谷歌改口，将修复地理位置信息泄露问题

宅客频道消息，据外媒美国时间 6 月 18 日报道，未来几周内，谷歌将修复旗下两款最火爆消费级产品的地理位置信息泄露问题。最新研究显示，只需在后台运行一个简单的脚本，黑客就能从 Google Home 或 Chromecast 电视棒上搜集精确的位置信息。

来自安全公司 Tripwire 的研究者 Craig Young 表示，他发现了谷歌这两款产品上的一个身份验证的弱点，黑客能通过弱点拿到用户极为精确的地理位置信息。原来，他们只需询问谷歌设备附近无线网络的名单，随后将该名单发给谷歌的地理位置查询服务就行。

“黑客完全可以进行远程攻击，只要能让受害者连接在相同 Wi-Fi 或有线网络上的产品，打开一个链接就行。”Young 说道。“不过，这种攻击方法有其局限性，因为这个至关重要的链接至少要开启一分钟以上，攻击者才能拿到精确的地理位置信息。”

一般来说，网站都会记录访问者的数字 IP 地址，如果结合在线地理定位工具使用，就能搜集到访问者所处地理位置的信息。不过，此类地理位置信息在准头上可差得多。

但是，谷歌的地理位置数据可不一样，它们在全球有用大量无线网络名称的综合性地图，每个 Wi-Fi 网络都有对应的物理地址。掌握了这些数据的谷歌，通过三角测量甚至能将用户地位精确到几英尺之内。（如果你不信，就请关掉手机上的定位数据并移除 SIM 卡，这时手机照样能找到你的位置）。

“与普通的 IP 地址定位相比，谷歌的位置数据精准度要高出不少。”Young 说。“如果现在我定位了自己的 IP 地址，得到的数据只能落在我周边 2 英里之内。如果用家里的 IP 地址进行定位，位置漂移甚至能达到 3 英里。一旦黑客拿走谷歌的位置数据，定位精度就能缩短到设备周边 10 米左右。”

“我只在三种环境下进行过测试，每次得出的地址都相当精确。”Young 说道。“基于 Wi-Fi 的定位主要靠对信号强度、接入点以及用户手机位置（已知）的三角测量得出。”

这个弱点除了会曝光 Chromecast 或 Google Home 用户的位置信息，还能让黑客有机可乘，发动钓鱼和勒索攻击。

其实全世界的骗子都差不多，美国的也喜欢冒充 FBI 或国税局来恐吓你，他们甚至还会威胁向你的家人和朋友泄露某些秘密，而精确的地里位置信息会成为骗子的帮凶，增加他们的手的几率。

宅客频道了解到，今年 5 月，Young 向谷歌报告了自己的发现，不过搜索巨头直接回复称，自己不会修复这个问题。但后来它们改了口，称准备推送升级包解决这两款设备的隐私泄露问题。据悉，这个升级包将于今年 7 月  中旬正式推送。

“我们必须假定，在本地网络上可以访问的任何无认证数据攻击者也能随意接入。”Young 在博客中写道。“这就意味着，所有请求都必须进行验证，而所有未验证的响应都越模糊越好。”

“如果你不太懂技术，解决该问题最好的方案就是为联网设备专门添加一个路由器。”Young 在博客上写道。“只需将新路由器的 WAN 口连上现有路由器的开放 LAN 端口，攻击者漂浮在主网络中的代码就不能随意控制这些联网设备了。虽然这种方案并非终极防御之术，但防范普通的攻击者绰绰有余了，因为他们中大多数人恐怕根本就意识不到自己还得攻克另一个网络。

宅客频道 Via. Krebson Security

戳蓝字查看更多精彩内容 探索篇 ▼   暗网【上】|  暗网【下】 草榴社区 | 女鉴黄师 | 以图搜图 心脏滴血 | 撞库攻击 | 潜行追踪 刷票 | 人肉 | 勒索 | 内鬼 超级欺骗系统 真相篇 ▼ 战斗民族野生聊天 App 草榴社区这类色情网站为什么封不掉 什么样的漏洞买得起北京二环一套房？ 上了个“假”黄网，误入了7亿黑产的大门 13岁小黑客自学一年挖到了微软、谷歌的漏洞 中学教材现黄色网站 人教社回应遭网友质疑 干货！top白帽子 Gr36_ 手把手教你挖漏洞 我们可以用“免疫系统”对抗黑客入侵吗？ 这位叔叔要教勒索软件一些做人的道理 有个网站叫“我知道你下载了什么” 无线电攻击居然还能用来打飞机 “道哥”透露从业初心 人物篇 ▼ 道哥：重回阿里的29个月 黑客老王：一个人的黑客史 吴石：站在0和1之间的男人 黑客衰大：45天攻入姑娘的心 黑客段子手“呆子不开口” “特斯拉破解第一人”刘健皓 唐青昊：虚拟世界的越狱者 MOSEC：盘古团队的野心优雅 让周鸿祎“三顾茅庐” 的 黑客 MJ 美女黑客张婉桥的“爱丽丝奇遇记” TK教主和玄武实验室的几个小故事 把老婆训练成女黑客的漏洞大神黄正 “真爱”黑客 Fooying 手把手教你追妹子 更多精彩正在整理中……

---

“喜欢就赶紧关注我们”

宅客『Letshome』

雷锋网旗下业界报道公众号。

专注先锋科技领域，讲述黑客背后的故事。

长按下图二维码并识别关注