數(shù)據(jù)安全公司Bluebox近日在中國市場購買的小米4手機(jī)中發(fā)現(xiàn)預(yù)裝惡意軟件及其他一堆安全問題，更加驚悚的是，Bluebox發(fā)現(xiàn)小米4手機(jī)被不明身份的第三方篡改了。

[[128896]]

Bluebox上周四發(fā)布了一個關(guān)于小米4手機(jī)存在數(shù)據(jù)安全問題的報告，指出小米手機(jī)存在三大安全風(fēng)險：

1.小米手機(jī)禁用了谷歌官方應(yīng)用商店Google Play Store

2.小米手機(jī)發(fā)布前沒有通過Google認(rèn)證測試。

3.小米4手機(jī)存在已知安全漏洞(指那些在Google認(rèn)證版本中已經(jīng)修復(fù)的漏洞)

研究者表示測試的小米4手機(jī)為“原封正品”，預(yù)裝了小米的官方應(yīng)用，但進(jìn)一步的測試后，安全專家發(fā)現(xiàn)小米手機(jī)會預(yù)先加載數(shù)個惡意應(yīng)用，包括偽裝成Google驗(yàn)證應(yīng)用的廣告軟件(Yt Service)，一個可供黑客遠(yuǎn)程控制手機(jī)的木馬軟件PhoneGuardService，以及其他一些高風(fēng)險的軟件。

Bluebox的首席安全分析師Andrew Blaich在博客中指出小米4手機(jī)安全漏洞百出，“幾乎市面上能見到的漏洞應(yīng)有盡有。”

Blaich指出小米4手機(jī)的操作系統(tǒng)是為授權(quán)的Android版本，因此存在加個漏洞，其中一些漏洞只存在于舊版本的Android軟件中，而不是當(dāng)前“小米使用”的版本，因此Blaich認(rèn)為小米4使用的操作系統(tǒng)版本是最新的KtKat4.4.4與之前的某個舊版本的雜交版本。

Blaich還懷疑檢測的小米手機(jī)系統(tǒng)遭到篡改，因?yàn)楹芏鄳?yīng)用并未使用小米公司的簽名密鑰。

Bluebox聲稱第一時間聯(lián)系小米公司但并未得到及時回復(fù)，直到上周五，小米全球副總裁Hugo Barra才給Bluebox回信，內(nèi)容大意是：

Bluebox測試的小米4手機(jī)并未使用標(biāo)準(zhǔn)的MIUI ROM，小米4出廠默認(rèn)ROM和OTA ROM從未root，也沒有預(yù)裝YT Service、PhoneGuardService等惡意軟件。Bluebox在中國從線下零售商買到的可能已經(jīng)被刷機(jī)篡改。小米強(qiáng)調(diào)在中國小米手機(jī)唯一的銷售渠道是小米官網(wǎng)和一些有選擇的運(yùn)營商營業(yè)網(wǎng)點(diǎn)。

Barra在信中指出消費(fèi)者應(yīng)當(dāng)從Mi.com和授權(quán)網(wǎng)點(diǎn)購買小米手機(jī)，但一個不爭的事實(shí)是：第三方渠道大量出貨的小米4手機(jī)存在被預(yù)裝惡意軟件的情況，這表明小米手機(jī)的軟件在零售環(huán)節(jié)已經(jīng)被破解(篡改)，或者說小米對其手機(jī)系統(tǒng)的安全性已經(jīng)失去控制。

Blaich在報告中還指出，一個設(shè)備越流行就越容易被黑客攻擊，小米的MIUI平臺在中國已經(jīng)擁有上億用戶，并準(zhǔn)備今年登陸美國市場，這意味著小米的用戶基數(shù)還將不斷增長。

安全牛點(diǎn)評：2014年小米手機(jī)遭遇了一連串安全危機(jī)，從“小米手機(jī)臺灣遭禁”開始，去年8月以來新加坡和印度等市場紛紛對小米手機(jī)侵犯用戶隱私和數(shù)據(jù)安全的問題展開調(diào)查，小米公司的海外營銷計劃和品牌也遭受重挫，從一開始的“否認(rèn)”、“解釋”到“致歉”，拖延數(shù)月后，小米公司最終在2014年10月宣布最新的隱私保護(hù)措施：將國外用戶數(shù)據(jù)轉(zhuǎn)移至境外數(shù)據(jù)中心。Barra在Facebook賬號發(fā)布的通告指出小米的數(shù)據(jù)大遷移將分三步走，包括2015年在巴西和印度建設(shè)小米數(shù)據(jù)中心等。

如果國內(nèi)第三方渠道流通的大量小米手機(jī)被刷機(jī)預(yù)裝惡意軟件屬實(shí)(筆者從第三方渠道買的小米3就預(yù)裝了廣告惡意軟件)，嚴(yán)重危及個人數(shù)據(jù)隱私和安全，那么小米公司也應(yīng)當(dāng)盡快出臺有力措施，給中國的廣大用戶給出一個靠譜的說法。

原文地址：http://www.aqniu.com/neotech/mobilesecurity/6839.html