Siri 漏洞:Apple 個人助理會洩漏個人資料

 

iOS上的Siri讓日常工作變得更加容易;無論是詢問到最近加油站的路線或是保持與不斷成長社交媒體網路的聯繫。iOS使用者只要講出聯絡人姓名,手機就會將電話號碼和電子郵件地址帶出來。然而,便利是有代價的:個人資料。

iphone MOBILE 手機

如果我告訴你,只要30秒,就可以讓任何人從朋友開啟Siri功能的iOS設備上拿到你的姓名、電子郵件地址、電話號碼甚至是你的照片,不管手機有沒有上鎖呢?會擔心嗎?

iOS行動設備上的Siri可能被濫用的情境是會讓任何人使用語音辨識來取得設備上的資料,即便有設定密碼。在理想狀態下,密碼鎖定應該會防止任何對行動設備上所儲存資料的未經授權存取,就跟電腦上的密碼一樣。鎖定的設備不該洩漏所有者的身份和聯絡方式,以及所有者的朋友、家人和聯絡人。Siri可以繞過這些而在鎖定的行動設備上提供詳細資料及其他功能。

自從Siri出現之後,就已經有多個相關討論串出現在Apple支援論壇上。然而,我們想要強調安全性和隱私方面的風險,並讓我們的讀者能夠注意到。

 

Siri可以做什麼?

一旦任何人可以實際上拿到你的行動設備,就可以用語音辨識呼叫多種命令,包括可以存取名字、電話號碼、行事曆及其他更多功能。這裡是鎖定而有啟用Siri的iOS行動設備上可以使用的命令列表:

 

  • 「我的名字」 – 顯示並唸出手機上Siri所設定「我的資料」內的名字。
  • 「傳簡訊給某某某/號碼<訊息內容>」 – 用指定內容傳簡訊給指定的聯絡人或電話號碼
  • 「打電話給某某某/號碼」 – 打電話給指定的聯絡人或電話號碼
  • 「更新臉書狀態<訊息內容>」 – 更新手機上所設定Facebook帳號的動態訊息
  • 「我的位置在哪裡」 – 顯示地圖和唸出目前位置
  • 「<某姓>」 – 顯示所有該姓聯絡人的聯絡方式
  • 「顯示我的電子郵件地址」 – 顯示和唸出手機上Siri所設定「我的資料」內的電子郵件地址
  • 「在明天早上3點叫醒我」 – 設定指定時間的鬧鐘
  • 「取消早上3點的鬧鐘」 – 關閉指定時間的鬧鐘
  • 「建立<日期/時間>的事件/提醒/約會/預約」 – 建立行事曆
  • 「顯示<日期/時間>的行事曆」 – 顯示指定日期或時間內的行事曆
  • 「刪除<日期/時間>的事件/提醒/約會/預約」 – 刪除指定日期和時間的行事曆

 

下圖示範使用者如何利用Siri命令來取得資料和執行其他操作:

 

 

圖1-4、各種Siri命令

繼續閱讀

《小廣和小明的資安大小事 》阿嬤好想要的神奇回春乳液

資安漫畫 回春特效乳液 15日本資安漫畫 banner

智慧型手機就一定安全!?

你是否如同漫畫中的阿嬤,認為智慧型手機很安全呢?

性質與電腦相近的智慧型手機,與電腦同樣可能碰到網路上的危險。其中必須注意的包括網路釣魚(Phishing)攻擊及誘騙付費攻擊、偽造的安全警告等,利用非法網站詐騙使用者的行為。目前已確認有針對使用智慧型手機瀏覽而刻意製作的非法網站。

網路釣魚攻擊

此手法乃利用假冒實際存在的企業所發出的電子郵件或社群網站的訊息,引誘使用者進入與真正的網站極為相似的非法網站,然後騙取使用者在網站上輸入的ID/密碼等個人資料。

【延伸閱讀】搜尋” LINE”,跳出假冒 LINE 網路釣魚詐騙網站,意圖盜帳號密碼!

誘騙付費攻擊

此手法會在使用者按下成人網站的圖片或電子郵件的網站連結之後,顯示「已完成入會註冊。請支付費用」等要求付款的畫面,藉此要求使用者付費。

繼續閱讀

給企業和員工的資安建議

 

biz

 

本文為企業和上班族解析各項安全措施和最佳實作。包括如何跨平台的保護資料和設備以及員工可以如何避免公司網路受駭的一些準則。

企業最佳實作

有句俗話說「預防勝過治療」。雖然這句話有很多種用法,當你談到企業安全時,預防的成本會比不得不面對治療時要便宜得多。尤其是當你想到資料外洩事件或其他威脅會對組織造成多大的傷害時。

注意壞連結 – 不停的待在網路上讓使用者暴露在各種網路陷阱和詐騙中,這不僅危害使用者本身,還可能包括受害者網路內的其他人。閱讀本指南來了解如何察覺惡意廣告、垃圾郵件和電子郵件詐騙、網路銀行詐騙和其他騙局。

加密你的工作郵件 – 不管今日有多少可以用來通訊的平台,電子郵件仍是商務訊息最常見也最被廣泛使用的平台。一封電子郵件所包含的重要資料和個人資訊就可能決定一家公司的成敗,所以一定要記得小心謹慎。你還可以為網頁郵件帳號設定電子郵件加密。

繼續閱讀

加密和隱身:更多關於安全網路瀏覽的提示

前面的文章討論了加密的基礎 – 它是什麼以及它如何運作,如何為網頁郵件服務Outlook設定加密,甚至勒索軟體怎麼用加密功能來對付你。本文會講解如何保護網路瀏覽及通訊來延續對隱私的討論。

上網 通用 bookmark

加密瀏覽

那麼,我們該如何加密網頁瀏覽?你現在可能已經知道了HTTPS,它是種加密模式被用在需要登錄的網站(如購物網站和網路銀行)。不幸的是,這並非每個網站的標準模式。

這是電子前線基金會(EFF)和TOR專案團隊的合作專案 – HTTPS Everywhere存在的原因。這是今日最被廣泛使用的三種網路瀏覽器(Chrome、Firefox和Opera)的擴充套件,你所需要做的就是從他們的官方網站下載並安裝到你所選的瀏覽器上。

如果你想要可以提供更多隱私的瀏覽器,可以試試TOR專案團隊所開發的TOR瀏覽器,他們是和EEF共同合作HTTPS Everywhere的團隊。這是個瀏覽器可以「讓你的通訊在全世界志願者運行中繼的分佈式網路中跳躍。」這基本上就是說沒有人可以追蹤你在哪裡或你在網路上做什麼。它還可以讓你連上被你的網路所封鎖的網站。

隱身模式

一般瀏覽器預設會自動追蹤使用者的線上活動。除非你關閉或定期清除瀏覽器暫存檔和歷史記錄,這功能會為了方便和效率來記錄你的活動(如記住你瀏覽過的網頁)。如果你使用公用電腦,你會希望不要紀錄或追蹤你的網路活動,有一種方法可以做到而無需安裝外掛程式或使用其他的瀏覽器。 繼續閱讀