八大干流中文手机输入法曝出泄密破绽 仅华为幸免

近日，隐衷钻研机构citizenlab发布安保报告显示，除华为以外的八家厂商（百度、荣耀、华为、讯飞、OPPO、三星、腾讯、vivo、小米）的手机云输入法运行均存在严重破绽，黑客可应用这些破绽齐全窃取用户输入内容，或实施网络窃听。

超10亿用户面临泄密危险

报告指出，仅搜狗、百度和讯飞这三家的输入法市场份额就占中国第三方输入法市场的95%以上，用户数量约为10亿。

除第三方输入法程序用户之外，钻研者还发现，来自荣耀、OPPO和小米这三家厂商的设施预装键盘输入法也存在破绽。2023年，仅荣耀、OPPO和小米三家就占据了中国自动手机市场份额的近50%。此外，三星和vivo的设施也捆绑了存在破绽的键盘输入法，但并不是自动选项。

Citizenlab示意曾经向上述八家存在破绽的手机输入法厂商报告了破绽，大少数厂商做出了踊跃回应，轻薄看待疑问并修复了报告的破绽，但仍有一些键盘运行程序存在破绽。

Citizenlab在报告中正告说，五眼联盟情报机构此前曾应用相似的中文输入法安保破绽实施大规模监控。

云输入法安保危机

随着用户规模的不时增长，云输入法运行的后端技术正变得越来越复杂，人们对此类运行的潜在安保危险也越来越注重。安保钻研人员对云输入法运行安保最关注的疑问重要有两点：

钻研人员测试了腾讯、百度、讯飞、三星、华为、小米、OPPO、vivo和荣耀输入法的多个平台版本（安卓、iOS和Windows版本）。其中腾讯、百度和科大讯飞——是键盘输入法运行的开发者，其他六家——三星、华为、小米、OPPO、vivo和荣耀是手机制作商，它们要么自己开发了键盘输入法，要么预装了上述三个输入法产品。

为了更好地了解这些厂商的键盘运行能否安保地成功了其云介绍性能，钻研者对这些输入法启动了安保剖析以确定它们能否充沛加密了用户的输入按键记载。

钻研者经常使用了静态和灵活剖析方法：经常使用jadx反编译并静态剖析Dalvik字节码，并经常使用IDAPro反编译并静态剖析本机机器码；经常使用frida灵活剖析Android和iOS版本，并经常使用IDAPro灵活剖析Windows版本。最后，钻研者经常使用Wireshark和mitmproxy口头网络流量捕捉和剖析。

对九家厂商的输入法启动剖析后，钻研者发现只要一家厂商（华为）的输入法运行在传输用户按键记载时未发现任何安保疑问。其他八家厂商的每一家至少有一款运行发现了破绽，黑客可以应用该破绽齐全窃取用户输入的内容（下图）：

在大少数状况下，攻打者只须要是网络上的主动窃听者即可应用这些破绽。然而，在某种状况下，针对经常使用腾讯搜狗API的运行，攻打者还须要能够向云主机发送网络流量，但他们不用必定是两边人(MitM)或在网络第3层诈骗来自用户的流量。在一切状况下，攻打者都必定能够访问客户端软件的正本。

因为苹果和谷歌的键盘输入法运行都没有将按键记载传输到云主机以启动云介绍，因此没有（也不可）剖析这些键盘的安保性能。

钻研者示意，只管业界不时在推进开发能够隐秘用户数据的隐衷感知云输入法，但目前并未失掉宽泛经常使用。

隐衷专家的倡导

输入法安保破绽可造成团体财务消息、登录账号和隐衷暴露。隐衷专家倡导手机用户应坚持运行程序和操作系统降级到最新版本。假设用户担忧云输入法的隐衷疑问，倡导思考切换到齐全在设施上运转的本地输入法运行（形式）。