小米MIUI包含好幾個讓其易於被複製裝置資料的安全漏洞

智慧手機的安全性已經成為我們在買新手機時會考慮的重要功能之一：無論是優秀的生物識別技術，還是在某些情況下像Samsung Knox這樣的設備加密軟體。然而，在購買上述裝置時，將全部的資料轉移到新的手機上對某些人來說是件非常麻煩的事。像小米或三星這樣的公司提供像Smart Switch或Mi Mover的應用程式來讓這樣的轉移能夠更加簡單省事。

然而，最近對上述Mi Mover的安全性分析發現，它有好幾個安全漏洞會讓你的手機資料在沒有任何安全性輸入的情況下被複製。研究企業Escan在智慧手機製造商給予的設備上進行測試，並在上面安裝Cerberus Anti-Theft。正常來說，如果你試圖複製或解除安裝這款應用程式的話，它會要你從生物認證技術或是密碼認證自己，並且要求你提供裝置設定的安全碼。然而，在小米的裝置上，該應用程式就只是跳過所有安全驗證，直接解除安裝。

此外，Escan還發現MIUI上小米的Android前端軟體的其它安全漏洞，包括：

• MI-Mover應用程式覆蓋Android操作系統的沙盒應用程式
• 任何裝置管理者的應用程式都能在不撤銷裝置管理者權限的情況下解除安裝
• 裝有MI-Mover的小米裝置可以在幾分鐘內被複製資料，且不必以裝置為根據
• MIUI裝置隱藏工作配置文件管理應用程式，而非刪除該應用程式
• 工作資料與個人資料無法區別，進而造成企業移動管理安全方面嚴重的挑戰

這些漏洞由請中國智慧型手機巨頭發表評論的GuidingTech證實。然而，該公司仍堅稱假如用戶以生物識別或PIN碼的方式認證手機，則這些事情是可以被全數避免的。不過，無論是否設置密碼，這並不代表小米已確實遵守Android Security安全協議（包括2FA和其他安全協議）。

簡而言之，在這個惡意軟體和釣魚攻擊如此猖獗的世界裡，小米忽視如此基本的安全漏洞真的是一件很奇怪的事。

資料來源