研究发现健身追踪器泄露大量信息 用户会被跟踪

北京时间2月3日消息,据科技网站PCWorld报道,部分健身可穿戴设备不仅使用户能追踪自己的健身活动,还可能使用户被其他人“跟踪”。这是加拿大研究人员对8家厂商的健身追踪设备和配套应用进行研究后得出的结论。除Apple Watch外,其他设备都传输一个具有永久性、唯一性的蓝牙标识符,使它们能被商场中的信标追踪,商场可以借此识别用户、收集用户信息。

研究发现健身追踪器泄露大量信息 用户会被跟踪的照片
健身追踪器

研究人员表示,即使不与智能手机连接,Basis Peak、Fitbit Charge HR、Garmin Vivosmart、Jawbone Up 2、Mio Fuse、Withings Pulse O2和小米手环也可能使用户被跟踪,只有Apple Watch利用蓝牙LE标准的一项特性能生成不断变化的MAC(媒体访问控制)地址,防止用户被跟踪。

报告称,另外,这些可穿戴设备的配套应用也会不同程度地泄露登录信息,以不安全的方式传输活动追踪信息,或允许用户提交虚假活动追踪信息。报告是由加拿大非盈利机构Open Effect发表的。

配套应用能从健身追踪设备收集数据,并上传到中央服务器,用户可以分析自己的表现,并与其他用户进行比较。

除苹果Watch OS 2.1和英特尔Basis Peak 1.14.0外,研究人员能通过“中间人攻击”方式截获其他应用和服务器之间传输的数据,查看通过HTTPS协议传输的数据,甚至对数据加密。

苹果和英特尔利用被称作“证书锁定”的技术,使应用不会被研究人员提供的虚假安全信息所欺骗。至少自2014年以来,英特尔一直在强调可穿戴设备不安全带来的风险。

研究人员分析了他们截获的数据,发现Garmin应用只在注册和登录过程中使用HTTPS协议,其他数据则采用明码传输,因此第三方能对数据进行读、写、删除操作。

Jawbone和Withings应用用户可以篡改健身数据,使他们能删除疾病的证据或篡改体育活动成绩。这对医疗保险公司和法院来说是个坏消息,因为医疗保险公司在决定用户保费时开始参考健身追踪器数据,法院在许多案件中采用健身追踪器数据作为证据。

研究人员称,虽然健身追踪器不被认为是医疗设备,从而避开了美国隐私法律法规中最严格的条款,但根据欧盟数据保护法律,它们生成的数据被认为是个人信息,应当受到保护。

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: