ?% N" E1 }7 S2 a$ P
表7：UC浏览器（W）5.5.10106.5中文版信息泄露情况总结

9 C  X& f- \% Q' f+ s6 r) o
3 ~% L* G4 f3 u6 U6 z该浏览器只通过基于XOR masks ，使用硬编码秘钥的“homebrew”算法来保护这些“易破解”的敏感数据。此外还发现，中文版的UC浏览器使用的是神马搜索引擎，输入的搜索查询词是不会被加密的。
" L5 U6 c( s0 U" v
7 @5 ~# V/ W, W# c而在软件更新进程中则使用了一个复杂的更新方案，旨在有效的修补软件以实现减少下载字节的目的。然而，一旦该方案被破解，它将如同上述的百度浏览器（W）一般极易受到攻击。
. e% @: _5 T. a0 ]+ g( I0 J# C0 a; M
UC浏览器（A）10.9.0.703版本信息泄露情况总结如下表8所示：3 T* T- Q# F5 \3 T
数据信息            数据类型加密措施  2 M5 p6 p! H( L/ i9 b6 [7 A7 t  S* |

8 j; k: g4 a8 Q+ ?8 ]国际移动设备标识（IMEI）		用户个人信息易破解  
* ]* _! R: ]6 Y0 a5 w% L

2 k% z% Q4 E  L: Z+ z) V) j) Q国际移动用户识别码（IMSI）		用户个人信息易破解  
4 e& t& m% C) Q* b
# m' o% p% Q( v/ b- m1 g
搜索字词		浏览行为未加密  4 p% v) w8 b( h
/ g9 U* K* V# W! x5 G
完整的HTTP(S)链接		浏览行为易破解
( _( P. d7 b+ U
表8：UC浏览器（A）10.9.0.703版本信息泄露情况总结
) e) j& K6 x  ]0 a+ |& @4 Z

4 E0 s$ q2 L  z( c+ y如Windows版本一样，UC浏览器（A）也只通过基于XOR masks ，使用硬编码秘钥的“homebrew”算法进行保护。Dalek等人的报告中还曾对10.2.1.161版本进行过研究，并通过硬编码AES密钥来揭示该版本的数据泄露情况，但目前我们发现，这些泄漏已经被修复。
7 Q; R6 S  c& d2 n
" m; c3 h9 ?% K0 R7 |2 t我们还针对2011年发布的UC浏览器（A）7.9.3.103版本进行了分析，因为根据“棱镜门”斯诺登所公布的文件表明，西方情报机构就是利用该版本的漏洞，开发XKeyscore插件成功窃取了大量用户隐私数据。我们在该版本中并未发现Dalek等人研究报告中提及的漏洞，这意味着他们并不是利用该漏洞开发XKeyscore插件的人。
$ s' u/ S, r9 _( b0 u' u# I' K7 `. a9 ~0 T9 ?, I8 r
然而，我们在10.9.0.703版本中发现的大部分的数据泄露情况同样存在于7.9.3.103版本中。这些泄露情况泄露的是与上表中相同的数据，这也就意味着我们在最新版本的浏览器中发现的漏洞很可能与2012年被用于开发XKeyscore插件的漏洞是一样的。' v" ^9 w3 n; m
6 j( i, B; ?. L& t4 }/ _; l
虽然在最新版本的浏览器中确实对下载的APK文件进行了数字签名认证，但是我们发现在7.9.3.103版本中并不存在，如此一来，在软件更新进程中就很容易发生如上述QQ和百度浏览器（A）一样的漏洞。
2 ~" [4 A0 R. `9 Q3 r2 x
; X* X* @. R, B! F; g' p" s! G' {从情报机构发布的报告发现，供应商可以更新软件并且具备将“恶意软件”推送至“受害者”设备的能力。这与我们在7.9.3.103版本中发现的中间人攻击漏洞一致。软件升级此前只被推测是国家网络间谍组织用于注入恶意软件。
, _- P# h: c6 Q/ y/ ~2 q6 m. R! o0 T* |
4. 国际版本
& _* L! Y4 _( U. t
1 ~0 |) \0 e4 \- a除了中文版本外，百度和UC浏览器也有国际版本提供。我们发现，这些版本也具有上述文章相似的漏洞。+ {1 ^% _3 y# `# _
7 Z" ]  z6 p0 A- G" r
5. 责任披露
  |' v; n* s$ q/ C8 N1 X8 {  P% R+ b! {. A( W/ @8 p4 W8 {
我们已经通知三家公司其各自浏览器中存在的问题，并承诺延缓公布我们的研究结果45天。我们也将继续按照首次披露的顺序对该三家公司进行进一步研究，旨在进一步谈论我们的关注点以及他们提出的修复方案。目前根据我们得到的通知，这三个公司都已经发布了他们的浏览器更新版本，而根据我们的分析表明这些新版本也解决了一些问题，但不是我们所识别的全部安全问题。" D5 c- g6 I, `- c% W2 t$ I  j

3 A7 q& O8 }' _2 z5 v/ P& R6. 结论  Z4 f, |. d2 ]7 V( [' u0 m

  V$ }% e0 R6 T( q0 _在竞争激烈的高科技市场，每家公司都力争推陈出新，不断发布新产品推出新功能，加之缺乏外部审计，这种种诱因都使得产品自身的隐私和安全问题被忽视。7 {" u. ^9 ^8 @% e

" y- [  N% U& l4 |6 |/ @4 y. Y同时，这种强大的市场压力也促使这些企业不断的加强对用户数据的收集，而且这种压力并不是针对某一家web浏览器而是所有中国本土企业。所以面对不断增长的应用市场和日益严峻的隐私和安全现状，安全研究人员和开发企业都必须高度重视应用程序的安全性，在保护用户的隐私和安全的前提下提供更优质的服务。

. F$ H9 }8 ]2 |" v6 m: s2 a
作者: 双鱼ddddssss    时间: 2016-8-16 23:34
软件很强大，安装指导的客服很耐心
作者: _赤杨爪    时间: 2016-8-17 00:51
经过帮助，成功注册
作者: 头疼的哥    时间: 2016-8-17 23:27
很方便，有不明白的地方售后很快给予解决了，相当喜欢，赞一个
作者: 605186089    时间: 2016-8-19 01:18
刚收到货，还没用，希望一切顺利。
作者: 丶叙愛丶    时间: 2016-8-19 06:52
2号晚上下单，4号下午收到货，算挺快的，总体来说不错就是我公司电脑是家庭版的，无法兼容用不了，换电脑用了
作者: 双赤赤赤赤    时间: 2016-8-20 08:48
买的宝贝挺好，各位掌柜们也挺好的，刚开始弄不好打扰了大掌柜的一下午
作者: shvydhn    时间: 2016-8-21 17:31
很实用！
作者: 双赤赤赤赤    时间: 2016-8-22 16:29
软件挺好用的，很适合小企业做账用。售后服务群里的客服服务也很周到，不会的问题，他们都很耐心解答。好评。
作者: 阏1601    时间: 2016-8-22 16:53
软件是需要安装后才能知道是否有质量问题 ，可是由于售后的上班时间是周一至周五白天与我能上网的时间不同步，所以收到货有几天了，还没有安装呢，先确认付款，等有时间再联系售后安装。售后的服务时间建议修改一下，周六有售后服务或售前可以给予一定的指
作者: Rensizhe123    时间: 2016-8-22 17:30
宝贝已经收到，开始安装在电脑上使用了，说明书很详细，按照步骤来很快就设定好了，赞一个！
作者: 897748948    时间: 2016-8-22 21:49
还行
作者: 用户名丶123    时间: 2016-8-22 22:35
软件收到了过来评价，用了几天慢慢学习中用着还不错服务态度也很好
作者: 壹纸湖言    时间: 2016-8-23 09:32
物流挺快的,客服人好
作者: ugdfhv    时间: 2016-8-23 09:34
产品描述里说明支持WIN7的系统，但是没有说明不支持WIN7英文版的系统，属于商家产品描述不正确。而且产品描述里没有说明一定要先下载试用版以后再在网上购买，也没有说明需要在购买之前先要与客服沟通。与客服协商后，客服同意退货，但是不同意支付运费。
作者: 瀚海孤行者    时间: 2016-8-23 15:23
物流太快了，正版！
作者: 帅哥死了吗    时间: 2016-8-23 18:22
功能太简单了，连往来单位都没法设置，还得通过增加科目来实现，真不方便，凭证还用的是什么收付转，设置好多都要自己调整，制单的时候不能返回上一张，问题不少，软件太粗糙了，我都怀疑这是懂会计的人编的么？价格便宜也不能这样吧…
作者: yuanlaibao    时间: 2016-8-24 14:51
软件很棒，简洁明了，非常适合小企业办公，没想到金蝶有如此便宜的一款软件，性价比超高。
作者: 贴吧触点推广    时间: 2016-8-25 00:30
还可以，刚开始注册，开始用
作者: Snow丶King    时间: 2016-8-25 00:34
简易版，很好用。
作者: 黑色城镇HY    时间: 2016-8-25 02:42
还未使用，看了很不错！
作者: 黑桃A591    时间: 2016-8-25 14:42
店家服务好，在线和远程指导，谢谢！
作者: 左殇L    时间: 2016-8-25 21:37
服务态度太差了，物流很慢。
作者: 雁昱    时间: 2016-8-26 06:57
记账王已安装好，四掌柜很详细介绍了有关使用方面知识。
作者: 热帖为人文    时间: 2016-8-26 07:14
宝贝很好，已经买了四个，自己一个，还帮三个朋友没人买了一个！下次再来！
作者: 花无缺0228    时间: 2016-8-27 21:45
已经安装好，并开始使用了，非常好用，安装的时候遇到了很多问题，客服都很热心的帮我解决了，产品好，服务好，值得购买。
作者: 万能群发    时间: 2016-8-27 22:34
导。
作者: xx书签    时间: 2016-8-29 01:56
好。
作者: cheocheocheo    时间: 2016-8-29 03:32
简易版，很好用。
作者: 魔方狂人Moss    时间: 2016-8-31 11:12
不好意思，支付晚了。
作者: 就是黑链    时间: 2016-8-31 13:25
物流太快了，正版！
作者: 木边兔    时间: 2016-8-31 17:20
光盘放进电脑没反应，还好店家给了个安装链接，按照店家的方法很快就安装好了，现在开始用觉得还行，就是不知道出来的报表数据会不会有问题。
作者: 傲天无痕走天下    时间: 2016-9-1 17:50
麻烦～不会玩！软件一切正常！
作者: 百科全书100之1    时间: 2016-9-1 19:50
还没用，安装后用了再评价！
作者: 凝冷千火    时间: 2016-9-1 21:49
很好
作者: 七七七七七七瑾    时间: 2016-9-2 01:50
很好
作者: Yahoos_    时间: 2016-9-2 20:21
还没有安装，先给个好评吧
作者: 这有根葱    时间: 2016-9-4 08:47
很少用，希望以后少出问题就好了，先给个好评。
作者: Yahoos_    时间: 2016-9-5 23:55
真的很好用，简单易学，可以做多套账，真心喜欢，服务态度好！
作者: 黑桃A591    时间: 2016-9-6 00:42
在外出差还没安装好
作者: 寒风采    时间: 2016-9-6 09:09
已经用上了，真心不错，因之前用过金蝶其他版本的，所以上手很快，此版本虽小，但功能还是很全的，特别要感谢售后，服务很好！一点小问题分分钟解决了！
作者: 小男朋友heart    时间: 2016-9-7 09:11
刚收到宝贝，很满意，很喜欢。六掌柜很奈心的教。不过还没有用。等到时再来追评。
作者: 1041469105    时间: 2016-9-7 14:34
还没安装跟使用，先给好评。用后再来评
作者: 24ForeverKB    时间: 2016-9-8 10:34
由于出差评价晚了，东西还是很不错，已经买了第三套了！
作者: 桑德斯闪电    时间: 2016-9-10 05:08
解释：记账王是一款简单的财务软件，凭证可以在软件里面直接打印。如果要调整字体大小必须使用套打。不知道亲说的“本用不了，手写凭证”是什么原因？如果亲不会使用可以直接咨询售后客服，客服会耐心的解答你的问题，谢谢！
作者: 花无缺0228    时间: 2016-9-10 11:29
服务很好，安装很到位，就要看一下售后了！
作者: 桑德斯闪电    时间: 2016-9-10 21:18
试用中
作者: 桑德斯闪电    时间: 2016-9-10 22:24
包装很完整。
作者: 陪催的时间    时间: 2016-9-11 01:21
非常好用，简单易操作，更谢谢掌柜们们的解说，特别是四掌柜的给予我财务软件使用方面的帮助，必须好评！
作者: 我是大帅哥zwy    时间: 2016-9-12 01:57
金蝶软件很好用，简单好安装，我们是做会计得，几乎老要用，也很好操作着已经是第二会买了，老板服务态度也好。
作者: 双赤赤赤赤    时间: 2016-9-12 03:54
太难安装了，头都搞大了还没安装好
作者: Best_light    时间: 2016-9-12 07:38
挺好的，不错。
作者: 壹纸湖言    时间: 2016-9-12 08:21
还没有开始用，用了再追评
作者: 锥锥_    时间: 2016-9-12 18:07
物流很快，由于电脑没有光驱，还没安装，服务态度很好，赞
作者: 黑桃A591    时间: 2016-9-12 18:11
非常棒的一款软件，简洁，实用。
作者: 1041469105    时间: 2016-9-12 18:32
安装简单方便，带加密狗比较安全，能满足小企业一般管理使用。
作者: IT首发    时间: 2016-9-12 19:06
宝贝已经收到，开始安装在电脑上使用了，说明书很详细，按照步骤来很快就设定好了，赞一个！
作者: 孤木行舟    时间: 2016-9-14 11:28
产品描述里说明支持WIN7的系统，但是没有说明不支持WIN7英文版的系统，属于商家产品描述不正确。而且产品描述里没有说明一定要先下载试用版以后再在网上购买，也没有说明需要在购买之前先要与客服沟通。与客服协商后，客服同意退货，但是不同意支付运费。
作者: 傲天无痕走天下    时间: 2016-9-14 15:22
好
作者: 双鱼ddddssss    时间: 2016-9-14 16:07
现在在用，也有在群里咨询，很好用，是正版。
作者: IT首发    时间: 2016-9-15 04:09
不错，用着也不是很好，今天已经开始建帐了，操作很简单易学
作者: 360安全卫士4    时间: 2016-9-15 23:43
已经安装好，但是还没有用，等9月开始启用帐套，后期在来追加评论
作者: Apocalypse239    时间: 2016-9-16 00:00
简易版，很好用。
作者: ebr凝爱    时间: 2016-9-16 12:00
软件还可以，算是挺好用的，就是这个客服，说话解决问题啥的都太费劲，打电话问售后还需要服务码，售后这块太差！
作者: 陪催的时间    时间: 2016-9-17 10:37
不错
作者: _____小旺    时间: 2016-9-18 19:47
赠品不错。
作者: 阏1601    时间: 2016-9-18 20:50
非常好！客服人员服务也非常好
作者: 阏1601    时间: 2016-9-20 08:26
收到，很好
作者: 苹果导弹    时间: 2016-9-22 09:55
小企业可以满足哈，不错。
作者: 星猫卡    时间: 2016-9-23 18:02
终于安装成功了，，，，还行，挺简单的
作者: 锥锥_    时间: 2016-9-27 10:05
会计用的，不知道好不好！
作者: 巇耨徴歘    时间: 2016-9-28 13:56
正在使用中，因为急用，感谢卖家发了顺风
作者: 苹果导弹    时间: 2016-9-29 10:05
虽然电脑没有光驱，但客服还是给予很大的帮助，态度很好
作者: zhaojdjan    时间: 2016-10-1 14:55
软件不错，使用起来很方便
作者: 头疼的哥    时间: 2016-10-2 01:07
非常非常好用
作者: 傲天无痕走天下    时间: 2016-10-2 19:14
买正版相信旗舰店
作者: 过分丶賏霗    时间: 2016-10-3 10:19
正在用，售后很好，有问必答，记账简单了



欢迎光临 B2B网络软件 (http://bbs.niubt.cn/) Powered by Discuz! X3.2