搜狗输入法被曝泄露用户敏感信息

安全问题反馈平台乌云爆料称，搜狗输入法存在可导致大量用户敏感信息泄漏的设计缺陷。对此搜狗方面回应称，出现这一问题源于微软Bing等搜索引擎没有遵守禁止协议。乌云在披露的漏洞信息中称：“搜狗输入法信息发送过程存储了相对应的信息在云端，但由于相应配置及其他原因造成会话信息(图片、视频、音频)泄露”。其中的披露状态显示，这一漏洞5月4日已经通知搜狗，并且在5月5日收到确认。
推动此事进一步发酵的是，乌云在公布同时引用了三个被曝光的用户信息截图，其中包括不雅照片及身份证件信息等敏感内容。

上述所谓的漏洞，出自搜狗手机输入法中的“多媒体输入”功能。借助这一去年5月发布的功能，用户之间能够分享图片、语音、文字等信息，而其原理就是将用户想要分享的信息，上传到搜狗服务器中，形成一个可以点击查看的链接。
在这种模式下，任何人知道相关内容的存储地址，就能点击查看。例如乌云披露的其中一个网址为：http://pinyin.cn/1VS8MfNgojq。网址成为防止用户隐私外泄的主要“城墙”，然而这对于搜索引擎来说，翻过去易如反掌。
然而在乌云的报告中指出，由于“不严谨造成信息被搜索引擎抓取”。并举例说以关键词“site:pinyin.cn”搜索，在微软Bing中能够得到3700条结果，在Google中能够得到1120条结果。并且提供了一段在Bing中验证的代码。
对此，搜狗官方在接受新浪科技连线时表示，用户的“多媒体输入”信息泄漏，与搜索引擎没有遵守相关robots.txt协议有关。并且指出重点问题处在Bing搜索引擎中，且搜狗已经与Bing一直在沟通解决相关问题。
上述robots.txt协议，是搜索引擎中访问网站的时候要查看的第一个文件。robots.txt文件告诉蜘蛛程序在服务器上什么文件是可以被查看的。



该贴已经同步到 阿木的微博

本人正是用的它，要警惕啊。