科学上网

2016.1.19 日本站介绍 “国外信息安全专家体验防火长城” 的全文中文翻译来了。原文：http://blog.zorinaq.com/?e=81@holly_lee （Blog）翻译中文：http://weibo.com/p/1001603945665913854240体验中国的 GFW最近我第一次去了中国。作为一个信息安全专业人士，终于能够亲手摸一下中国的 GFW， 看看它是如何工作的以及翻墙的难度如何，对此我充满了好奇。简短地说，我惊讶于如下方面：它的成熟度很高。比如能够利用 TLS 的侧信道泄漏 （我有关于它能够检测到 安全 web 代理中的 ”TLS 中的 TLS“ 特性的证据）用一些简单的 Unix 安全工具就能翻墙。在中国排名最前的 3 个商业 VPN 供应商里，有 2 个 使用了太短的 RSA 密钥 （1024 位）。中国政府能够把这么短的密钥分解因数出来。（2016-02-15 更新：在接到我的报告之后，这两个供应商停止了短密钥的使用，现在它们用 2048 或者 4096 位的了）为什么要翻墙？很多到中国的西方人有非常合理的理由需要翻墙。GFW 阻止了所有的 Google 服务。这意味着没有 Gmail 来访问你的电子机票，没有 Hangouts 来跟家庭联络，没有 Maps 来寻找旅馆，没有 Drive 来存取旅行计划文档。这就是我翻墙的主要需求。在去中国前我做了一些准备。在手机上我把 Drive 应用里的文档存下来以便离线访问。在 Maps 应用里我把我要去的地方的地图预先加载好，通过放大这些地点我把附近所有的街道和景点的地图都加载到手机上了 －那时候 Google 地图还没有新的离线功能。不过最终 Maps 还是几乎没什么用：我的 GPS 位置总是与真正的地点偏离几百米远。这是因为中国的 GPS 移位问题。（Google 完全可以在它的中国地图上使用 WGS-84 坐标来解决这个问题，可它为什么至今还没做呢？）想法 1就这样我到了北京的旅馆里，试图访问 google.com。访问出错了，GFW 发送了 TCP RST 包阻止了连接。我第一个想法是建立一个 SSH Socks tunnel (ssh -D)，从我的笔记本连到美国一个数据中心的服务器上。我用了如下命令来配置 Chrome:$ google-chrome –proxy-server=socks://127.0.0.1:1080$ ssh -D 1080 my-server这种方法工作了几分钟。然后就开始出现严重的丢包，丢包率大概有 60% 到 70%。重启这个 tunnel 又能工作几分钟，然后丢包又出现了。这种丢包会影响到达服务器的所有流量，跟数据种类无关，无论是 SSH 连接还是简单的 ping 都一样。还不清楚 GFW 为什么丢弃数据包。有人说那是在不彻底阻断 VPN 的情况下，对 VPN 进行的干扰。也可能使 GFW 选择了一些可疑的数据包，将它们导向一个子系统来进行深度检测，而这个子系统过载了，没法处理全部流量。不管原因是什么，这样的掉包使得 SOCKS tunnel 变得又慢又不稳定，没法用。想法 2 我尝试了一个稍有点不同的方法：在服务器上运行一个 web 代理 (polipo)，对 127.0.0.1：$port 进行侦听，然后用 SSH 端口重定向 (ssh -L) 去访问。$ google-chrome –proxy-server=127.0.0.1:1234$ ssh -L 1234:127.0.0.1:$port my-server一样地，这种方法正常工作了几分钟，然后又出现了丢包。GFW 能够清楚地检测和干扰哪些携带了大量数据的 SSH 通信。想法 3 可以用一个在 TLS 连接之上的代理来代替 SSH。这样 GFW 应该难以检测了，因为通过 TLS 连接来访问代理的流量模式跟访问一个 https 的站点是很接近的。我们把 TLS 连接之上的 web 代理称为安全 web 代理。大多数浏览器还不支持，所以它并不普遍。我用了 stunnel 将一个代理连接包装到 TLS 里，并为我的笔记本打开了一个未加密的代理端口。当然，我需要用身份认证来保护这个配置。不过我不能用标准的代理认证方法，因为如果 GFW 连到它上面，一个 “407 需要代理认证” 就会将它暴露。我也不想用 TLS 客户端认证，因为那样很可能会表示出这可能是某种基于 TLS的 VPN。我仍然要尽可能地让我的安全 web 代理看上去像，活动起来也像一个常规的 HTTPS 端点。我用 Python 写了个短小的中继脚本，它在 $port_a 上侦听并将所有的连接转发到另外一个端点 $host_b:$port_b. 这个中继可以运行在两种模式下。在 “客户端模式” 下（在我的笔记本上）它会将一个 128 位的密钥作为发送到连接的头 16 个字节。在 “服务器模式“ 下（运行在我的服务器上）它会对这个密钥进行校验，只有校验成功才会转发连接，否则就丢弃数据，像一个失去响应的 web 服务器一样。在我的笔记本上的配置如下：配置浏览器使用 127.0.0.1:5000 上的代理中继脚本在 127.0.0.1:5000 侦听, 插入密钥，并转发到 127.0.0.1:5001stunnel 客户端在 127.0.0.1:5001 上侦听, 将连接包装进 TLS，并转发到 my-server:5002服务器端：stunnel 服务端 my-server:5002 上侦听, 解出实际连接，并转发到127.0.0.1:5003中继脚本在 127.0.0.1:5003 上侦听, 校验密钥（并移除之），然后转发到 127.0.0.1:5004Web 代理在 127.0.0.1:5004 上侦听结果如何？工作得很好！没有包丢失，没有任何问题。在通过这个代理浏览 HTTP 站点时 GFW 会在线路上看到什么呢？在我的系统上对 “curl –head http://www.google.com” 进行抓包结果显示如下 (TLS 记录的大小显示在括号里):C: TCP SYN to proxyS: TCP SYN+ACK reply from proxyC: TCP ACKC: ClientHello (86 bytes)S: ServerHello, Certificate, ServerHelloDone (67+858+9 bytes)C: ClientKeyExchange, ChangeCipherSpec, encrypted Finished (267+6+53 bytes)S: NewSessionTicket, ChangeCipherSpec, encrypted Finished (207+6+53 bytes)C: encrypted ApplicationData #1 (37+197 bytes)S: encrypted ApplicationData #2 (37+693 bytes)(旁注：ApplicationData 记录分成了两部分，第一部分 37 字节，这是为应对 BEAST 而做的 1/n – 1 记录分割）这里有一个 TCP 握手，一个 TLS 握手，一个从客户端发送的，大约 200 字节的加密 ApplicationData 记录（HTTP 请求），以及一个从服务端发送的，大约 700 字节的加密 ApplicationData 记录 （HTTP 回应）。这个 TLS 交换和流量模式类似于一个未经代理的 HTTPS 连接，因此 GFW 无法检测到它是一种翻墙技术。不幸的是，一旦我开始通过我的代理浏览 HTTPS 站点，GFW 就能检测到了并应之以大量的丢包… 它是怎么检测到的呢？想法 4通过一个安全代理浏览 HTTPS 站点会有两层 TLS：外层 TLS 连接到代理，内层连接到站点。我推断 GFW 能够猜测出加密的 ApplicationData 里隐藏了一个代理 CONNECT 请求和另一个 TLS 握手。如下为通过代理运行 “curl –head https://www.google.com” 是的抓包结果：C: TCP SYN to proxyS: TCP SYN+ACK reply from proxyC: TCP ACKC: ClientHello (86 bytes)S: ServerHello, Certificate, ServerHelloDone (67+858+9 bytes)C: ClientKeyExchange, ChangeCipherSpec, encrypted Finished (267+6+53 bytes)S: NewSessionTicket, ChangeCipherSpec, encrypted Finished (207+6+53 bytes)C: encrypted ApplicationData #1 (37+197 bytes)S: encrypted ApplicationData #2 (37+69 bytes)C: encrypted ApplicationData #3 (37+325 bytes)S: encrypted ApplicationData #4 (37+3557 bytes)C: encrypted ApplicationData #5 (37+165 bytes)S: encrypted ApplicationData #6 (37+85 bytes)C: encrypted ApplicationData #7 (37+149 bytes)S: encrypted ApplicationData #8 (37+853 bytes)对 GFW 来说，这 8 个 ApplicationData 记录看上去像 keep-alive 连接上的 4 对 HTTP 请求和回应。不过，根据 的研究所显示的，TLS 的侧信道泄漏是可以被利用的，例如用来观察包大小。试着做一下，我们能看到它们的大小符合一个 CONNECT 请求和一个 TLS 握手交换的信息大小：C: encrypted ApplicationData #1 (37+197 bytes):”CONNECT www.google.com:443 HTTP/1.1rnHost:…

来源： http://www.solidot.org/story?sid=47287以色列海法理工学院和国防承包商Rafael的研究人员在预印本网站arxiv发表论文（PDF），指出中国的核心网络运营商中国电信和中国联通会利用带外注入的方法注入虚假内容。注入广告等内容的行为一般发生在边缘ISP——即直接向用户提供网络接入服务的ISP，但研究人员利用netsniff-ng工具捕捉和分析1.5PB数据之后发现，核心网络运营商也会这么做。伪造的非用户请求内容是通过带外的方式注入到流量中，类似国家级审查系统，但不是为了政治目的而是出于商业目的。虚假内容的注入持续时间通常只有2到3天，研究人员承认可能难以重现。所谓的带外注入是指网络运营商被动监视了所有流量，在需要改变数据包的内容时，伪造的数据包会伪装成有效的数据包注入到服务器和客户端之间的连接，抢在有效数据包之前传输到客户端，这时候客户端会接受伪造的包而抛弃有效的数据包。这种攻击方法只适用于非加密内容，使用HTTPS可以防止此类攻击。在研究中，研究人员观察到的注入虚假内容现象主要发生在中国，发生在两个最大的亚洲基础网络运营商（电信和联通）的自治系统内，注入的内容除了广告还涉及到恶意程序。注入的广告域名包括了阿里巴巴的is.alicdn.com，jiathis.com等；指向域名wa.kuwo.cn的JS脚本注入被认为是恶意的；重定向链接使用了网址www.baidu.com/?tn=95112007_hao_pg，推荐标签是hao123.com——一个众所周知的广告软件关联网站。翻墙技术博客订阅地址及社交帐号

来源：http://chuansong.me/n/2478935几年以前，我曾经嘲笑过某科技界大佬。当时他说：也许90后、95后会慢慢不知道谷歌是什么网站。那一年，这对于我来说简直就是世界上最好笑的笑话。谷歌，全世界最卓越的互联网公司，活在互联网的一代中国人，会不知道他们的网站？今天，我收回这句嘲笑。因为这件不可能的事，它慢慢变成了现实。没有人再关注什么谷歌不谷歌。对他们来说，百度也蛮好用的，反正他们几乎没用过谷歌。没有谷歌又怎样？大家还是开心的刷微博，看微信，听歌，看娱乐节目。对于从来就不知道谷歌的人来说，少了谷歌又有什么影响？多年前，我们也是可以登陆Facebook的。其实这个网站和校内一样，也挺蠢的。可在上面你能看到老外们的生活，可以轻易的跟一万公里以外的人互相拜访，可以看到很多根本不会开到校内上的主页。你用汉语回复，下面给你聊起来的可能是香港仔，可能是台湾人。你用英语回复，说不定有比你英语用的更蹩脚的寂寞的北欧人来跟你搭讪。你感觉地球真的变成了地球村，你还没拉门走出去，别人就推门走了进来。然后，它就没有了。起初，它的失踪激起了很大的声音，后来，声音就消失了。多年前，我们也是可以登陆Twitter的。其实这个网站和微博一样，也不过是些信息流，刷上一整天，也不见得有什么用处。但至少，你可以以最快速度获取你想知道的任何新事，你会真正了解什么事情在全世界是流行的，而不是经过各种截图、翻译、转发，甚至曲解、断章取义、黑白颠倒的东西。你知道的是真相，赤裸裸的，也许有点太短的真相。但至少中间不会有无数人的加工与再加工，偏激、片面，就在这个过程中产生了，不管后来者有意还是无意。然后，它就没有了。首先是它的本体没有了，然后它的模仿者也没有了，模仿者的模仿者也没有了。只剩一个模仿者的模仿者的模仿者，现在你每天能在上面看到无数广告。多年前，我们也是可以登陆YouTube的。对于有的人来说，这个网站就是个大型优酷，当年有人信誓旦旦的说，没有YouTube，我们中国人会很快让优酷超过YouTube。可这么多年过去了，视频还是那么卡，内容还是那么垃圾，原创还是那么容易被盗窃，视频丰富度还是那么的可怜。在YouTube上，你能看到全世界最棒的手艺人，最逗乐的笑话，最天马行空的创意，最激荡人心的音乐，最美好的完美瞬间，可在优酷上，你想看一分钟视频，请先看半分钟广告。哦，对了。Instagram，有些人可能感觉它和QQ空间也差不多。可我在上面关注了六百多个摄影师，它们都是顶好顶好的影像记录者，每天看他们的作品，我感觉到很幸福，那种即使没有到那里去，也身临其境的幸福。我还在上面认识了一个日本的爱自拍的帅小伙，一个爱喝酒的韩国大叔，一个十年前到过中国今天会在每张我发的紫禁城照片下点赞的美国大爷，一个美丽无比的俄罗斯妹子，我和他们基本上都难以交流，语言是很大的障碍，但几个简单的单词，心意也就到了，这种感觉，有时候比多年老友相聚还兴奋。因为这是人类不同族群自由交流互相沟通的过程，这种过程很神奇，真的很神奇。可现在，它没有了，它之所以没有就因为在某个特定的时间你在搜索特定的词汇时，会搜出来特定的照片。虽然这么搜的人并不多，虽然看到的人也不会大惊小怪，也不会觉得天黑了，天亮了，天要塌了，天要变了。可它就是没了，Instagram，就这么没了。谷歌也是这么没的，Twitter也是这么没的，Facebook也是这么没的。不知道是什么人，在什么场合，说了什么话，下了什么决定。就要有超过十亿人像陷于哥谭市的孤岛里一样，看着一座又一座桥梁被炸掉，又被炸掉，又被炸掉，然后，就什么都没了。我时常觉得悲哀，真的好悲哀，一个我根本不认识也不知道是谁的人，也许是一个群体，在不断抢走我身边的东西，而我却无能为力。我抱怨一声，他听不到，任何人都听不到。我怒吼一句，身边的大多数人却像看疯子一样的看着我。我哀嚎一声，这声音被阻碍在黑黑的幕墙以里。我发出尖锐的嘶吼，这声音传不了多远，就和我那被抢走的东西一样，消失了，不见了，就像从来没存在过一样。对于本来就没存在过的东西，有谁又会觉得在意呢？那些本来拥有又被掠夺的人的哀愁，后来的人又怎么懂呢？我曾经是拥有一切的，我曾经是拥有世界的，我站在这片土地上，呼吸的是自由的空气，饮下的是自由的琼浆玉液。就在长的无法计数的时间里，我自由生命的一部分又一部分就这么被杀死了，突然就杀死了。可我还始终觉得，它们还奄奄一息的活着，就像它们是慢慢的死去的一样。可它们终归是死了，而且随着它们的死，愈来愈多的事情慢慢的发生了，很慢很慢，几乎不被人察觉，可还是发生了。没有谷歌，我可以用百度呀。可某些结果被越挪越后，越挪越后，最后就不见了。就像本来就不该搜出这个结果一样。没有Facebook，我可以用校内呀。可你想发只有在Facebook上能发的文章，很快在校内上就失踪了。接着，校内变成了人人，话题变成了人人都关心的话题。大家都在抢着看星座、明星、八卦、娱乐。没有人会关心什么消失了，反正它们本来也没多少存在感。没有YouTube，我可以用优酷呀。可你却经常只能在优酷上看到抄袭别人的作品，而且还不署名，而且还洋洋得意，而且还自我陶醉，就好像那个idea本来属于他自己一样。你看了还要惊呼，他是如此的有创意！好一个抄袭的创意，可你却不知道，因为你不知道这个世界上有个网站叫YouTube。没有Twitter，我还可以用微博呀。可你想知道最近发生了什么，你搜的越勤快，越能看到越明显的“根据相关法律法规，相关搜索结果不予显示”。时间长了，你想，反正知道了也没什么用，不如不看了。慢慢的，一扇又一扇的门关上了。今天你打开世界上最大的博客网站，发现它没了。明天你一看，世界上最好的设计师分享网站没了，一开始是刷新的很慢很慢，后来它就没了。过两天再一看，平常每天都会读两篇文章的媒体网站没了，那里的文章缤纷多彩，最后都变成了该页无法显示几个字。再过几个月，大学的网站不让上了，摄影师的网站不让上了，就连百度日本这种自家网站，也没了。接着，漫画看不了了，接着，动画看不成了。接着，美剧英剧失踪了。下载美剧英剧的网站又又又失踪了。尊重正版，保护权益，行吧，然后字幕网站也没了。游戏没了，你习惯性登陆的游戏网站，发现下载栏正在整治中。论坛关了，天天都在看的论坛，突然接到相关部门的电话，因为“报备问题”不让办了。个人网站，私人博客，对不起，说没就没有，你在上面存了多少多年辛勤耕耘的东西都没用。你关注的人，有一天你登陆微博，发现他怎么好久都没说话了，然后你搜索了一下，发现他的账号不存在了，而且你搜他的名字，他的名字未予显示。一盏一盏的灯，灭了。四面八方的光源，消失了。我们生活的五光十色的世界，变成了一片黑色。天黑了，那么睡觉吧，但愿长醉不复醒。最后，我们变成了一群做梦的人，这个梦的名字，叫根据相关法律法规，相关搜索结果不予显示梦。翻墙技术博客订阅地址及社交帐号

来源： https://plus.google.com/u/0/113942427733007038911/posts/f4T5JAhiDuS這大概是中國人的典型思維方式，而評論則完全是另一個側面。 如何從一個小粉紅變成草泥馬？ 翻牆只是一個必要但是不充分的條件嗎？ joe LI反对GFW支持网络自由Internet Freedom Anti-GFWFeb 25, 上午7:53被墙只是一方面的事情，你们难道不知道吗，如果让一些反中国的人利用，中国可能会分裂，那时候就不是小事了，现在中国还没发展到那个程度，言论自由，那是理想化状态，孔子不也没实现吗？你们想想一些中国人，说直白一些就是中国大部分人没有素质，这不是我说假话，现在老人倒地没人扶，人与人之间的信任哪里去了？所以，像这些社会现象没有或者说减少到几个人的程度，gfw自然会取消，现在就翻墙来说，中国就睁一只眼闭一只眼，要不然，凭我们的力量是没办法突破封锁的。这些都牵扯太多，实在是太多了，现在的中共，就像是顺水里的船，是按水流方向走的。 以上为个人观点，不代表团体言论6 次加一627 条评论271 次分享1公开分享•查看动态隐藏 21 条评论 kevin jin+6能翻墙也是一大进步，孔子当年也没翻过墙。是这个逻辑对吗？11 小时Fuxue Luo+7哥们，你这逻辑很感人啊11 小时I Danny (DannyZe)+8回墙内舔菊吃屎去吧，你主子高兴了还能赏你骨头啃。11 小时Felix Birdy+6什么狗屁逻辑，墙的作用是扶植国内企业，另外防民之口，老百姓了解不到事实真相，政府不被监管，可以肆意横行11 小时飞卫（VFen）+5敢问人与人的信任还有大部分的社会问题的根源都是出自谁？谁磨灭了这个文明？10 小时飞卫（VFen）+2它们一直在增高墙。我们爬墙不是它们的恩赐。10 小时邓荣真是有病10 小时张政豪水能载舟，亦10 小时hqin d+3现在的中共，就像是顺水里的船，是按水流方向走的。——嫩的意思是说，大批高官的家属子女亲戚利用手中权力暴富、向西方转移家眷和不义资财、向亚非拉大撒币、对国民实行长期不变的低收入低福利乃至无福利以及高物价高税收高房价政策、还有教育、医疗、社保……“是顺水船，是按水流方向走的”？10 小时贾宗伟+10哦😊？素质是社会公正养成的，一个没有公正的社会很难提高人们的素质。10 小时joe LI+邓荣 哦，对啊，我有病10 小时joe LI+邓荣 你难道没病吗？10 小时joe LI+hqin d 我的意思你们怎么都理解错了，好吧，我表达能力差，见谅啊10 小时乔石+1毫无逻辑。。。多好看看书好不啦！10 小时Nicky HU+6你也配姓赵？9 小时吴海朋+4分裂怎么了，俄罗斯不是好好的吗9 小时NOVA NOVA嘿，每一个派系的内和外，都有不同程度地“反这个派系”和“顶这个派系”，“作用力和反作用力”嘛。在天朝个例里，我感觉没有极端反中国文化里这帮亚裔的，换你你会烦一个遥远的你不了解的文化？顶多烦CCP而已，真的有一些家伙很烦CCP。而，烦CCP，又何谈分裂？CCP宣传故意把自己和中国绑到一起。民众听习惯了。民众一听“烦CCP”的玩意儿甚至“踩CCP”的玩意儿，立马联想到“哇，这是反中国！”，然后觉得大事不妙啊，紧接着联想到“妈呀，反中国不就是反我么！不就是反我同学朋友亲戚老师上司上司同事邻居么！！！”……一联想到这儿，义愤填膺恨不得上街砸日系车去。而“分裂了那就怎么样怎么样了”这样的言论，就跟很多天朝爸妈说“考不上一表那就怎么样怎么样(地没救了)”一样，事实呢？年轻人追星吧，看那星咋看咋觉得完美，简直太帅了！神一样啊！那星需要的就是这样，需要这些追星的家伙顶人气！有人气会不缺钱花啊。但那星私下里朋友知道，这星，是个人，是个生物，会有心仪的雌性，会伤心，会得意，会大意，会学习，会恼怒，会饿，会有时拉稀……孔子呢？和这同理，不必拿孔老头出来说事儿。倒地没人扶？敢扶么？如果老人真倒地，那么想到那经常不低的医药费，他可能有讹的动机；如果老人假倒地，那更是讹了。这情况下谁敢扶啊？谁扶谁很可能连续闹心憋屈窝囊好几个月、同时倾家荡产、还连带折腾亲戚朋友哥们，谁敢上去扶？！天朝楼市为啥不能垮？楼市为啥天朝不想降下来？穷学生我最近觉得…天朝各种跨省、各种贿赂、各种挪用共有资产，各种赵家人，尤其地，那庞大的维稳，那庞大庞大庞大的维稳！！！那些五毛！！！钱哪儿来？政府财政。政府财政钱哪儿来？税收加卖地。卖地利润高啊！如果楼市价格崩溃，那么政府财政会不行，继而没钱给各种庞大的五毛军、给庞大的维稳系统支出，同时赵家人的油水也会减少……一方面红二代支持度降低，另一方面维稳难以进行。维不了稳的后果呢？都知道啊。多么希望有一天我能称呼这个国家为china，而不是heavenly dynasty。 天朝重大问题很多，发展潜力很大，有可能成为下一个超级国家的。当年天朝官媒骂资本主义市场经济追名逐利，说自己计划经济多么棒，最后，引入市场经济的竞争后，有目共睹。独裁专制不可持续的。独裁意味着缺乏竞争，缺乏竞争意味着平均下来缺乏创新。缺乏创新的国家不可能成为超级大国。希望天朝一把手大平哥会用专制结束专制。但，不可能外交部弄个说明天起其他党派随便来哈，那会很没面子。但这可以绕过去啊，有时我想，如果平哥想用专制结束专制，那么可以把CCP拆开啊，拆成C自由主义CP，C团结CP，C现代CP等。这样会不丢面子而且还更放开言论。管制言论就像啥都管的计划经济。还想创新，还啥都管，这可行么？8 小时習爷爷+2神逻辑8 小时Lance Ruan+4逻辑颠倒，黑白不分，哎，翻墙出来就这个水平？8 小时谢谢+3中國大部分人沒有素質？其實人性是共通的，全世界都一樣吧？不同的是好的制度讓壞人不敢幹壞事，或者說幹壞事會得到應有的制裁，而壞的制度直接就把好人往壞的方向領，惡人得不到應有的制裁。翻译7 小时bluce一蓑烟雨任平生+吴海朋 统一是全世界最终的总趋势7 小时水上由岐+3你们五毛还招人不招?每天加班到几点?有五险一金没?每月给多少啊有奖金每月啊?6 小时bin wang+2又见一个SB出来秀智商6 小时peidi sun请问PO主是高级黑吗？5 小时Jerry Xiong你国原来这么脆弱啊，互联网上说几句话就会分裂😄2 小时Thompson Tang说句实话，如果美国未来一段时间没有抑制白人比例下降的方法，很可能会分裂。58 分钟jiaomie fei趙家匪犬，五毛拿好翻墙技术博客订阅地址及社交帐号

来源：http://www.ithome.com.tw/news/104096研究者指出百度釋出的SDK恐使開發的相關App存在資料外洩的安全風險，以百度瀏覽器為例，Android版本及Windows版本會將用戶的裝置及個資以明碼或容易被破解的簡單加密進行傳輸。加拿大多倫多大學研究人員發現，百度提供外部使用的軟體開發套件(SDK)，以及利用該套件開發的瀏覽器蒐集用戶個資以明碼或容易被破解的加密法傳輸到百度伺服器，使用戶曝露在個資外洩的風險，影響App恐達上千個。隸屬於多倫多大學的公民實驗室23日發表研究成果，指中國網路搜尋龍頭百度公司針對Android與Windows平台推出的百度瀏覽器存在安全風險。Android版本會傳輸包括GPS座標、搜尋紀錄、網頁瀏覽紀錄等個資以明碼傳送至百度伺服器，並將使用者行動裝置的IMEI碼與所在位置附近的無線網路資訊，以極易破解的加密法加密後傳輸回百度。至於Windows版的百度瀏覽器，則在傳輸個資外，還會傳輸硬碟序號、MAC位址、CPU編號等更多資料，同樣以簡單的加密或完全不加密傳輸。此外，兩種版本的瀏覽器都未使用程式碼簽章來確保軟體升級時的安全性，讓攻擊者有機可乘，可能導致被動過手腳的軟體被用戶安裝後，讓駭客得以在裝置上執行任意程式碼。研究人員調查發現，導致百度瀏覽器曝露個資外洩風險的原因為該公司開放外界使用的百度SDK，該工具不僅百度本身使用，並有大量Android開發者使用來開發在Google Play與中國內部Android App市場上供人下載的App。百度回應表示，對於被質疑蒐集用戶個資的作法，已經在使用條款中明確告知用戶，對於傳輸資料方式的安全性問題，則會進行修改，最遲會在2月底前完成行動版瀏覽器、5月初前完成Windows版瀏覽器的更新，並將會採用較安全的非對稱式加密法。翻墙技术博客订阅地址及社交帐号