Por que meu tablet Nvidia está procurando servidores chineses (Baidu.com)? -- security campo com logging campo com bloatware camp android Relacionado O problema

Why is my Nvidia tablet looking for chinese servers(baidu.com)?


5
vote

problema

português

Não tenho certeza se esta é a área certa para a pergunta, ou se é um grande negócio, mas aqui eu vou. Ao usar pelo tablet NVIDIA para desenvolver um aplicativo, percebi que estava tentando chegar a um servidor na China. Isso não faz sentido para mim porque não tenho aplicativos que eu pensaria que tentaria fazer isso. O que eu gostaria de saber é se isso é uma preocupação de segurança?

  02-12 14:09:32.448  11220-11284/? E/sdkstat﹕ sdkstat send error++++++java.net.UnknownHostException: Unable to resolve host "hmma.baidu.com": No address associated with hostname    
Inglês Original

I am not sure if this is the right area for the question, or if it is even a big deal, but here i go. When using by Nvidia tablet to develop an app I realized that it was attempting to reach a server in china. this doesn't make sense to me because I don't have any apps that I would think would try to do this. What I would like to know is if this is a security concern?

02-12 14:09:32.448  11220-11284/? E/sdkstatxefxb9x95 sdkstat send error++++++java.net.UnknownHostException: Unable to resolve host "hmma.baidu.com": No address associated with hostname 
        
         
         

Lista de respostas

1
 
vote

Você pode querer ler Este artigo de fevereiro de 2016 na cidadão. org .

parte mais relevante do artigo:

.

vaza dados sensíveis na inicialização

Após o lançamento do aplicativo, observamos Baidu Browser enviando uma solicitação HTTP POST para https://hmma.baidu.com/app.gif

O corpo desta solicitação HTTP é um arquivo JSON gzipped. O arquivo JSON contém uma lista de campos com vários detalhes sobre o telefone e o usuário, alguns em texto simples e outros criptografados.

Os campos não criptografados no arquivo JSON incluem:
  • o: o sistema operacional do usuário (por exemplo, "Android")
  • N: Baidu Número da versão do navegador
  • w, h: largura e altura, respectivamente, da tela em pixels
  • GL: GPS coordenadas e tempo de última atualização GPS

Alguns campos são criptografados usando AES + BCE com a chave codificada ASCII h9YLQoINGWyOBYYk

e, em seguida, base64 codificada. Esses campos incluem:

  • dd: imei número
  • ii: uma string contendo o número IMEI do telefone escrito para trás e um hash MD5 de informação de versão do software Android
  • WL2: Lista de todas as redes sem fio em alcance e seus endereços MAC e pontos fortes de sinal

Com o conhecimento da chave codificada, esses campos podem ser facilmente descriptografados. O código-fonte para um script Python para descriptografar estes campos está disponível aqui.

e depois há resposta de Baidu (arquivo PDF hospedado no CitizenLab.org ) . Eles não parecem ver um problema na coleta desses dados, eles apenas reconhecem que precisam melhorar sua criptografia:

.

Baidu esforça-se para coletar dados de forma consistente com os mais altos padrões de segurança e Privacidade do usuário no setor. Divulgamos nossas práticas em nossos termos de serviço sob privacidade Direitos detalhados aqui (chinês): https://www.baidu.com/duty/yinsiquan. html

Somos gratos ao laboratório cidadão por estar atento à segurança de dados na transmissão e temos já fez progressos substanciais para garantir que qualquer transmissão seja segura.

Então, o artigo de CitizenLab provavelmente não está mais descrevendo o que você pode ver na rede hoje em dia.

 

You might want to read this February 2016 article at citizenlab.org.

Most relevant part of the article:

Leaks sensitive data on startup

Upon application launch, we observed Baidu Browser sending an HTTP POST request to https://hmma.baidu.com/app.gif

The body of this HTTP request is a gzipped JSON file. The JSON file contains a list of fields with various details about the phone and the user, some in plain text and others encrypted.

Unencrypted fields in the JSON file include:

  • o: the userxe2x80x99s operating system (e.g., xe2x80x9cAndroidxe2x80x9d)
  • n: Baidu Browser version number
  • w, h: width and height, respectively, of the screen in pixels
  • gl: GPS coordinates and time of last GPS update

Some fields are encrypted using AES+ECB with the hard-coded ASCII-encoded key h9YLQoINGWyOBYYk

and then Base64 encoded. These fields include:

  • dd: IMEI number
  • ii: a string containing the phonexe2x80x99s IMEI number written backwards and an MD5 hash of Android software version information
  • wl2: list of all in-range wireless networks and their MAC addresses and signal strengths

With knowledge of the hard-coded key, these fields can easily be decrypted. The source code for a python script for decrypting these fields is available here.

And then there's Baidu's response (PDF file hosted at citizenlab.org). They don't seem to see an issue in collecting this data, they just acknowledge that they need to improve their encryption:

Baidu endeavors to collect data in a way consistent with the highest standards of security and user privacy in the industry. We disclose our practices in our terms of service under privacy rights as detailed here (Chinese): https://www.baidu.com/duty/yinsiquan.html

We're grateful of Citizen Lab for being mindful of data security in transmission and we have already made substantial progress toward ensuring that any such transmission will be secure.

So citizenlab's article is probably no morexc2xa0describing what you can see on the net nowadays.

 
 

Perguntas relacionadas

8  Como posso alterar o Selinux de impor a permissiva no Samsung Galaxy Note 3?  ( How can i change selinux from enforcing to permissive on samsung galaxy note 3 ) 
meu dispositivo é Samsung Galaxy Note 3 SM-N9005. Este telefone vem com selinux definido para impor por padrão. Eu tenho tentado mudar isso para permissiv...

55  É um antivírus realmente necessário para o Android?  ( Is an antivirus really needed for android ) 
Eu uso o Linux por meio década agora, então não estou acostumado a lidar com vírus mais. Para minha surpresa, vi alguma discussão sobre antivírus no Android. ...

11  Posso criar um perfil restrito em um celular Android?  ( Can i create a restricted profile on an android cellphone ) 
fundo Eu quero me impedir de ver a pornografia no meu celular. Eu ocasionalmente vou a grupos de apoio ao vício, mas ainda não fiz os doze passos que eles r...

2  Permitir login com várias senhas  ( Allow login with multiple passwords ) 
É possível configurar várias senhas aceitas para o login no Android? Ou talvez um login seguro alternativo. (Nota: Reconhecimento facial e impressão digital ...

12  Existe algum aplicativo WeP Cracking disponível para Android?  ( Is there any wep cracking application available for android ) 
Existe algum aplicativo de cracking WEP disponível para Android? Se não for WEP quebrando tecnicamente possível com a API's e hardware disponível em seu tel...

3  Existe alguma maneira para se conectar a uma rede WPA Enterprise Wi-Fi com a versão 1.5 em um backflip da Motorola?  ( Is there anyway to connect to a wpa enterprise wi fi network with version 1 5 on ) 
As únicas opções de segurança disponíveis ao adicionar uma nova rede Wi-Fi são: nenhum wep wpa pessoal wpa2 pessoal Eu esperava conectar-se ao WPA...

0  É o Google fotos Sincronização segura em WiFi pública  ( Is google photos synchronisation secure on public wifi ) 
Alguém pode (proprietário de NW pública ou intruso) realizar homem no ataque do meio e roubar as fotos enquanto eles estão sendo sincronizados com o WiFi públ...

7  Logout do Gmail no meu dispositivo  ( Logout from gmail on my device ) 
Isso me incomoda que meu telefone Android está logado permanentemente na minha conta do Gmail. Eu quero fazer logout do dispositivo e de alguma forma, faça ...

3  Localizando o telefone roubado após a redefinição de fábrica  ( Locating stolen phone after factory reset ) 
Eu suponho que qualquer ladrão razoável limpará o telefone o mais rápido possível, removendo assim quaisquer aplicativos de rastreamento e contas de usuário. ...

25  Certificado Instalar sem bloqueio de pino obrigatório  ( Certificate install without mandatory pin lockscreen ) 
Google Support diz : . O tipo de bloqueio que é aceitável pode ser predeterminado pelo seu sistema administrador. Onde posso definir o que é aceitável...

9  Existe uma maneira de um usuário dizer se o dispositivo Android é criptografado ou não?  ( Is there a way for a user to tell if their android device is encrypted or not ) 
Há um encadeamento semi-relevante em tão https://stackoverflow.com/ Perguntas / 12640708 / Check-If-Android-FileSystem - é criptografado Isso explica como u...

0  Acidentalmente eu desinstalei meu lançador de casa  ( Accidentally i have uninstalled my home launcher ) 
Não há lançador no meu telefone.Eu também desligado e ligado. Mostrou apenas Samsung nada mais. Meu dispositivo já estava enraizado e eu pensei na redefinição...

59  Existem ferramentas para sandbox um aplicativo de malware ainda mais do que as permissões concedidas no Android?  ( Are there any tools to sandbox a malware application even more than the granted ) 
Suponha que eu queira executar algum programa que solicita muitas permissões. Por exemplo, registre do microfone ou leia o IMEI do meu telefone. No entanto, n...

3  O aplicativo pode ser instalado em um telefone Android sem confirmação, apenas visitando ou clicando em links na página?  ( Can application be installed on an android phone without confirmation just by v ) 
Eu fui em putlocker e depois tenho algum pop-up dizendo algo sobre erro do sistema e depois outro assim: Naquele momento eu desliguei meu telefone. Mas a...

1  Diretório suspeito ".mysecuritydata" em armazenamento interno  ( Suspicious directory mysecuritydata in internal storage ) 
Eu tenho um dispositivo Galaxy Note (N7000) Execução de estoque Android 4.1.2. Eu estava navegando no armazenamento interno e notei um diretório chamado ".mys...




© 2021 pergunte.org All Rights Reserved. Casa de perguntas e respostas todos os direitos reservados


Licensed under cc by-sa 3.0 with attribution required.