科技巨頭Meta與俄羅斯搜索公司Yandex日前被曝系統(tǒng)性侵犯用戶隱私，最新研究顯示兩家公司通過在580萬及300萬個(gè)網(wǎng)站中植入追蹤代碼，繞過安卓系統(tǒng)沙箱隔離機(jī)制秘密收集用戶數(shù)據(jù)。這種被稱為”端口監(jiān)聽”的技術(shù)突破移動(dòng)端安全邊界，讓網(wǎng)站通過瀏覽器向本地端口發(fā)送請求，將用戶瀏覽記錄與Facebook、Instagram等應(yīng)用的真實(shí)身份關(guān)聯(lián)，徹底摧毀匿名性。
研究證實(shí)，Meta自去年9月起利用WebRTC和SDP munging等復(fù)雜技術(shù)規(guī)避防御，而Yandex的類似操作可追溯至2017年。值得注意的是，iOS系統(tǒng)因嚴(yán)格限制本地端口通信而未被攻破，安卓的開放性與后臺(tái)運(yùn)行機(jī)制成為漏洞根源。谷歌發(fā)言人回應(yīng)稱此舉違反Play商店條款，已啟動(dòng)調(diào)查并采取限制措施，但研究者警告當(dāng)前修復(fù)過于被動(dòng)，攻擊者更換端口即可重建追蹤體系。
更嚴(yán)峻的是，這種”沙箱逃逸”技術(shù)已形成黑產(chǎn)鏈條。研究人員發(fā)現(xiàn)部分電商平臺(tái)同樣利用此漏洞進(jìn)行用戶畫像，而普通用戶僅通過禁用應(yīng)用后臺(tái)權(quán)限可暫時(shí)防護(hù)。隨著歐盟數(shù)據(jù)保護(hù)委員會(huì)介入審查，Meta或?qū)⒚媾RGDPR框架下的天價(jià)罰款，這場波及數(shù)億安卓用戶的隱私危機(jī)，正倒逼操作系統(tǒng)廠商重構(gòu)安全架構(gòu)。
原創(chuàng)文章，作者：聆聽，如若轉(zhuǎn)載，請注明出處：http://m.2079x.cn/article/722236.html
