可跟踪Android和iOS设备的技术漏洞曝光

方明

据国外媒体报道，一项新的设备指纹识别技术可以使用出厂时设置的详细传感器校准信息，跟踪互联网上的Android和iOS设备，任何应用或网站都可以在没有特殊权限的情况下获取这些信息。

这种新技术被称为校准指纹识别攻击或Sensor ID，它通过使用iOS上的陀螺仪和磁力计传感器的校准细节来实现；也可以使用Android设备上的加速度计、陀螺仪和磁力计传感器的校准细节。

根据英国剑桥大学一个学术团队的说法，SensorID对iOS设备的影响大于对Android设备的影响。原因是苹果喜欢在工厂生产线上校准iPhone和iPad传感器，但却只有少数Android供应商通过这一过程来提高智能手机传感器的准确性。

研究小组在一份研究报告中说：“我们的方法是通过仔细分析来自传感器的数据，这无需对网站和應用程序提供任何特殊许可即可访问。”

“我们的分析推断出制造商嵌入到智能手机固件中的每个设备的工厂校准数据，他们通过这种方法来补偿系统制造失误。”研究人员说。

该校准数据可以当做指纹、产生唯一标识符，广告或分析公司可以使用该标识符来跟踪用户的上网情况。

此外，由于校准传感器指纹在使用应用程序或网站提取时相同，因此该技术还可用于跟踪用户在浏览器和第三方应用程序之间的切换，允许分析公司全面了解用户的设备使用情况。

“提取校准数据通常需要不到1 s的时间，并且不依赖于设备的位置或方向。”研究人员说，“我们还尝试在不同位置和不同温度下测量传感器数据，确认这些因素不会改变Sensor ID。”即使在重置出厂设置之后，传感器校准指纹也永远不会改变，从而允许跟踪实体把访问标识符作为不变的唯一IMEI码。

此外，由于无需获取特殊权限，用户无法察觉这种类型的跟踪。

发现这种新跟踪载体的三人研究小组表示，他们分别于2018年8月和2018年12月通知了苹果和谷歌。苹果在2019年3月发布iOS 12.2修补了这个问题，但谷歌只告诉研究人员他们会展开调查。之所以出现这种情况，很可能是因为iOS设备比Android智能手机更容易受到这种类型的跟踪。