字节跳动无恒实验室隐私保护研究再度入选Black Hat Asia 2023 环球微速讯
近日,字节跳动无恒实验室的隐私保护研究议题亮相Black Hat Asia 2023(亚洲黑帽大会),议题分享了关于重新审视Android应用程序的隐私敏感信息收集行为的现状研究。
(资料图)
Black Hat大会被公认为世界信息安全行业的顶级盛会,每年分别在美国、欧洲、亚洲各举办一次安全信息技术峰会。此前Black Hat Asia2021大会上,无恒实验室的安全研究《Do Apps Respect Your Privacy as TheyClaim?》也入选演讲,议题同样着眼于用户隐私保护。可以看到,无恒实验室多年来在移动安全和隐私安全方向持续投入,助力用户隐私保护的安全建设。
近年来,随着用户隐私数据保护在全球范围内引起广泛关注,各国政府也相继制定了以隐私为重点的数据保护法规,严格规范用户隐私数据的收集和利用,如欧盟制定的GDPR,企业若侵犯用户隐私可能会导致巨额罚款,GDPR规定最高达2000万欧元的罚款,或者企业全球年收入的4%,可见用户的隐私数据保护已达到空前的重视程度。
Android隐私数据保护的演进
Google从Android 6 开始增加对隐私保护的建设,如增加运行时权限,当需要获取设备唯一标识、位置信息、相机等数据时均需要拿到运行时权限。在Android10时继续加大隐私保护力度,如限制应用获取IMEI等设备唯一标识符。Android 12开始,用户可以设置限制追踪禁止APP获取GAID(谷歌广告ID)。同时,无恒实验室也注意到,对于iOS系统来说,从iOS 14.5开始,App想要获取 IDFA,也需要用户手动授权。
综上看来,主流操作系统对于用户隐私保护似乎已经做的很不错了,但是事实真的是这样吗?这几年无恒实验室一直带着这些疑问对系统和APP的隐私问题做了持续性研究,发现在WebView、广告ID、唯一标识符等方面,无论是在Android设备还是APP中还是存在一些不足,这些不足都严重影响着用户的隐私数据保护,造成用户敏感信息泄露。
研究发现:若WebView没做合适的开发配置,用户数据仍不安全
根据研究发现,一旦WebView没有进行合适的开发配置,那用户的敏感数据如位置信息、麦克风、摄像头等可能被不法利用。同时,关于广告ID,大多数用户对广告ID也很困惑,虽然广告 ID被设计成可重置的广告ID,但重置意义不大,只要广告 ID还在,便可以用来跟踪用户,比如在两个应用中交叉跟踪用户依旧可以实现的。
同时,几乎所有的敏感信息在传递到应用程序之前都会被编码成一个字符串。在这个背景下,无恒实验室自研了一种相对简单的检测方法来解决隐私泄露的问题,即通过HookString的构造函数方式,便可以检查在移动设备上构造的所有字符串,这种策略看似简单但是很全面,因为无论恶意应用程序以任何方式获取敏感数据字符串,都可以监控到。
无恒实验室将这种方法包装成一个工具,并用它来分析某些在Android设备中预装的应用程序。该工具发现了在很多场景下的用户信息被非法获取,目前已经将上述问题提交给相关制造商,并获得制造商的认可与致谢。值得一提的是,该工具有个显著优势,即调用者如果使用0day或者Nday,也一样可以被检查到敏感信息被调用。同时工具也有不足,即如果大量的字符串被hook后,会导致APP运行卡死,该不足无恒实验室也在持续优化中。
漏洞已提交至相关厂商
无恒实验室秉持负责任的漏洞披露政策,已将上述所有发现的漏洞提交至相关厂商,并获得CVE认可。无恒实验室也希望借助演讲推动隐私保护的建设步伐。
同时也可以看到,从Android 10开始,已经不允许第三方应用获取设备的唯一标识,如果要获取,则该应用程序必须利用0day或者Nday,已经大幅提高利用门槛,Android12也增加了删除广告ID的能力。当然一些问题还始终存在,如应用程序的WebView没有正确处理权限,会被用来获取用户敏感数据。一些OEM厂商没有严格按照AOSP权限策略,也会导致唯一标识被非法获取,另外广告ID在某种程度上也变成了持久化的ID,从设备第一次开机到手机恢复出厂设置,都可以持续跟踪用户。
这些仍然存在的问题依旧是隐私保护建设上的新挑战,无恒实验室愿携手行业,呼吁监管机构、厂商和开发者等加强合作,共同打造一个安全合规的Android生态,为用户的安全和隐私保驾护航。
据悉,无恒实验室 (https://security.bytedance.com/security-lab)是由字节跳动资深安全研究人员组成的专业攻防研究实验室,致力于为字节跳动旗下产品与业务保驾护航。通过实战演练、漏洞挖掘、黑产打击、应急响应等手段,不断提升公司基础安全、业务安全水位,极力降低安全事件对业务和公司的影响程度。
无恒实验室持续在前沿安全技术加大投入,近年来无恒实验室已有多篇研究成果发布在包括NDSS、MobiCom、BlackHat等顶会会议和期刊。未来,无恒实验室将持续深耕移动安全和隐私安全,持续与业界持续共享研究成果,协助企业避免遭受安全风险,亦望能与业内同行共同合作,为网络安全行业的发展做出贡献。(作者:黄恒)
标签:
相关推荐:
最新新闻:
- 经典奥利奥镜头模组绝了!大神把iPhone SE 3改成诺基亚Lumia 1020外观
- 高性能迷你主机,机械革命无界S、极光S配置曝光,最高i9 12900HX处理器
- 记者:巴黎有人想出售维拉蒂但未收到正式报价,球员想回意大利 天天速读
- 字节跳动无恒实验室隐私保护研究再度入选Black Hat Asia 2023 环球微速讯
- 每日观点:后羿的妻子是谁呢_后羿的妻子是谁
- 腾讯控股:耗资约3.5亿港元回购103万股 环球视讯
- 天天速看:中公教育不履行合同约定,拖欠退费两年之久,严重违约
- 雅思考试时间和费用地点2023黑龙江_全球播报
- 洋河股份(002304.SZ):行业和消费场景不断复苏,销售逐步改善,5月份动销情况符合预期_今日热闻
- AI换脸名誉受损 多位网红遭换脸集体起诉运营公司_即时
- 盖尔加朵发文想念“家人”:《速度与激情10》拍摄很难忘 观天下
- 开封市禹王台区人民检察院:多措并举 助力乡村振兴 全球百事通
- 《刺客信条:幻景》大量情报泄露 游戏流程约15个小时-每日热讯
- 环球热头条丨河南省农业农村厅厅长“西湖论茶”:“老家河南”一片叶已风靡全球
- 全球百事通!由Appetite制作的视觉小说《我可是御宅社团的公主!》中文版正式发售!
- 中亚股份(300512.SZ):董事、高管金卫东和王影拟减持合计不超9.375万股 世界报道
- 诺德基金FOF投资总监郑源:建议投资者长期关注偏均衡配置的权益产品-每日短讯
- 观察:百度交出搜索引擎王座
- 声动中国丨“我有两个梦”
- 《王国之泪》M站跌至95分!三家媒体给出中评 全球快播
- 快手上市后首次实现集团层面整体盈利,一季度总营收252.2亿超市场一致预期 全球即时
- 曝摩托罗拉Razr 40 Ultra折叠屏手机售价约7000元 全球最新
- 最资讯丨饲料粮价下行致成本支撑减弱 需求不振养殖端陷入亏损
- 世界看热讯:小米618活动是几号开始的?2023小米618活动官宣
- 何赛飞抨击戏曲行业现状,年轻人真的不爱戏曲吗?_今日报
- 吕梁:实战淬火励精兵_热讯
- 黑格科技参加全国民营口腔年会 提出“一日口腔”方案
- 16GB+1TB!一加Ace 2V超大杯来了 通讯
- Meta与AR巨头达成合作,联手开发下一代AR产品
- 京东618优惠出炉,全场直降,还有这三张共60元补贴,PLUS会员有专属福利 焦点热闻
- 成都市温江区公租房咨询电话
- 百度交出搜索引擎王座_全球热点
- 香港4月份整体消费物价同比上升2.1%|世界播资讯
- 王一博熹微mp3百度网盘(王一博熹微)
- 中铁置业拟发行8亿元中期票据,用于普通商品房项目-天天热点
- 今日关注:东风小康风光MINIEV,纯电续航220km,售价5.56万
- 中国发布2023版生物物种名录 新增10027个物种 即时焦点
- 2023年宁德时代专题报告 矿产资源方面的布局日益清晰 世界今日讯
- 赎回私募基金时我们应该注意什么?切记谨防三大误区!
- IGN盘点10款类似《原神》的游戏:推荐给原神玩累了的玩家-环球播资讯
- 《网络奇兵:重制版》新预告 画面精美气氛恐怖 每日观点
- 世界速讯:今年退休人员基本养老金上调3.8% 2023年退休金大约上调多少?计算方法来了!
- 英语yeah是什么意思_yeah什么意思
- 比亚迪刀片电池加持!新款特斯拉Model Y海外下线
- 天天百事通!粉丝为《漫威蜘蛛侠2》献计 让毒液变得更加强大
- 重庆成立产业投资母基金 总规模达2000亿元
- 每日短讯:《流浪地球2》全片被上传到《Wallpaper Engine:壁纸引擎》:网友吐槽太缺德
- 重点聚焦!有道听力宝X《蜘蛛侠:纵横宇宙》联名礼盒限量首发,英语听说“一网打尽”
- 全线拉满!红米K60 16GB版本来了:顶配1TB存储 环球视讯
- 《暗黑4》辅助功能介绍:敏捷性、文字阅读体验飞升 世界快讯
- 热头条丨浪漫“520”1162对新人领“红本本”
- 好长焦全系标配 OPPO Reno10系列定档5月24日发布 简讯
- 【环球播资讯】今日52股涨停 主要集中在机械设备、公用事业等行业
- 广西长洲枢纽船闸高科技“防撞装置”:一根“小铁链”可保船闸安然无恙|当前视点
- 全球热点!乐高再次打造实物大小超跑法拉利 38万多方块精密极致
- 世界通讯!花旗:予比亚迪股份(01211)“买入”评级 目标价602港元
- 焦点资讯:桂东北局地已出现大暴雨到特大暴雨 未来三天广西有较强降雨过程
- 玄而又玄众妙之门的玄是什么意思_玄之又玄 众妙之门 何解
- 苏宁环球:公司目前没有回购股份计划
- 征服者·康和达克赛德谁厉害?漫威霸主VSDC大佬,反派大决战
- 【世界新要闻】2023年,基于PCIe 3.0的英睿达P3仍是主流之选
- vivo X90旗舰机开启官方降价模式、至高直降300元 环球视讯
- 黄金比例平板仅499元,酷比魔方发布8寸平板iPlay 50 mini
- 三星显示器新品发布会定档5月24日 来和“真玩家”一起“玩真的”
- 今日讯!《2023中国洗地机行业发展与消费洞察白皮书》重磅发布
- 什么是期货基金?期货基金是什么意思?
- 天天速看:新一批新增地方债额度下达
- 冬季水古诗有哪些 关于水的古诗大全 每日看点
- 河北省开展道路交通安全专项整治行动|速看
- 上海城市业余联赛990上海市第九套广播体操联赛启幕|每日速讯
- 徐州市关于享受生育保险待遇有关问题的通知|快讯
- 德泽尔比:我们更衣室内部此前的目标是获得欧冠参赛资格
- 5月22日东北地区乙醇市场行情持稳整理
- 新消息丨《嘣境回收战》6月1日steam发售 战斗养成策略收集新游
- 雍正在位多少年_乾隆在位多少年