北京冬奧強制安裝 App 毫無安全防護機制,使用者將面臨個資外洩風險

作者 | 發布日期 2022 年 01 月 19 日 17:28 | 分類 app , 網路 , 資訊安全 Telegram share ! follow us in feedly


2022 年北京冬奧將於 2 月 4 日開幕,強制要求所有與會訪客必須下載安裝北京金融控股集團開發的「MY2022」App。據加拿大多倫多大學旗下「公民實驗室」(Citizen Lab)最新數位研究報告,MY2022 App 因極度缺乏安全防護機制,恐將引發大量使用者個資外洩的安全風險。 

今年北京冬奧規定,所有參加訪客皆需強制性下載 MY2022 App,由「北京 2022 年冬奧會和冬殘奧會組織委員會」設計,版權所有者為北京金融控股集團。App 提供許多服務,包括旅遊建議、COVID 相關健康監控及 GPS 導航等服務。

既無法驗證 SSL 憑證,更缺乏 SSL 加密保護機制

儘管 App 有著強化訪客體驗的重責大任,但公民實驗室數位研究人員卻發現,它會蒐集使用者大量敏感性健康與旅遊個資(如護照資訊、病歷等),卻極度缺乏該有的安全保護措施。研究人員檢視 iOS 系統 2.0.0 版,以及 Android 系統 2.0.0 版時,發現兩者資料加密與傳輸安全防護都不足。

首先,App 經常無法驗證 SSL 憑證,意味無法驗證傳輸資料到底送到哪裡,會讓使用者身陷中間人攻擊( Man-in-the-Middle Cyberattack)的風險,惡意攻擊者可偽造合法網站連線,攔劫 App 傳送的資料。其次,App 傳送某類型詮釋資料(Metadata)時,並沒有任何 SSL 加密保護等安全措施。

究竟是粗製濫造作品還是暗渡陳倉的竊密工具?

雖然公民實驗室研究人員早在一個多月前(2021 年 12 月 3 日)就將安全問題回報北京奧委會,卻從未收到任何回覆。蘋果 App Store 的 MY2022 已更新至 2.0.5 版,只更新穩定性改善與強化,並添增專門處理旅遊文件與健康資料的全新 Green Health Code 功能,至於資料傳輸依舊不見任何加密或其他保護機制。

發行安全性不足的 MY2022 不但違反《中國個人信息保護法》(去年底生效),也違反 Google《垃圾軟體政策》(Unwanted Software Policy)及蘋果《應用商店指南》(App Store guidelines)。究竟中國政府如何看待這四年一度全球運動盛會專屬 App 的安全性?

有鑑中國擁有全球最大監控天網,所以很多人將這種既粗糙又差勁的安全設計,視為中國政府為了蒐集訪客資訊等特定目的性陰謀的刻意之舉。但公民實驗室研究人員不以為然,他們認為很多漏洞連連的資料早被中國政府強大監控系統蒐集殆盡,所以沒理由需在新 App 另尋額外變通監控機制。且中國 App 生態系統的整體數位安全性向來不好,所以 MY2022 不過是開發人員的粗製濫造作品,而非暗渡陳倉的竊密工具。

(首圖來源:App Store