NCC首次手機安全檢測連小米只測12支都過關，2015年將修法強制綁約手機通通要測

國家通訊傳播委員會（NCC）今日公布12款手機包含內建App的資安檢測結果，檢測結果出爐，NCC資源技術處處長羅金賢表示，截至2014年12月31日上午，受委託檢測手機資安的實驗室都已經回報，有問題的手機都已經完成修復，最遲在1月初，所有手機軟體更新時，都會一併修復相關的缺失；至於，先前傳出有資安疑慮的小米手機也在此次檢測中過關。

羅金賢從此次檢測的經驗發現，目前NCC委託實驗室檢測的項目仍偏重手機內建的App功能是否安全，取得的權限是否逾越所需功能、是否違反個資法規範等，但他發現，檢測的12款手機中，只有蘋果和三星在隱私權政策中，有更保護消費者的規定，如果消費者無法接受其隱私權政策，都可以退貨。而他說，這樣保護消費者的精神，也希望能納入2015年的「手機內建軟體資安檢測技術規範」中。

12支受測手機，有2款明碼傳送使用者資訊

此次檢測的12款手機包括：蘋果iPhone6 Plus，來自韓國的三星Note3及樂金（LG）G3，日本Sony Xperia Z2，臺灣華碩ZenFone 5、富可視InFocus M210，臺灣電信業者自有品牌遠傳Fareastone Smart 503、台灣大Taiwan Mobile Amazing X3，及來自中國的華為Honor 3C、小米 RED MI 1S及中興ZTE Q301C等12款市占最高的手機。

由於世界各國對於手機安全檢測並沒有共通的標準，此次也參考包括OWASP Mobile Risk、歐盟及中國對手機安全的相關規範。羅金賢表示，為了釐清檢測的項目，和受委託實驗室：資策會資安所、臺灣電子檢驗中心，花了1個多月時間，確認檢測項目內容，包括手機業者對相關App的宣示內容、手機開機後的網路行為、手機內建App的存取權限、手機啟動後的各種網路行為（包括雲端服務在內）、資料傳輸及儲存安全等，對於手機App是否取用敏感個資，或者是有否經過使用者同意等，也都在檢測範圍內。

根據NCC檢測結果發現，12款受測手機中，有其中2款手機在傳輸資料時使用明碼傳輸，一款是開機時會明碼傳送電話號碼，另外一款是啟用雲端服務時，明碼傳送輸入資料，在NCC的要求下，廠商也已經改採加密傳輸；其餘有7款手機的手機內建App，啟用時，不僅未取得使用者同意，該App所取得的權限，也逾越功能所需的權限，在NCC要求下，廠商也同樣同意改善。

手機出廠預設App都在管轄範圍內，12款手機都連位於美國的伺服器

根據國家資通安全會報的規定，NCC負責的是手機內建App的安全性，從晶片、韌體、作業系統和手機廠商自行開發的App，以及電信業者綁約時，強制載入的App等，都包括在內。羅金賢強調，「只要是不可以刪除的、手機出廠時預設的App，都在NCC管轄範圍內。」

而在檢測的資料內容分類中，NCC最在意的就是與個資法規範相關的個資資訊，列為第一類最敏感的資料，不論在傳輸或儲存時，都要求業者要提供足夠的安全保護；至於手機身分證IMEI（國際移動設備識別碼）和辨識手機用戶身分的IMSI（國際行動用戶辨識碼），列為第二類敏感資料。

至於先前iThome委由資安業者戴夫寇爾（DevCore）歷經2次測試時，發現小米科技有未經使用者同意便上傳的「應用程式清單」的App資料，因為不涉及敏感個資也不是使用者輸入內容，NCC則列為第三類屬於不敏感的資料；不論是傳輸或資料本身進行加密的資料，因為具有一定程度的安全性，NCC列為第四類資料，也是最安全的資料。

在實驗室檢測12款手機的過程中發現，只要是透過Wi-Fi連網，手機都有連到各國伺服器的現象，羅金賢說：「這些連網行為，主要的目的是為了校正手機的時間。」

若手機有插入SIM卡並行動上網時，12款手機中，有3款會連上中國的伺服器，但羅金賢表示，這不表示是3款中國廠牌的手機；另外連上臺灣伺服器的手機有7款，有4款會連到新加坡的伺服器，有2款手機會連到以色列伺服器，但是，受測的12款手機中，通通都會連上美國的伺服器。羅金賢認為，連上哪一國伺服器並不是關鍵，而是手機到底回傳哪些資料，回傳資料是否有妥善保護，以及回傳後，該公司怎麼處理相關的資料才是關鍵。

至於，手機插入SIM並使用行動上網後，12款手機在背景傳送的資料，都沒有個資法規範的相關個資，只有3款手機會傳送IMEI碼和IMSI碼，有9款會傳送包括App應用程式清單但不涉及個人隱私相關資料，有11款會傳送加密資料，但其中，只有1款手機，並沒有在背景傳送任何資料。

蘋果三星允許消費者若不同意隱私規範可退貨

經過此次的檢測結果，手機業者需要改善和修正部分，最晚在1月初，都會釋出更新程式，使用者都應該儘速更新以確保安全。羅金賢表示，目前政府和實驗室還是偏重在App是否有具體的資安風險，但看到蘋果和三星手機在隱私權公告時，便展現尊重消費者的立場，一旦消費者拒絕接受蘋果和三星的隱私政策，不願意點下同意的按鍵時，可以將手機退回給原廠。他認為，這才是真正從隱私保護落實資安保護和尊重消費者的行為。

原本預計在2015年底才要推出的「手機系統內建軟體資安檢測技術規範」，羅金賢希望可以提早到6月推出一個草案版本，並且以比較長的時間，徵詢各界對於草案的意見；之後也會接著完成「手機資安檢測實驗室認可程序」及「自願檢測手機的資安認證標章」相關規範的制定。由於各國都沒有法令明確要求手機業者進行資安檢測，羅金賢指出，NCC只能規範業者，因此，2015年在相關法規出爐後，除了鼓勵手機業者自行送測手機產品，但若是電信業者綁約的手機，則將強制要求通過資安檢測，以加強保護消費者個資和隱私。

                                   NCC針對12款手機檢測項目及內容

資料來源：NCC國家通訊傳播委員會，2014年12月