输入法重大漏洞曝光，仅华为幸免，近10亿用户受影响
内容提要
Citizenlab研究人员发现了百度、华为、Oppo、三星、腾讯、Vivo和小米等多个厂商的输入法应用存在安全漏洞，黑客可以利用这些漏洞窃取用户输入。研究人员建议用户更新应用程序和操作系统，并切换到本地操作的键盘应用程序以减少隐私风险。他们还建议应用程序开发者使用经过测试的加密协议，并要求应用商店运营商不要阻止安全更新。
延伸解读
漏洞影响范围与用户规模
Citizenlab的研究覆盖了百度、荣耀、科大讯飞、OPPO、三星、腾讯、Vivo和小米等厂商的输入法应用，发现其中八家至少有一款应用存在安全漏洞，仅华为未发现问题。据估计，受影响的用户规模接近十亿，搜狗、百度和讯飞占据了主要市场份额。这意味着大量用户的按键记录可能被网络窃听者获取，进而导致个人财务信息、登录账号和隐私泄露。
漏洞技术成因与攻击条件
漏洞主要出现在输入法将用户按键记录传输至云服务器的过程中，涉及加密协议实现不当。例如，腾讯QQ拼音易受CBC padding oracle攻击，百度输入法因BAIDUv3.1加密协议错误可被解密，讯飞安卓应用传输未充分加密，三星键盘甚至使用未加密的HTTP。攻击者通常只需作为被动网络窃听者即可利用，但需能访问客户端软件副本。这些漏洞并非源于通用库或单一缺陷，而是多个开发者独立犯下的类似错误。
用户与开发者的应对建议
研究人员建议用户及时更新应用程序和操作系统，并考虑切换到完全在设备上运行的本地输入法，以减少隐私风险。有隐私顾虑的用户不应启用“基于云”的功能，iOS用户不应开启“完全访问权限”。开发者应使用经过严格测试的标准加密协议，避免自制加密方案。应用商店运营商不应地理封锁安全更新，并允许开发者证明数据加密传输。
行业背景与安全生态反思
研究指出，尽管业界在推动隐私感知的云输入法，但并未广泛使用。许多中文键盘应用普遍存在按键被窃听的漏洞，开发者可能因担心西方加密标准包含后门而避免使用，但自制加密反而引入了安全风险。这反映出在安全协议选择上，独立开发与标准遵循之间的平衡至关重要，同时也凸显了应用商店在安全更新分发中的责任。
Q&A
哪些输入法应用存在安全漏洞？
存在安全漏洞的输入法应用包括百度、荣耀、科大讯飞、OPPO、三星、腾讯、Vivo和小米的多个版本，华为的输入法应用未发现安全问题。
用户应该如何保护自己的隐私？
用户应及时更新应用程序和操作系统，切换到本地操作的键盘应用程序，并避免启用云功能以减少隐私风险。
研究人员对输入法应用的主要关注点是什么？
研究人员主要关注用户数据在云服务器上的安全性及信息传输过程中的安全性。
为什么华为的输入法应用没有安全问题？
华为的输入法应用在传输用户按键记录时未发现任何安全问题，显示其安全性较高。
黑客如何利用这些输入法的漏洞？
黑客可以利用这些漏洞完全窃取用户输入的内容，包括个人财务信息和登录账号。
应用程序开发者应采取哪些安全措施？
应用程序开发者应使用经过严格测试的加密协议，避免开发可能存在安全问题的自制版本。
