安全路透社
当前位置:安全路透社 > 网络转载 > 正文

得到相机授权的iPhone APP可在你不知情的情况下偷偷拍照窃取隐私

得到相机授权的 iphone APP 可在你不知情的情况下偷偷拍照,获取隐私

近日,来自澳大利亚的谷歌工程师 Felix Krause 发现苹果手机 APP 中存在一个隐私问题,APP 开发者可以利用 APP 控制前后置摄像头偷偷为你拍照。

而用户在这个过程中却不会收到设备上的任何通知。Krause 的博客上可以看到更多的技术细节。

Krause 写道

iOS 用户经常在下载完一个 APP 之后,很快就会给它相机的访问权限(比如,添加头像,发送照片)。对于一些通讯或需要通讯反馈的 APP 来说,它们可以轻松追踪用户行为,用手机前后摄像头秘密拍照,而这一切都不需要用户许可。

据 Krause 所说,这个问题的根本原因是苹果软件对相机的授权机制不完美。今天绝大多数的手机应用,包括 WhatsApp, Facebook, 和 Snapchat,也都遵循这样的授权机制。

所以,这可能并不是一个 bug 或错误,而仅仅是一种特性,苹果特意为之的特性,但 Krause 认为这种特性会让恶意软件有机可乘,利用这种特性悄悄地记录用户隐私。

Krause 表示,一旦用户授权给 APP 相机权限,开发者可以轻松做到以下几点:

获取手机前后摄像头的访问权限

APP 前台运行时的任意时刻都可以对你进行记录

不需要你的许可就可以拍照录像

拍照/摄像后立即上传到服务器

运行实时面部识别程序,来检测你的面部特征和表情

得到相机授权的 iphone APP 可在你不知情的情况下偷偷拍照,获取隐私

而这些应用程序只需要一次授权,就可以完全获得相机的访问权限,而不再需要额外的方式通知用户(LED light 之类的,想想还是挺可怕的。

手机摄像头在记录的过程中没有任何提示,包括 LED或别的什么。

Krause 自己也开发了一个应用程序来验证自己的观点:恶意软件可以悄悄地利用相机权限,每秒拍一张照片,甚至可以视频直播。

该演示程序主要还是为了强调 iOS 应用可能会出现的安全隐私漏洞,而不是别有所图。

以下是 PoC 视频,演示了用户在使用演示程序时,每秒都会被拍照,并且 Krause 开发的演示程序还带有面部识别体统,用来识别用户是否在使用过程中。

Krause 也督促苹果尽快完善授权机制,比如将相机的永久授权改为暂时授权。

而在硬件上,则可要求 APP 在拍照过程中需用某种手段(闪光灯, 机器开关等)告知用户。

其实最重要的是,不要轻易下载恶意软件到手机中,尽量去应用程序的官方商店去下载,并提前阅读一些关于应用的评论和开发者的情况。

在等待苹果完善授权机制的过程中,Krause 给大家的建议就十分简单粗暴了,就是直接把摄像头遮盖起来,虽然看起来并没有技术含量,但Mark Zuckerberg和前 FBI 指挥官 James Comey也都是这么做的。

*参考来源:thehackernewssecurityaffairs,FB小编 Liki 编译

未经允许不得转载:安全路透社 » 得到相机授权的iPhone APP可在你不知情的情况下偷偷拍照窃取隐私

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册