小心你手机后面有许多偷窥的眼 不加密可能会泄露

　　用户上传数据到云平台后，管理者看到的情况。加密的点不开，不加密的数据和调取自己数据一样方便 华商报记者 马虎振 摄

　　云技术和即时通讯时代覆盖了现在的生活，当我们上传了照片、通讯录等内容时，你知道这些信息会泄露吗?本期华商报好奇心做实验带你了解哪些途径会泄露我们的秘密……

　　云计算

　　分布式计算技术的一种，其最基本的概念，是透过网络将庞大的计算处理程序自动分拆成无数个较小的子程序，再交由多部服务器所组成的庞大系统经搜寻、计算分析之后将处理结果回传给用户。

　　实验时间

　　2014年6月19日至21日

　　实验地点

　　西安电子科技大学

　　西安城南一居民家中

　　实验顾问

　　陕西省计算机学会理事，陕西省计算机学会网络与信息安全专委会秘书长，中国电子学会高级会员，西安电子科技大学计算机学院计算机系统结构学科硕士生导师、副教授沈玉龙

　　实验人员

　　西安电子科技大学计算机专业硕士研究生齐士垚、张华庆及华商报记者

　　实验设备

　　云存储服务器、手机、电脑等

　　实验1

　　不加密上传数据“云端”看得一清二楚

　　由于便携性和功能的扩展，手机逐渐取代了电脑的部分功能。随之而来的问题是大量照片、视频 、音乐、文档、软件等需要空间来存储。利用云存储，各种类型的数据从此不仅可随时上传下载，还不用担心因设备损失而丢失重要数据，此外不同的云平台还提供了更多的个性化共享服务。但这些云平台安全可靠吗？大量涉及个人隐私及敏感信息的重要数据被传至云端存放，有没有可能被偷窥，甚至泄露出去？

　　在西安电子科技大学计算机专业实验室，硕士研究生齐士垚、张华庆为此进行了模拟实验。

　　他们在一台安卓系统的手机上装上了本地云存储服务器的客户端，注册后，将通讯录、短信、照片等几种数据，上传至云端。另一人坐在安装有云服务器管理端的电脑前查看。

　　在电脑上，打开云端，输入刚在手机上建立的新账号，就能看到所有上传数据。难道我们上传到云端的数据，就可以这样被一览无余吗？

　　两位研究生表示，只要数据上传时没有加密，结果就会这样。但云存储服务商一般表示会对用户上传数据进行加密。可问题是，如果用户上传时没加密，上传到云端再加密，密钥则掌握在云管理者手中，对于云管理人员来说，他们随时可解密查看。那么有没有更好的办法？两位研究生表示有，那就是对重要和敏感信息在上传前或上传时直接加密。这需要借助加密软件，或直接用压缩软件将重要数据打包加密后再上传。

　　齐士垚介绍，目前导师正带领他们在研究一项云加密技术。用户只需记住登录口令，在上传数据前选择加密等级即可，不需复杂操作。

　　两人在手机客户端用这种软件对刚才上传的三种数据进行加密后，再上传至云存储平台。这次在云端管理平台再打开上传数据，无法查看用户上传的真实数据。

　　实验1总结

　　两位研究生提醒，重要及敏感数据，最好先加密后再上传至云端，这样既可避免云管理者偷看导致泄密，也可增加黑客破解用户云账号登录口令后窃取重要信息的难度。需要注意的是，加密软件一定要注意从正规渠道下载使用，谨防中木马病毒。

　　实验2

　　输入一个QQ号就可能暴露许多个人隐私

　　两位研究生介绍，在网络化办公和大数据时代，不论你上不上网，有关你的各方面信息都被分散存储在互联网中。如果你是一位名人，或是一个爱“秀”的年轻人，那么你的很多信息，只要简单搜索就能获得。

　　为证明这一点，两人首先选择了一位女演员进行搜索。他们不记得这位女演员的名字，但根据其所扮演角色立即搜到了姓名。输入姓名再搜索，这位女演员的出生年月、身高、体重、血型、感情生活、老公姓名及情况、女儿名字及出生时体重等信息一览无余。

　　随后通过微博搜索，又找到这位演员的微博及其经纪人的手机号码。微博上有这位演员未来几天的行程；而只要拨通经纪人的电话，或许就能联系到演员本人。

　　对于普通人的信息搜索，两位研究生将自己的QQ号输入搜索框，结果个人简历、所写文章、在论坛里的发言等等都展示在眼前。在个人简历中，详细的个人信息一览无余。

　　接下来的搜索让人感到新鲜，即便只有照片，也有可能查询到照片主人的姓名及相关详细信息。

　　实验者从网页上截取了一位新闻人物的面部照片，上传到一个网站的“识图”网页，点击搜索后立即出现了此人的姓名信息及相关新闻网页。

　　两位研究生介绍，其实QQ空间中的“圈图”也有类似的功能。这种功能在给使用者提供认识“陌生人”方便的同时，自然也有风险。常用QQ和微信的人都知道，一旦知道对方QQ号或微信号且“加好友”被接受后，如果对方是个喜欢在QQ空间和朋友圈展示自己的人，就等于向你敞开了自己的生活、工作、爱好、感情、家庭、动态、即时照片甚至具体位置等重要隐私信息，接下来想知道电话号码也不是一件难事。而对于这些重要信息，一些人对陌生人也从不设防。

　　实验2总结

　　两位研究生提醒，网络搜索和即时通讯工具在提供方便的同时，极有可能带来个人隐私泄露的风险。建议上网络论坛、使用QQ和微信等即时通讯工具时，一定要注意防止关键隐私信息泄露，比如真实姓名、QQ号、微信号、手机号、身份证号、具体位置信息、敏感关系照片等。即便是在个人网络空间上发布信息和照片，也要防止隐私泄露的问题。尤其要注意的是“网络上没有删除键”，一旦将信息输入网络，想要完全删除几乎没有可能。

　　■分析

　　安装来源不明的软件可能给手机引入“内奸”

　　沈玉龙介绍，手机通话、即时通讯，在信息传递过程中是加了密的，否则很容易被窃取。这种动态的加密过程，相对于静态数据的加密更为复杂。但总的来说，想要通过破解加密协议的方式来窃取通讯内容比较困难。

　　目前，隐私及敏感信息的泄露，主要问题还是出在使用终端上，一是使用终端操作系统有漏洞，二是装了藏有木马程序的应用程序。这些问题可以被归为计算环境的安全性。

　　沈玉龙说，很多人安装手机软件时，不太对软件要求的权限进行分析，只要自己需要这个软件的某些功能，就会搜索、下载。岂不知，一些软件过分的权限要求，很可能为个人隐私及敏感信息的泄露埋下隐患。如果所安装的软件隐藏有木马病毒，那就相当于后门洞开，包括语音通话内容、短信内容、即时通讯内容、手机银行账号等一切信息，都可能被手机中藏着的“内奸”全部告知程序提前设定的接收方。所以，一定要安装使用正规来源的手机软件，来源不明的不要安装使用。

　　■调查

　　有多少软件在向你索要隐私权限

　　手机要实现多样化的功能，必须借助于各种软件。但安装软件时，就会被索要隐私权限。哪些权限是需要的？哪些是不需要的？一般用户很少考虑。

　　记者查询发现，自己的iPhone手机安装了25个应用程序。其中要求“定位服务”权限的有11个；要求“通讯录”权限的有7个；要求“照片”权限的有11个；要求“麦克风”权限的有5项；要求“相机”权限的有5项。由此可见，手机软件对隐私权限的依赖和需求有多高。

　　安卓手机的系统是开放式的，各种软件对隐私及敏感权限的要求更高。记者查询一位同事的安卓手机发现，该手机总共安装应用软件60款。其中对隐私及敏感权限的要求如下：发送短信9款；获取短信内容15款；获取联系人20款；获取通话记录20款；定位手机29款；获取手机识别码46款。

　　■提醒

　　1.敏感信息，备份到本地的物理设备更安全

　　硕士研究生张华庆建议，对于特别敏感的信息，比如通讯录、短信、即时通讯内容等，应尽量选择备份到本地不同的物理设备上。如果需要选择云端备份，除选择可信度较高的大型企业外，建议将数据加密后再备份至云端。另外要注意，不要借别人的设备登录自己重要账号，否则有可能造成泄密，共用账号的情况也要尽量避免。

　　2.秀“幸福”别暴露家庭成员信息

　　对于迷恋在网络上秀“幸福”的用户，张华庆建议如在注册相关社交平台或论坛时，尽量避免填写重要真实信息，如姓名、手机号、身份证号等。在微博、QQ等社交平台发布即时信息时，注意不要暴露家庭成员信息和所处位置信息等。

　　3.隐私保护，不仅是技术问题

　　沈玉龙表示，隐私保护和信息安全，其实不仅仅是技术层面的事。

　　个人隐私时常是用户无意中透露或授权导致泄露的。比如：用户在安装完某款应用后，不对该应用的授权进行相关管控，容易导致隐私泄露。只要加强隐私保护意识，自然就会避免出现类似问题。同样在信息安全层面，技术问题固然重要，如果相关人员的信息安全意识不到位，也是没法做好的。因为有一个方面出问题，就等于相关的整块信息安全工作都白做。 华商报记者马虎振

编辑：席姗