每部智能手机都有“指纹”，传感器和Wi-Fi皆可泄密
2014-05-02 08:43:55   来源：微迷   评论：0   点击：

你可能不知道，每一部智能手机所产生的信号其实具有高度可识别性，使用者几乎很难做到“匿名”，甚至最基本的个人隐私都不太容易达成。

来自美国伊利诺大学、南卡罗来纳大学以及中国浙江大学的研究人员发现，尽管智能手机内的加速度计与其他传感器采用标准化与品管流程生产，每颗传感器内还是有微小而独特的瑕疵存在，那种就像是“指纹”的可识别线索，不只存在于实体零件，也包含在传感器所记录的数据中。

“就算你把手机内的应用程序移除、甚至移除所有的软件重新安装，那种“指纹”仍然会存在。”率领该研究团队的伊利诺大学电子工程暨电脑科学副教授Roy Choudhury表示：“这是一个严重的威胁。”

研究团队分析了超过100部手机安装的加速度计数据，确定每一颗加速度计内记录的数据确实都有一些微小的差异，可做为传感器本身的识别凭据，并非反映制造上的缺陷、材料的不同或是来自特定工厂生产线环境的信息。研究团队成员、伊利诺大学研究生Sanorita Dey表示，利用那些微小差异来识别特定加速度计的精确度可以达到96%。

Dey指出：“我们不需要知道那颗加速度计所在的手机其他信息，例如电话号码或是SIM卡号码，只要判读加速度计的资料就能辨别出它是来自哪一部手机，就像是另一个识别标志。”而虽然该团队是以加速度计作为研究对象，但其结果显示包括陀螺仪、磁力计、麦克风、摄影机等其他零件，也可能包含足以识别每一部手机的信息。

这意味着就算消费者不想分享自己的位置、姓名或是其他信息，其隐私资料还是有可能通过某个能收集传感器信息的应用程序泄漏出去。甚至是一个简单计步器应用程序（会收集设备的加速度计数据，然后传送至云端计算出使用者慢跑距离、热量消耗情况），不只能让有心人士识别出信息来自哪个设备，还可凭借传输网络基站位置推算出使用者所在区域。

上述研究团队的发现，证实了先前美国维吉尼亚理工大学团队所做的类似研究；后者发现，加速度计或其他MEMS传感器对电荷的独特反应，具备可识别其所在设备的足够特性。该篇维吉尼亚理工大学的论文指出，这种传感器信息“指纹”，在物联网（IoT）上设备认证授权方面能派上用场。

美国史丹佛大学博士生Hristo Bojinov也发现，不同麦克风与喇叭所发送出的信号，具有与加速度计信息相同的可识别性，而且来自这些零件的独特资讯能凭借手机应用程序收集、上传至云端进行识别。不过伊利诺大学的Dey表示，目前并没有相关法规限制应用程序供应商收集、只用这些信息。

Google虽然在Android 4.4.2的试用版建立了一套控制机制，允许使用者能自己决定那些应用程序能读取手机传感器、联络人等资讯；但业界消息却指该控制机制只是个“偶然”，而且在数位隐私权大师Peter Eckersley写了一篇文章介绍该机制、告诉消费者该怎么使用并赞扬Google的贡献之后，马上就移除了。

伊利诺大学的Choudhury表示，就算广泛分析资料显示，不同传感器的“指纹”也并不是百分之百独一无二，该“指纹”还是具备足够的独特性，能凭借分析一个以上传感器资料来识别出它是来自哪一台设备。

手机搜寻Wi-Fi网络功能也会泄漏信息

就算不判读传感器信息，还有别的更简单方法能识别出大多数的智能手机。现在大多数的手机产品都配备Wi-Fi网络搜寻功能，让一些比较不熟科技产品操作的使用者能更容易地连上无线网路。这种功能意味着手机会持续搜寻所在位置的无线网络接取点，以连结至以前曾登入过的网络或是自动连结无密码保护的公开Wi-Fi网络。

这类原始数据非常丰富，而且对骇客来说可能很有用──甚至不需要通过手机应用程序取得设备端资料；一家研究机构SensePost Labs就曾警告消费者，只要用一架配备Wi-Fi接取点的小型遥控飞机，就能从人口稠密的市区收集到数百部智能手机的MAC位置、网络SSID以及位置信息，这些信息让人为恶意攻击以及辨识个别智能手机网络、位置信息更为容易。

而德国德勒斯登大学研究人员在 2013年6月发表的一篇论文则指出，手机无线电发射器里面的功率放大器、振荡器、混频器等零组件的性能变化，也会在模拟无线电信号中留下线索，在模拟信号被转换成数字时成为一种独特的识别标记。

也就是说，只要监听这种无线电信号“指纹”，就能识别或追踪特定手机，就算手机的SIM卡被替换过、或是手机的识别序号被刻意抹除也不受影响。德勒斯登大学研究人员Jakob Hasse表示，完全不需要传送任何东西到手机，就能被动地监听到手机正在进行的传输──而且不会被检测到。