NCC資源技術處處長羅金賢表示,12款受測手機安全性都過關,但只有手機安全還不夠,要從更高位階的隱私保重,確保手機使用者的安全性。

圖片來源: 

黃彥棻攝

國家通訊傳播委員會(NCC)今日公布12款手機包含內建App的資安檢測結果,檢測結果出爐,NCC資源技術處處長羅金賢表示,截至2014年12月31日上午,受委託檢測手機資安的實驗室都已經回報,有問題的手機都已經完成修復,最遲在1月初,所有手機軟體更新時,都會一併修復相關的缺失;至於,先前傳出有資安疑慮的小米手機也在此次檢測中過關。

羅金賢從此次檢測的經驗發現,目前NCC委託實驗室檢測的項目仍偏重手機內建的App功能是否安全,取得的權限是否逾越所需功能、是否違反個資法規範等,但他發現,檢測的12款手機中,只有蘋果和三星在隱私權政策中,有更保護消費者的規定,如果消費者無法接受其隱私權政策,都可以退貨。而他說,這樣保護消費者的精神,也希望能納入2015年的「手機內建軟體資安檢測技術規範」中。

12支受測手機,有2款明碼傳送使用者資訊

此次檢測的12款手機包括:蘋果iPhone6 Plus,來自韓國的三星Note3及樂金(LG)G3,日本Sony Xperia Z2,臺灣華碩ZenFone 5、富可視InFocus M210,臺灣電信業者自有品牌遠傳Fareastone Smart 503、台灣大Taiwan Mobile Amazing X3,及來自中國的華為Honor 3C、小米 RED MI 1S及中興ZTE Q301C等12款市占最高的手機。

由於世界各國對於手機安全檢測並沒有共通的標準,此次也參考包括OWASP Mobile Risk、歐盟及中國對手機安全的相關規範。羅金賢表示,為了釐清檢測的項目,和受委託實驗室:資策會資安所、臺灣電子檢驗中心,花了1個多月時間,確認檢測項目內容,包括手機業者對相關App的宣示內容、手機開機後的網路行為、手機內建App的存取權限、手機啟動後的各種網路行為(包括雲端服務在內)、資料傳輸及儲存安全等,對於手機App是否取用敏感個資,或者是有否經過使用者同意等,也都在檢測範圍內。

根據NCC檢測結果發現,12款受測手機中,有其中2款手機在傳輸資料時使用明碼傳輸,一款是開機時會明碼傳送電話號碼,另外一款是啟用雲端服務時,明碼傳送輸入資料,在NCC的要求下,廠商也已經改採加密傳輸;其餘有7款手機的手機內建App,啟用時,不僅未取得使用者同意,該App所取得的權限,也逾越功能所需的權限,在NCC要求下,廠商也同樣同意改善。

手機出廠預設App都在管轄範圍內,12款手機都連位於美國的伺服器

根據國家資通安全會報的規定,NCC負責的是手機內建App的安全性,從晶片、韌體、作業系統和手機廠商自行開發的App,以及電信業者綁約時,強制載入的App等,都包括在內。羅金賢強調,「只要是不可以刪除的、手機出廠時預設的App,都在NCC管轄範圍內。」

而在檢測的資料內容分類中,NCC最在意的就是與個資法規範相關的個資資訊,列為第一類最敏感的資料,不論在傳輸或儲存時,都要求業者要提供足夠的安全保護;至於手機身分證IMEI(國際移動設備識別碼)和辨識手機用戶身分的IMSI(國際行動用戶辨識碼),列為第二類敏感資料。

至於先前iThome委由資安業者戴夫寇爾(DevCore)歷經2次測試時,發現小米科技有未經使用者同意便上傳的「應用程式清單」的App資料,因為不涉及敏感個資也不是使用者輸入內容,NCC則列為第三類屬於不敏感的資料;不論是傳輸或資料本身進行加密的資料,因為具有一定程度的安全性,NCC列為第四類資料,也是最安全的資料。

在實驗室檢測12款手機的過程中發現,只要是透過Wi-Fi連網,手機都有連到各國伺服器的現象,羅金賢說:「這些連網行為,主要的目的是為了校正手機的時間。」

若手機有插入SIM卡並行動上網時,12款手機中,有3款會連上中國的伺服器,但羅金賢表示,這不表示是3款中國廠牌的手機;另外連上臺灣伺服器的手機有7款,有4款會連到新加坡的伺服器,有2款手機會連到以色列伺服器,但是,受測的12款手機中,通通都會連上美國的伺服器。羅金賢認為,連上哪一國伺服器並不是關鍵,而是手機到底回傳哪些資料,回傳資料是否有妥善保護,以及回傳後,該公司怎麼處理相關的資料才是關鍵。

至於,手機插入SIM並使用行動上網後,12款手機在背景傳送的資料,都沒有個資法規範的相關個資,只有3款手機會傳送IMEI碼和IMSI碼,有9款會傳送包括App應用程式清單但不涉及個人隱私相關資料,有11款會傳送加密資料,但其中,只有1款手機,並沒有在背景傳送任何資料。

蘋果三星允許消費者若不同意隱私規範可退貨

經過此次的檢測結果,手機業者需要改善和修正部分,最晚在1月初,都會釋出更新程式,使用者都應該儘速更新以確保安全。羅金賢表示,目前政府和實驗室還是偏重在App是否有具體的資安風險,但看到蘋果和三星手機在隱私權公告時,便展現尊重消費者的立場,一旦消費者拒絕接受蘋果和三星的隱私政策,不願意點下同意的按鍵時,可以將手機退回給原廠。他認為,這才是真正從隱私保護落實資安保護和尊重消費者的行為。

原本預計在2015年底才要推出的「手機系統內建軟體資安檢測技術規範」,羅金賢希望可以提早到6月推出一個草案版本,並且以比較長的時間,徵詢各界對於草案的意見;之後也會接著完成「手機資安檢測實驗室認可程序」及「自願檢測手機的資安認證標章」相關規範的制定。由於各國都沒有法令明確要求手機業者進行資安檢測,羅金賢指出,NCC只能規範業者,因此,2015年在相關法規出爐後,除了鼓勵手機業者自行送測手機產品,但若是電信業者綁約的手機,則將強制要求通過資安檢測,以加強保護消費者個資和隱私。

                                   NCC針對12款手機檢測項目及內容

檢測項目

檢測內容

1.檢視自我宣告系統內建軟體

1.1依自我宣告系統內建軟體項目,逐項檢視其各項內容是否相符。

1.2無自我宣告以外之系統內建軟體。

2.檢測手機開機後之網路行為

2.1手機無SIM卡,僅由WiFi連結網路,如未傳輸第1類明文資料,或傳輸加密資料,或傳輸第1類(除帳號、密碼或通訊錄內容外)明文資料前,已取得使用者同意。

2.2手機有SIM卡,僅由WiFi連結網路,如未傳輸第1類明文資料,或傳輸加密資料,或傳輸第1類(除帳號、密碼或通訊錄內容外)明文資料前,已取得使用者同意。

2.3手機有SIM卡,僅由行動網路連結網路,如未傳輸第1類明文資料,或傳輸加密資料,或傳輸第1類(除帳號、密碼或通訊錄內容外)明文資料前,已取得使用者同意。

3.檢測內建軟體存取資料權限

3.1自我宣告系統內建軟體之存取權限資料與實際檢測內建軟體之存取資料權限相符。

3.2內建軟體之存取權限資料不可為權限狀態1:未取得使用者同意,且非該軟體功能直接需要之權限者。

4.檢測手機啟動各項服務後之網路行為

4.1手機有SIM卡,僅由WiFi連結網路,如未傳輸第1類明文資料,或傳輸加密資料,或傳輸第1類(除帳號、密碼或通訊錄內容外)明文資料前,已取得使用者同意。

4.2手機有SIM卡,僅由行動網路連結網路,如未傳輸第1類明文資料,或傳輸加密資料,或傳輸第1類(除帳號、密碼或通訊錄內容外)明文資料前,已取得使用者同意。

5.檢測資料傳輸及儲存安全

5.1資料傳輸安全:各內建軟體如帳號、密碼或通訊錄內容資料加密,或使用加密傳輸通道。

5.1.1手機有SIM卡,僅由WiFi連結網路

5.1.2手機有SIM卡,僅由行動網路連結網路

5.2資料儲存安全:各內建軟體於儲存帳號、密碼或通訊錄內容資料時,使用加密方式儲存,或儲存於手機作業系統限制存取之區域。

 

資料來源:NCC國家通訊傳播委員會,2014年12月


熱門新聞

Advertisement