[情報] 一加手機驚傳監控使用者資訊

[Bearr3z (Bearr3z.:)]

原文：http://www.androidpolice.com/2017/10/10/never-settle-oneplus-found-colle
cting-massive-amounts-personally-identifiable-analytics-data/
---

一加系統中的OOS被發現有偷偷監控使用者資料的行為

收集的資訊包含
 Device's phone number
 IMEI code
IMSI code
無線網路 ESSID and BSSID
Phone serial number
MAC 地址
電信商網路名稱
電池狀態
使用者何時執行及關閉App
使用者開啟過哪些App
裝置鎖定及解鎖時間
裝置螢幕開啟及關閉時間

不過台灣的一加使用者屈指可數
受到影響的人應該不多
目前已經有magisk模組可以停用這項服務
沒有刷機的用戶也可以透過adb停止
而freedom os貌似早就把這項服務移除

樓下開放H黑崩潰

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 180.217.134.64
※ 文章網址: https://www.ptt.cc/bbs/MobileComm/M.1507680798.A.E90.html
→ powerdavid  : oppo:
推 sDwlr       : ◢▆▅▄▃ 崩╰(〒皿〒)╯潰 ▃▄▅▆◣
推 paul40807   : http://i.imgur.com/RgrwcXI.jpg 一般使用就會記了
→ paul40807   : 主要是看會不會回傳吧
--------------------------------------------------------------------

推 DiChik      : 早安你好
→ DiChik      : 其實真的差在有沒有回傳而已
→ DiChik      : 不然監控行為美國跟中國都嘛會玩
→ DiChik      : 看看Google...   (咦)
--------------------------------------------------------------------
H黑來啦
→ DiChik      : (我的手機裡面倒已經沒那東西了，Debloat掉了)
※ 編輯: Bearr3z (180.217.134.64), 10/11/2017 08:21:02
推 egghan      : 一直用 freedom os
推 jasn4560    : 快護航
噓 fedona      : 中國牌不意外
→ p4585424    : 這可以桶了嗎？
推 paul40807   : 我有點好奇為什麼這篇會扯到H黑 有八卦？
→ p4585424    : 他只是把一個版友叫成H黑這樣
→ DiChik      : 桶不桶誰又不是重點
→ DiChik      : 這ID只是想釣我出來，我也是笑一笑而已
→ DiChik      : 反正我又沒差 XDDDD
→ DiChik      : 面對一個毫無影響力的ID真的沒必要認真
→ p4585424    : 這算3-1還3-2了吧
推 kiminocodo  : 感覺很正常啊
推 Tahuiyuan   : 有夠黑心的公司 我看Cyanogen也差不多 才跟LOS分家
推 xiaoyao     : → DiChik: 面對一個毫無影響力的ID真的沒必要認真
→ xiaoyao     : 。XDD
推 paul40807   : 我覺得1+也很可憐 因為中國品牌就容易被放大檢視 又
→ paul40807   : 不是小米真的有傳北京 我還以為是有回傳咧
→ paul40807   : 而且這東西Google都知道 也有在監控吧XDDD
→ mainline    : 三樓別來亂 回傳與指名回傳是兩回事
推 DiChik      : 人家找新聞也很辛苦，要給人家拍拍手，知道嗎？
→ DiChik      : 一加也沒什麼可憐的
→ DiChik      : 中國公司就必須聽從中國政府指示做事情
→ mainline    : cyanogen不是黑心 是有個腦殘CEO LOS當時分家單純是
→ mainline    : 要避開商標IP衝突
→ andy60128   : 不錯啊，這個用1+至少觀念正確，說1+可憐的請多讀
→ andy60128   : 書，謝謝
→ paul40807   : 這篇沒講到回傳 有幾分證據說幾分話囉
推 xiaoyao     : https://i.imgur.com/4OwGpqT.jpg
→ xiaoyao     : 哦哦，嘻嘻
→ paul40807   : 原文只有說監控 那不是每隻卓卓都會？
→ DiChik      : 一加既然要上XDA就必須多受檢視
→ DiChik      : 不然怎麼對得起開發者愛用機之一的名稱呢 (逃)
→ DiChik      : 原PO他原本是一加群的人啦 算..是被我氣走的吧
→ sam613      : 沒射沒射~
→ mainline    : 也請別又扯谷歌 他家軟服務型的自然會有這當中多少
→ mainline    : 資料 你OEM要這些無謂是想跑Analytics 大家都有在做
→ mainline    :  但有需要完整到回傳能認人的程度嗎 無線essid bssi
→ mainline    : d是想幹嘛 baseband層面是高通的任務 妳也涉及
推 paul40807   : 我是不確定收集ESSID跟輔助定位有沒有關係啦 重點是
→ paul40807   : 有沒有回傳R 有回傳再來譴責啦 難道其他的ROM就沒有
→ paul40807   : 收集這些資料？
噓 Anyotw      : 台灣又沒上市.....一堆人喊燒
→ Anyotw      : 跑去人家地盤罵人家管小孩，超級莫名其妙
推 abc0922001  : 是想搞AI助理之類的吧
推 x740552     : 說的好像有道理，他本來就不賣台灣，你自己去買回
→ x740552     : 來還靠北XD
→ w2776803    : 不意外
→ Anyotw      : 這時候又超正義了，為中國人發聲！！（好像哪裡怪怪
→ Anyotw      : 的
推 Saaski      : 中國牌不ey
→ francishsu  : .....
→ mainline    : 暈啊 怎麼還在質疑有沒回傳的階段 文中就跟你說了傳
→ mainline    : 亞馬遜AWS 非中國啦 OP官方也做出簡短回應 我很可定
→ mainline    : 個ROM包括三方都有回傳啊 可一般不會/更不需要做到p
→ mainline    : ersonable identifiable等級 這是OP目前做的 忘了不
→ mainline    : 久前Blu手機的用三方providers收集Analytics的事件
→ mainline    : 嗎 這就接近那程度
推 RDSON       : 所以我說驚訝的點是什麼？
→ paul40807   : 反正一般使用條款都會寫要收集 管他要發展AI還是搞
→ paul40807   : 監控滲透 不放心被共匪廠商收集就不爽不要用而已 又
→ paul40807   : 不是拿刀架著你叫你買1+ 而且以匪區廠商的標籤來說
→ paul40807   : 就算他是說要拿來做ROM優化也不會有人相信啦呵呵
→ tonyii      : 反正當你買了手機 註冊帳戶 登入後 所有的行為
→ tonyii      : 現在幾乎都是各家的資料蒐集器 登google給美國
推 peter120    : 最近在Google活動裡找到這個0.0
→ peter120    : https://i.imgur.com/UskHPyx.jpg
→ tonyii      : 登哪家給哪家 真的會怕就最好去買個非智慧型手機
→ sam613      : 原文: https://bit.ly/2y9onBW
推 hangtenboy  : 0.0 https://imgur.com/OUlYGlg
→ peter120    : 感覺Google好可怕QQ
推 hyghmax1202 : 意圖使人推中國不意外
→ andy60128   : 最終大決：大家都一樣啦，講的好像美國對台灣有企
→ andy60128   : 圖還是在FB上面罵川普會被請喝茶一樣
推 paul40807   : 呃 我不覺得蒐集的這些PII有多嚴重啦 看起來真的就
→ paul40807   : 像是單純做自己的Service會用到的東西 包括SSID也可
→ paul40807   : 能是拿來做輔助定位用途 不過原文也沒有講清楚就是
→ paul40807   : 了 只有and more 所以大概要找時間看他的code才知道
→ paul40807   : 他到底收集什麼了 嘻嘻
推 kira925     : 最起頭的網頁有code阿XD
→ kira925     : 大概就你想的到的一般性使用資訊都蒐集了
→ hangtenboy  : 有些時段我是在睡覺耶= =竟然還有在用APP
→ hangtenboy  : Σ(ﾟ Дﾟ )
推 wake01      : 每次強國品牌被爆 馬上就有人會跳出來其他人都有啦
推 paul40807   : 那些code不就是超超超日常的東西 呵呵 有啦上面還有
→ paul40807   : 人PO討論串的 裡面有更多的code 都等有空看 嘻嘻
推 kira925     : 所以說蒐集Activity作什麼呢? 不是APP歐 是Activity
→ paul40807   : 阿我講的是事實啊 你不放心給中國就不要用中國貨 不
→ paul40807   : 放心給美國貨就不要用美國貨 就這麼簡單 買了1+又在
→ paul40807   : 那邊挑毛病 北約國家都這麼傲嬌嗎
→ kira925     : 當然啦 有人說這是原blog主勾了參加體驗改進計畫
→ kira925     : 所以1+1就會把這些東西都記錄下來
→ kira925     : 大絕就免了吧
→ paul40807   : 哪個ROM不會收集活動的 看看Apple都知道iPhoner每天
→ paul40807   : 都會開啟幾次螢幕 這不就是收集活動資訊？
推 hangtenboy  : 我中國美國牌子都用過了，我沒秘密了(゜-゜)
→ tonyii      : 就常識吼 已經給了明燈了 會怕就去買非智慧型最安心
→ kira925     : Activity指的是你開到APP的什麼頁面
→ kira925     : 不要看英文自己亂翻譯
→ andy60128   : 直接放棄治療說啊大家都一樣啦叫明燈，哈哈哈哈哈
→ andy60128   : 哈哈
→ kira925     : 今天blog主質疑的是 這些東西為什麼要加上可供辨識
→ kira925     : 是哪一支手機作的(所以掛上了Device ID)
→ kira925     : 作Data Mining的忌諱之一就是讓資料可以找出提供者
→ kira925     : 所以 有沒有回傳? 有 傳的東西會不會太過頭? 自行
→ kira925     : 判斷  傳的能不能篩使用者? 可以  <-  重點
推 paul40807   : 如果要做人工助理或者增強使用者體驗的服務 不好好
→ paul40807   : 分辨是哪個device做的事情那蒐集的東西參考價值不就
→ paul40807   : 大打折扣？
推 hangtenboy  : 只能希望收集資訊是為了讓世界更好了
推 hnj92       : 有開定位記錄的話，Google甚至知道你在哪天用了什
→ hnj92       : 麼交通工具去了哪裡幾個小時呢
→ kira925     : Device ID在這邊不是型號 是該隻手機的出廠編號
→ kira925     : 不要再辯了 看原文吧
推 frank355571 : 有差嗎？Google 跟 蘋果不是天天都在做
→ frank355571 : 當一個被蒐集也無所謂的平凡人˙˙˙
→ paul40807   : 請問他要如何「避免」能夠有效收集個別使用者的使用
→ paul40807   : 習慣但又不會讓人分辨出來是哪位使用者 沒辦法嘛 每
→ paul40807   : 個人使用習慣就都不一樣 逆推回去就可以了 要收集這
→ paul40807   : 些東西就無法避免了
推 kira925     : 不要傳Serial Number/IMEI不就不知道了?
→ fbiciamib123: 不搞台獨怕啥
→ paul40807   : 我的device是指個別裝置沒錯啊 你會錯意了
→ hangtenboy  : 我有個朋友，他很糾結為何手機一直問他要不要允許
→ hangtenboy  : 什麼儲存拍照etc.可是不按允許，手機幾乎不能用啊=
→ hangtenboy  :  =
→ kira925     : 今天OPPO又不提供SIRI/Google Assitant 要這些作啥
推 Cybermark   : 軟服務是什麼鬼東西?馬殺雞嗎?
→ tonyii      : https://goo.gl/UrMHKk chrome密碼儲存策略
推 seemoon2000 : 中國牌的這種事不是很意外阿
→ tonyii      : 這個就是很多人自以為安全的真實面貌
推 MBAR        : 喔喔臉腫腫耶原po，cc
推 paul40807   : 分辨他到底是他廠自己刷氧OS還是1+出廠的手機
→ paul40807   : 序號+IMEI一比對data就知道是不是1+出廠的囉
→ lonelysin   : 中國政府有規定，廠商只能配合。一直上批踢踢的小
→ lonelysin   : 心點...美國老爸跟中國師傅肚量差很多。
推 paul40807   : 喔對了 Google的那個My activity 超好用 有時候自己
→ paul40807   : 看過的文章想再找但不知道是哪個App哪個網站 去裡面
→ paul40807   : 翻一翻大概就可以回憶起來了 超讚
※ 編輯: Bearr3z (180.217.134.64), 10/11/2017 09:34:39
推 TIPPK       : 如果是中國境內手機，我覺得後門是有的
→ TIPPK       : 我要去買聯想p8平板，他也很明確的跟我說…要代刷
→ TIPPK       : 國際版，他們會有法律上的問題
→ paul40807   : 就算沒後門 裝QQ 支付寶 百度全家桶也差不多裸奔了
推 TIPPK       : 我手機自從裝了10個中國app之後…明顯感覺lag
推 p4585424    : 不是吧，你要在chrome上看儲存的密碼你還是要輸入
→ p4585424    : 電腦的鎖定密碼啊
→ p4585424    : 啊你自己把電腦密碼給人再怪chrome嗎
推 hangtenboy  : 不是電腦密碼啦，是google的密碼，chrome登入進去
→ hangtenboy  : 才看得到吧
推 paul40807   : 樓上 很多人電腦沒鎖密碼 那是Win10以後因為M$都要
→ paul40807   : 或誘導你綁MA
→ paul40807   :  很多人W7是沒設密碼的
→ paul40807   : 進去看Google密碼有兩種 一種是打password.google.c
→ paul40807   : om 一種是登入chrome 看 登入chrome看的那個確實是
→ paul40807   : 輸入Windows的密碼解鎖
推 hangtenboy  : 完蛋,我看不太懂,寶羅你說的第二個登入chrome是什
→ hangtenboy  : 麼意思
推 paul40807   : 登入chrome看之後 設定>管理我的密碼(吧 就可以看
→ hangtenboy  : 是說因為我的windows沒有密碼鎖,所以看不到這步嗎
→ tonyii      : 問題會變成 沒有鎖windows系統密碼的chrome用戶
→ tonyii      : 會變成 只要能碰到你電腦的人或登入chrome狀態入侵
→ paul40807   : tony大這就是重點啊 還有沒鎖也可以開就是
→ tonyii      : 你的密碼 就是always open 7-11
推 hangtenboy  : 回家趕快設Σ(ﾟДﾟ)
推 menshuei    : 如果大家都在監控，我們台灣的品牌，賣去中國應該也
→ menshuei    : 是同樣的道理。
→ tonyii      : 各家都越來越在乎 使用者使用產品時都在做些甚麼?
→ tonyii      : 可能是產品體驗 可能是軟體優化 可能是廣告關鍵字
→ tonyii      : 或像google 你逛過樂天 看過亞馬遜 去搜尋過露天
→ tonyii      : 過幾天你的FB/某些網頁跳出的廣告索引 就跟這相關
→ tonyii      : 可以說 這叫個人化 貼近需求 但本質就是資料蒐集
推 hangtenboy  : 連看片的紀錄都收集…
推 wake01      : 當有人能碰到你私人電腦而且知道你密碼而且可操作
推 idxxxx      : 誰給你美國阿爸最開放的錯覺...
→ hangtenboy  : (✽ ﾟдﾟ ✽)
→ tonyii      : FB誰在附近 不也很恐怖? google時間軸拉開嚇死人
→ wake01      : chrome當然必須要不顯示密碼才安全
推 p4585424    : 最安全就是去買密碼管理軟體
推 jack0909    : 個資又不重要 不用怕好嗎?
推 jbuilder1022: 個資不重要沒事沒事
推 pipida1113  : 如果各國都有後門   中國手機不能有台獨傾向  美國
→ pipida1113  : 手機不能看裸蘿莉   韓國手機不能說金正恩  買U11得
→ pipida1113  : 無限自由
→ pipida1113  : 我開玩笑的大家別認真
推 Isveia      : 我從以前到現在不買中國牌子的手機就是因為這個原因
推 paul40807   : 以前很想捍衛個資 現在只要不會偷打電話都隨便了
→ paul40807   : 不然什麼東西都不能用　麻煩死惹
→ mainline    : 某保羅真會 最近在本版表現真不凡呢 他說的話 哈哈
→ mainline    : 哈哈 已經懶得從技術面直接吐嘈他了 就硬辯
→ mainline    : chrome那事 當時的解決方案以及回應邏輯上是沒錯的
→ mainline    : 火狐到如今依然這麼做 可欠栽培的是chrome是會同步
→ mainline    : 的 邏輯沒錯 但那樣確實不好 所以現在有經windows c
→ mainline    : redentials處理 不能直接看了
推 hangtenboy  : 幹嘛這樣,有錯的話,指正就好了,不要這樣針鋒相對QQ
→ paul40807   : 現在都流行精神勝利法嗎呵呵
→ lonelysin   : 各廠收集使用者資料不意外啊~~但是"順便"幫政府服務
→ aegis43210  : 買退出中國市場的LG就不用擔心那麼多了
→ lonelysin   : 什麼才是重點..
推 rockmanalpha: 廠商自己收集資料沒什麼問題 只如果加上當地政府一
→ rockmanalpha: 併考慮的話 這可能是一個很複雜的問題...
→ rockmanalpha:                           *但
推 maplefoxs   : 崩潰…仔細看一下覺得還好耶，定位和錄音我覺得比較
→ maplefoxs   : 嚴重
推 WindSucker  : 怕
推 pttacc      : 怕!!可惜一加沒進台灣，不然就買一隻壓壓驚@@
推 AAPL        : 鄰國日常
推 chunyulai   : 所以結論是 回傳的是Amazon而不是中國嗎?
→ chunyulai   : 這樣我覺得可以  你們大家太嚴格
→ chunyulai   : 回傳中國我就不行
→ chunyulai   : Amazon不會管我看啥然後在我去美國時突然抓我
→ chunyulai   : 但是中國可能會
→ que4155     : 請問現在還能加入一加群嗎
推 bigsun0709  : 大陸手機意外
推 zardmih     : 中國牌別碰就好 用中國牌就是有個資外洩的風險..
推 kira925     : 用AWS又不是傳給Amazon
推 muffinpat   : ...instance owned by onepluse. 資料收集也有分合
→ muffinpat   : 理跟不合理，只能說中國手機不意外
→ Behave      : 還好啦，我們大部份都是毫無影響力的ID，連屁都不是
推 Pharmarette : 怕的話把 oxygen OS 刷掉就好了
→ Pharmarette : 買中國高 CP 值手機就是要它的硬體
推 Pharmarette : https://i.imgur.com/zFUfRck.jpg
推 lordcolus   : 某 P 護航的太難看 要帶方向也不會先去 XDA 看看
推 alive5566   : 護航的以為天下烏鴉一般黑就沒事了 到底在說啥...
推 selfhu      : 中國的話不意外，連藍牙範例都有這些程式碼在（實際
→ selfhu      : 上根本就不需要這段），至於有沒有回傳我沒注意（當
→ selfhu      : 時確定那段無關我就跳過了）
噓 tornado1621 : 有人提到h黑？ 我來了