[[131802]]

Bluebox上周四發(fā)布了一個(gè)關(guān)于小米4手機(jī)存在數(shù)據(jù)安全問(wèn)題的報(bào)告，指出小米手機(jī)存在三大安全風(fēng)險(xiǎn)：

1.小米手機(jī)禁用了谷歌官方應(yīng)用商店Google Play Store

2.小米手機(jī)發(fā)布前沒(méi)有通過(guò)Google認(rèn)證測(cè)試。

3.小米4手機(jī)存在已知安全漏洞（指那些在Google認(rèn)證版本中已經(jīng)修復(fù)的漏洞）

研究者表示測(cè)試的小米4手機(jī)為“原封正品”，預(yù)裝了小米的官方應(yīng)用，但進(jìn)一步的測(cè)試后，安全專(zhuān)家發(fā)現(xiàn)小米手機(jī)會(huì)預(yù)先加載數(shù)個(gè)惡意應(yīng)用，包括偽裝成Google驗(yàn)證應(yīng)用的廣告軟件（Yt Service），一個(gè)可供黑客遠(yuǎn)程控制手機(jī)的木馬軟件PhoneGuardService，以及其他一些高風(fēng)險(xiǎn)的軟件。

Bluebox的首席安全分析師Andrew Blaich在博客中指出小米4手機(jī)安全漏洞百出，“幾乎市面上能見(jiàn)到的漏洞應(yīng)有盡有。”

Blaich指出小米4手機(jī)的操作系統(tǒng)是為授權(quán)的Android版本，因此存在加個(gè)漏洞，其中一些漏洞只存在于舊版本的Android軟件中，而不是當(dāng)前“小米使用”的版本，因此Blaich認(rèn)為小米4使用的操作系統(tǒng)版本是最新的KtKat4.4.4與之前的某個(gè)舊版本的雜交版本。

Blaich還懷疑檢測(cè)的小米手機(jī)系統(tǒng)遭到篡改，因?yàn)楹芏鄳?yīng)用并未使用小米公司的簽名密鑰。

Bluebox聲稱(chēng)第一時(shí)間聯(lián)系小米公司但并未得到及時(shí)回復(fù)，直到上周五，小米全球副總裁Hugo Barra才給Bluebox回信，內(nèi)容大意是：

Bluebox測(cè)試的小米4手機(jī)并未使用標(biāo)準(zhǔn)的MIUI ROM，小米4出廠默認(rèn)ROM和OTA ROM從未root，也沒(méi)有預(yù)裝YT Service、PhoneGuardService等惡意軟件。Bluebox在中國(guó)從線下零售商買(mǎi)到的可能已經(jīng)被刷機(jī)篡改。小米強(qiáng)調(diào)在中國(guó)小米手機(jī)唯一的銷(xiāo)售渠道是小米官網(wǎng)和一些有選擇的運(yùn)營(yíng)商營(yíng)業(yè)網(wǎng)點(diǎn)。

Barra在信中指出消費(fèi)者應(yīng)當(dāng)從Mi.com和授權(quán)網(wǎng)點(diǎn)購(gòu)買(mǎi)小米手機(jī)，但一個(gè)不爭(zhēng)的事實(shí)是：第三方渠道大量出貨的小米4手機(jī)存在被預(yù)裝惡意軟件的情況，這表明小米手機(jī)的軟件在零售環(huán)節(jié)已經(jīng)被破解（篡改），或者說(shuō)小米對(duì)其手機(jī)系統(tǒng)的安全性已經(jīng)失去控制。

Blaich在報(bào)告中還指出，一個(gè)設(shè)備越流行就越容易被黑客攻擊，小米的MIUI平臺(tái)在中國(guó)已經(jīng)擁有上億用戶，并準(zhǔn)備今年登陸美國(guó)市場(chǎng)，這意味著小米的用戶基數(shù)還將不斷增長(zhǎng)。

安全牛點(diǎn)評(píng)：2014年小米手機(jī)遭遇了一連串安全危機(jī)，從“小米手機(jī)臺(tái)灣遭禁”開(kāi)始，去年8月以來(lái)新加坡和印度等市場(chǎng)紛紛對(duì)小米手機(jī)侵犯用戶隱私和數(shù)據(jù)安全的問(wèn)題展開(kāi)調(diào)查，小米公司的海外營(yíng)銷(xiāo)計(jì)劃和品牌也遭受重挫，從一開(kāi)始的“否認(rèn)”、“解釋”到“致歉”，拖延數(shù)月后，小米公司最終在2014年10月宣布最新的隱私保護(hù)措施：將國(guó)外用戶數(shù)據(jù)轉(zhuǎn)移至境外數(shù)據(jù)中心。Barra在Facebook賬號(hào)發(fā)布的通告指出小米的數(shù)據(jù)大遷移將分三步走，包括2015年在巴西和印度建設(shè)小米數(shù)據(jù)中心等。

如果國(guó)內(nèi)第三方渠道流通的大量小米手機(jī)被刷機(jī)預(yù)裝惡意軟件屬實(shí)（筆者從第三方渠道買(mǎi)的小米3就預(yù)裝了廣告惡意軟件），嚴(yán)重危及個(gè)人數(shù)據(jù)隱私和安全，那么小米公司也應(yīng)當(dāng)盡快出臺(tái)有力措施，給中國(guó)的廣大用戶給出一個(gè)靠譜的說(shuō)法。