你的WiFi密码正被悄然上传,京东这款APP有安全隐患

长江网讯(据新华社)随着信息社会的高速发展,各类智能设备已经走入寻常百姓家。只需要一款APP,就能够操控家中的智能设备,不可谓不方便。

但是,如果有人告诉你,你正在使用的这款APP会将你家的WiFi密码上传到对方的服务器中,你所使用的联网智能设备存在被人操控的风险,你是否会担心?

“京东微联”擅自上传用户WiFi密码

8月10日下午,一篇题为《窃隐私,传明文,京东劣举挑战网安法》的文章在网上传播,该文直指京东旗下一款名为“京东微联”的智能家居应用软件在没有明确告知用户的前提下,擅自将用户输入的个人WiFi密码上传至京东服务器,为用户的网络安全埋下隐患。

在该文中,还附带有对“京东微联”APP连接WiFi时的专业数据测试视频和截图。经记者核实,该文出自名为“嘶吼网”的网络安全媒体的技术团队之手。

记者在“京东微联”APP上调阅了《京东智能云用户使用协议》,第六条载明:“在初次添加某款智能硬件设备的过程中,您需为此设备提供WiFi环境接入所需的SSID以及密码,用于智能硬件设备和WiFi环境的一键配置。”京东公司据此认为,他们就上传WiFi密码等信息向用户进行了说明。

不过上海一家公司的网络安全专家宋宏宇认为,普通用户在长篇累牍的使用协议中很难找到和读懂这一说明,“提供”与“上传”概念不同,作为一名普通用户无法确切知晓协议中“提供”的具体含义。

宋宏宇说,一般而言,用户在上传敏感信息前,系统应进行二次提示和确认,如未加以确认,相当于“悄悄”上传了用户WiFi密码。“京东微联”缺乏这一环节,因此WiFi密码被上传一事绝大多数用户很可能是毫不知情的。

尽管“京东微联”APP在《用户使用协议》中承诺:“不会对原始信息以及映射处理后的信息进行任何远端的存储或修改,也不会公开、转让、用于其他使用目的。”但网络安全人士认为,用户将WiFi密码等敏感信息上传给服务器,本身就给自身信息安全带来一定隐患。

虽然WiFi密码等敏感信息是在HTTPS环境下上传的,外界很难截获,但是这一过程并非没有风险。刘晓光说,一旦被黑客截获,他完全可以进入你的WiFi劫持连接入WiFi的智能设备,“比如这些设备中包含网络摄像头,那么黑客也有机会调阅摄像头所拍摄的画面。”

“京东微联”为何获取用户WiFi信息

为验证刘晓光及其技术团队的说法,记者又联系了国内某知名互联网安全企业,对上述过程进行二次验证。在通过多种技术手段验证后,该企业的工程师团队确认,“京东微联”确实存在向京东服务器上传用户WiFi密码的行为。

该团队工程师指出,“将用户WiFi密码上传至自己的服务器”这一步骤完全“多余”,因为即使是为了将家用智能设备和WiFi进行关联,也仅需要在家庭局域网内进行即可,没必要“多此一举”将用户的WiFi密码上传至云端。

“京东微联”如此操作令人费解。

有业内人士将“京东微联”的行为作了一个比喻:“我请了一个保姆来我家干活,结果这个保姆在未经我允许的情况下擅自去配了一把我家的钥匙,这样的行为对我自身的安全肯定产生了影响。”

记者向京东公司求证,对方认为,将用户WiFi信息上传至云端仅出于配网技术需要。京东技术人员回应称:“京东微联”真正做到跨品牌、跨品类智能设备连接,为用户提供了良好的使用体验;相比之下,其他系统很可能只能操作单一的智能硬件,因此无需上传WiFi密码,“拿两者做比较是不恰当的。”

SOURCE: http://news.cnhan.com/html/whzx/20170813/862865.htm

上一篇:海南中金鹰和平发展基金会今日在三亚揭牌成立