許多臺(tái)灣民眾對(duì)于使用大陸產(chǎn)品信心不足，陸續(xù)有傳出小米(包含紅米)手機(jī)以及各種來自中國的App，例如獵豹移動(dòng)、奇虎360、WeChat及一些影音App等，都傳出有資料回傳中國的疑慮。

　　多數(shù)資安專家都同意，中國業(yè)者的確有收集使用者行為的資料，但因?yàn)橐话闳硕紱]有能力判斷是否真有回傳資料，也無法判斷這樣的作法是否有惡意。

　　因此，iThome找來資安專家實(shí)機(jī)測試日前傳出資料回傳中國風(fēng)波的紅米手機(jī)。檢測過程中，確實(shí)發(fā)現(xiàn)紅米手機(jī)有資料回傳小米北京總公司服務(wù)器，不論是全新的紅米手機(jī)，或者是使用一陣子的紅米手機(jī)，都有類似現(xiàn)象。

　　芬安全實(shí)測全新紅米機(jī)，剛開機(jī)連網(wǎng)就回傳手機(jī)序號(hào)和手機(jī)號(hào)碼

　　iThome聯(lián)系資安公司芬安全(F-Secure)馬來西亞亞洲實(shí)驗(yàn)室，實(shí)測兩款全新紅米機(jī)與小米機(jī)，從7月31日～8月6日以將近一周的時(shí)間，每個(gè)環(huán)節(jié)都經(jīng)過資安實(shí)驗(yàn)室人員2～3次的反覆測試，得出以下的結(jié)果。

　　芬安全亞洲區(qū)資安顧問吳樹謙表示，中低價(jià)位的中國品牌智慧型手機(jī)小米手機(jī)，近期在馬來西亞也非常熱門，以每周只在網(wǎng)路上銷售1萬支的饑餓營銷手法，不僅帶動(dòng)高知名度，也成為馬來西亞熱門手機(jī)品牌。

　　芬安全實(shí)際采購2款小米機(jī)第3代以及紅米機(jī)1s(RedMi1S)進(jìn)行實(shí)測，主要是希望厘清，許多媒體報(bào)導(dǎo)小米公司手機(jī)收集過多資訊并回傳小米北京總公司的說法，是否為真。

　　首先，芬安全為了確保測試結(jié)果沒有受到其他環(huán)境的干擾，便在馬來西亞當(dāng)?shù)夭少徯∶讬C(jī)與紅米機(jī)各一臺(tái)，進(jìn)行開箱后的實(shí)測。他說，剛開始，為了確保手機(jī)「干凈」，并未安裝或連接小米云服務(wù)，只有開機(jī)并且插入電信公司的SIM卡后，之后就連接到芬安全實(shí)驗(yàn)室的無線AP。

　　吳樹謙指出，在手機(jī)插入SIM卡、連上Wi-Fi并啟動(dòng)時(shí)，芬安全實(shí)驗(yàn)室發(fā)現(xiàn)，實(shí)測的紅米手機(jī)1s會(huì)連上小米手機(jī)某一服務(wù)器(api.account.xiaomi.com)，并且回傳手機(jī)序號(hào)IMEI碼和插入SIM卡的手機(jī)號(hào)碼到該伺服器。

　　之后，芬安全亞洲實(shí)驗(yàn)室允許紅米手機(jī)使用GPS定位服務(wù)，并添加一個(gè)新的聯(lián)系人到電話簿，然后進(jìn)行發(fā)送和接收簡訊以及多媒體簡訊測試，也測試打電話與接聽電話。

　　吳樹謙表示，在測試時(shí)發(fā)現(xiàn)，在新增手機(jī)通訊錄聯(lián)絡(luò)人并發(fā)送簡訊后，測試的紅米手機(jī)會(huì)把接收簡訊者的手機(jī)號(hào)碼，同樣轉(zhuǎn)發(fā)到該伺服器中。

　　接下來，芬安全亞洲區(qū)實(shí)驗(yàn)室啟用并登錄小米云服務(wù)，然后重復(fù)同樣的測試步驟。此時(shí)，則發(fā)現(xiàn)，受測紅米手機(jī)的國際行動(dòng)用戶辨識(shí)碼(IMSI)資訊，及手機(jī)序號(hào)IMEI號(hào)碼和電話號(hào)碼，都傳送到api.account.xiaomi.com服務(wù)器。

　　測試紅米手機(jī)的過程中，吳樹謙指出，芬安全并不判斷怎么樣的資料回傳是對(duì)的，只就測試結(jié)果厘清一些人的疑慮。他說，全新紅米手機(jī)剛啟用并連上Wi-Fi時(shí)，紅米手機(jī)就已經(jīng)會(huì)自動(dòng)將手機(jī)的SIM卡電話號(hào)碼以及手機(jī)序號(hào)IMEI碼的資料回傳小米手機(jī)的北京服務(wù)器，而且過程中都以明碼傳送。

　　而測試收發(fā)簡訊時(shí)，芬安全也發(fā)現(xiàn)，小米手機(jī)會(huì)把接收簡訊者的電話號(hào)碼回傳小米手機(jī)北京服務(wù)器。

　　最后測試啟用小米云服務(wù)時(shí)，紅米手機(jī)會(huì)連回小米手機(jī)北京服務(wù)器，并回傳國際行動(dòng)用戶辨識(shí)碼(IMSI)、手機(jī)序號(hào)(IMEI號(hào)碼)和電話號(hào)碼，也都會(huì)傳送到api.account.xiaomi.com服務(wù)器。

　　戴夫寇爾資安研究員岑志豪表示，一般手機(jī)在未登錄授權(quán)啟用時(shí)，通常不會(huì)回傳手機(jī)序號(hào)或手機(jī)號(hào)碼;同樣的，也少見會(huì)回傳接收簡訊者的手機(jī)號(hào)碼。

　　芬安全亞洲實(shí)驗(yàn)室測試結(jié)果，紅米手機(jī)在開機(jī)連網(wǎng)后，發(fā)現(xiàn)會(huì)連上api.account.xiaomi.com服務(wù)器，回傳手機(jī)序號(hào)(IMEI)碼(上圖)及手機(jī)號(hào)碼(下圖)給該小米伺服器。臺(tái)灣小米官方則回覆，開機(jī)后是為了驗(yàn)證手機(jī)是否為真品，且確認(rèn)雙方皆為小米機(jī)，才能使用網(wǎng)路簡訊功能。

　　戴夫寇爾側(cè)錄紅米機(jī)，回傳應(yīng)用程式清單

　　資安公司戴夫寇爾執(zhí)行長翁浩正測試一支已經(jīng)正常使用多時(shí)的紅米機(jī)，其中只安裝少數(shù)基本App，進(jìn)行封包側(cè)錄。他表示，一開機(jī)，紅米機(jī)就會(huì)把所有作業(yè)系統(tǒng)安裝的程式名稱傳送到小米主機(jī)(http://policy.app.xiaomi.com/cms/interface/v1/checkpackages.php)，不過，Google上找不到這個(gè)URL及Domain相關(guān)資料，并不知道用途。他認(rèn)為，一般手機(jī)很少會(huì)將使用者的應(yīng)用程式清單全數(shù)回傳給手機(jī)業(yè)者，這是他測試紅米手機(jī)最感到不解之處。

　　接著測試，翁浩正打開安全中心，發(fā)現(xiàn)資料回傳到pmir.3g.qq.com伺服器，但因?yàn)橘Y料內(nèi)容加密，無法得知傳送內(nèi)容為何。開機(jī)不久，他也從手機(jī)中看到，系統(tǒng)連線至小米位于北京的伺服器 223.202.68.9 (out68-9.mxzwb3.hichina.com)，也不知道傳送什么資料。在系統(tǒng)輸入文字時(shí)，會(huì)傳送至「友盟 umeng」收集使用者資料以及統(tǒng)計(jì)數(shù)據(jù)(https://www.umeng.com/app_logs)，但不知道傳送內(nèi)容為何。

　　翁浩正測試紅米機(jī)時(shí)，發(fā)現(xiàn)很多連回小米服務(wù)器的封包記錄，但他說，連線內(nèi)容加密，加上很難確定哪個(gè)程式有無惡意或在傳送什么資料，因此要檢測一個(gè)手機(jī)是否有惡意程式，需要數(shù)個(gè)月時(shí)間來分析App、系統(tǒng)、底層。就他簡單測試，只能知道紅米手機(jī)有「收集」的事實(shí)。

　　戴夫寇爾執(zhí)行長翁浩正測試紅米手機(jī)時(shí)表示，平常很少見到會(huì)回傳應(yīng)用程式清單，這是他測試時(shí)最大的不解。不過，小米官方則回復(fù)，主要是使用者啟用云備份，未來供換新手機(jī)時(shí)，直接下載使用。

　　小米官方回復(fù)，一切都是正常連線且不涉及個(gè)人隱私

　　小米官方回復(fù)指出，手機(jī)一開機(jī)后的連線行為，是為了回傳IMEI確認(rèn)是否為正貨，并確認(rèn)該號(hào)碼是否申請(qǐng)過小米帳號(hào);而傳送簡訊時(shí)，要驗(yàn)證手機(jī)號(hào)碼，是為了確認(rèn)雙方都是小米手機(jī)，才能使用網(wǎng)路簡訊;登錄小米云服務(wù)所回傳的資料，則是依照使用者設(shè)定，才能同步使用者手機(jī)資料。而回傳應(yīng)用程式清單，臺(tái)灣小米官方答復(fù)，主要是使用者開啟小米云備份功能，會(huì)同步使用者下載App，當(dāng)使用者換新手機(jī)時(shí)，可以直接由云備份直接下載即可。

　　小米官方表示，未經(jīng)用戶允許，不會(huì)主動(dòng)上傳涉及使用者隱私的個(gè)人資訊和資料，而其他包含個(gè)人隱私的個(gè)人資料、照片、簡訊等，預(yù)設(shè)都是關(guān)閉相關(guān)網(wǎng)路服務(wù)，需要使用者主動(dòng)開啟，也可以隨時(shí)關(guān)閉。若是網(wǎng)路服務(wù)需要連回總公司伺服器驗(yàn)證，所傳輸?shù)馁Y料都不涉及使用者隱私。

　　工業(yè)局和NCC將成App資安驗(yàn)證雙主管機(jī)關(guān)

　　臺(tái)灣資通安全辦公室主任蕭秀琴指出，在今年6月「資通安全會(huì)報(bào)第26次委員會(huì)議紀(jì)錄」的討論案中便決議，未來手機(jī)內(nèi)建的App一律由NCC負(fù)責(zé)管理，若是一般在各種軟體市集下載的手機(jī)App，則由工業(yè)局負(fù)責(zé)。她說，當(dāng)職權(quán)分工確立后，相關(guān)部會(huì)就可以針對(duì)職掌，各自制定相關(guān)的檢測辦法，并鼓勵(lì)手機(jī)廠商自主檢測。

　　NCC(通訊傳播委員會(huì))科長謝志昌表示，因?yàn)槟壳笆謾C(jī)App檢測并沒有法源的強(qiáng)制力，也沒有一個(gè)共通的國際標(biāo)準(zhǔn)，等到NCC推出手機(jī)內(nèi)建App自選性檢測項(xiàng)目出爐后，屆時(shí)NCC便會(huì)鼓勵(lì)手機(jī)廠商參與自愿性檢測，也允許通過檢測的廠商，可以據(jù)此宣稱該手機(jī)符合政府相關(guān)資安檢測，希望能形成一種廠商之間的正面循環(huán)，也對(duì)消費(fèi)者有益。

　　工業(yè)局通訊科承辦人員簡大超則表示，目前相關(guān)的手機(jī)下載App資安檢測的內(nèi)容與方式，還在內(nèi)部進(jìn)行討論中，等到內(nèi)部討論有初步共識(shí)后，才會(huì)進(jìn)行后續(xù)的委外研議。究竟什么時(shí)候有成果，目前還沒有定論。