UC浏览器收集并发送用户隐私数据分析报告.pdfVIP

UC浏览器收集并发送用户隐私数据分析报告

1、问题概要

UC浏览器是中国和印度地区最为流行的web浏览器，也是全球第四大移动浏

览器，仅次于chrome、Android浏览器和Safari浏览器，目前拥有超过5亿的用

户群。加拿大多伦多大学公民实验室一直在调查研究这款亚洲地区较为流行的通信

工具，通过调查比较中文版UC浏览器和英文版UC浏览器，发现中文版UC浏览

器会收集并发送用户的隐私数据，而英文版则不会。

个人验证信息和查询请求在传输过程中没有被加密：

1.用户数据（IMSI、IMEI、AndroidID、WiFiMAC地址）未经加密被发送到阿里巴巴分析工

具Umeng上；

2.用户的位置数据（经度/纬度、街道名称）未经加密被阿里巴巴地图工具AMAP发送出去；

3.用户的查询请求未经加密被发送到Shenma（中文版）、yahoo、谷歌（英文版）等搜索引擎

上；

即使清理了应用程序上的缓存，用户的隐私信息还是会保留在缓存里，第三方

还是可以访问用户的数据。

图1

加拿大公民实验室的研究人员于2015年4月15将这一发现报告给了阿里巴巴和U

CWeb，并说明了将会在4月29日或者之后公开这一发现。阿里巴巴于4月19日

给予了回复，称公司安全工程师正在调查研究这一问题。研究人员于23日又向他

们重申了要在29日之后公开问题详情，但是阿里巴巴和UC均未给予任何回复。

研究人员在19日又测试了一下10.4.1-576版本的UC浏览器（中文版，从U

C官网上下载的），没有发现浏览器会向AMAP发送未经加密的数据，但仍然会向

Umeng组件传输未经加密的数据，而且查询搜索数据也仍然未加密。建议使用U

C浏览器中文版的用户应尽快更新到10.4.1-576及其更高的版本。

2、UC浏览器简介

UC浏览器是UCWebInc.开发的明星级移动浏览器，目前覆盖了Android、i

OS、windowsphone、windowsmobile等主流操作系统。UC公司成立于200

4年，后被阿里巴巴合并，联合开发出了一款Shenma搜索引擎。

作为全球第四大浏览器，UC浏览器每天的活跃用户达1亿人次。UC浏览器主

页上会默认显示一些常用的搜索引擎、社交媒体网站、天气信息、新闻和购物信息

等。拥有独创的U3内核和云端架构，支持HTML5应用，支持语音搜索。

3、方法和技术分析

通过分析某些中文版UC浏览器和英文版UC浏览器（均为安卓版）的构架、

移动网络数据和WiFi流量、数据的保留和删除功能，研究人员发现了一些较为严重

的安全问题。下图中形象的展示了中文版UC浏览器存在的安全问题：

图2

测试装置

为了检测UC浏览器的安全和隐私功能，我们测试了一些中文版本和英文版本

的浏览器。因为我们对浏览器传输个人身份信息时是否加密十分的感兴趣，所以就

监控了浏览器向内部服务器传输的数据。

我们了测试安卓模拟器和安卓手机，并用抓包工具WireShark抓取了所有发送

出去的和收到的流量。随后用反编译工具APKtool反编译了从浏览器上下载的AP

K文件，然后分析了和用户数据传输功能相关的代码。

版本分析

被分析的UC浏览器均为安卓系统的浏览器，但是从不同的应用商店下载的：

中文版的UC浏览器是2015年3月从小米应用商店下载的，英文版是2015年5

月直接从官网上下载的。除了语言不同外，中文版默认的神马搜索引擎，而英文版

默认的是雅虎（印度）和谷歌搜索引擎；中文版主页上显示的是百度、新浪微博、

优酷等，而英文版主页上显示的是Google、Facebook、twitter等。