如何阻止百度輸入法聯網,防止隱私泄露

        我以前寫過一篇用Fiddler抓包然後去掉金山詞霸廣告的文章,參見:金山詞霸2016.1.3.3 手動去廣告方法(https://blog.csdn.net/pijianzhirui/article/details/50492714),現在還是用Fiddler對百度輸入法抓包,

        如果你啓用了“顯示雲結果”的功能(似乎默認就是啓用的),那麼你在中文狀態輸入的全部的內容都會被髮送到百度的服務器(olime.baidu.com)。Fiddler可抓到Win版百度輸入法的如下GET請求:
GET /py?input=[1,[a,[N00,O1G],b,[01G],c,[J1G],d,[410],e,[Q1G],f,[31G],g,[81G]]]&resultcoding=utf-8&version=1&inputtype=sg&result=hanzi|aladdin&ch_en=0&bg=0&ed=2&clientinfo=pc&fuzzy=sheng|shen|cheng|chen|zheng|zhen|jing|jin|ming|min|zhen|zheng|ying|yin|xing|xin|ling|ning|chen|cheng|xin|xing|jin|jing|fen|feng|yin|ying|zen|zeng|qin|qing|pin|ping|nin|ning|li|ni|la|na&scene=winword%2Eexe& HTTP/1.1

        用電腦開熱點,然後用安卓手機連接電腦的熱點,並將電腦設爲代理,遺憾的是,Fiddler並不能抓到安卓版百度輸入法的雲輸入聯網請求(olimenew.baidu.com),在安卓手機上安裝名爲Packet Capture(中文名“無root抓包”)的app,能抓到百度輸入法的POST請求包,但是似乎無法解密https的內容,於是只能看見亂碼。(等我以後知道如何還原亂碼的內容,再來更新此文)
        我設置的模糊音是l=n,in=ing,en=eng,百度發送GET請求不直接發fuzzy=[l=n|in=ing|en=eng],卻發了fuzzy=sheng|shen|cheng|chen|zheng|zhen|jing|jin|ming|min|zhen|zheng|ying|yin|xing|xin|ling|ning|chen|cheng|xin|xing|jin|jing|fen|feng|yin|ying|zen|zeng|qin|qing|pin|ping|nin|ning|li|ni|la|na這麼長一串內容,這是要故意浪費上網流量、增加網絡設備的負擔嗎?另外,GET請求中還包括了scene=winword%2Eexe這樣的參數和值(%2E是小數點的URL編碼結果)。你覺得,是在word、powerpoint中輸入的內容可能具有更高的價值,還是在瀏覽器和QQ中輸入的內容更具價值?我猜測,百度是想用盡量少的硬盤空間存儲價值儘可能高的用戶隱私內容。比如,word和powerpoint中輸入的內容全部存儲,而瀏覽器和QQ中輸入的內容只統計關鍵詞的詞頻,不存儲內容本身。
        你在一臺聯網的電腦上用百度輸入法寫一篇文章,即使敲錯了一些字母,刪除後再重新敲,即使中英夾雜,即使百度不知道你通過數字鍵選了哪個詞(這就相當於語音識別了),在大數據和人工智能的幫助下,百度的服務器基本上可以拼湊出你寫的全文,百度的工程師不可能不知道這一點。假如這篇文章涉及重要機密,那麼很不幸,百度也掌握了這個機密。監守者常常自盜,你覺得像百度這種毫無底線、毫無社會責任感的企業,是會替你保守祕密?還是把你的輸入內容賣給廣告商,讓你享受更精準的廣告?或者把重要的商業機密、技術機密賣給其他人?另外別忘了,百度的服務器是可以記錄用戶的IP地址的,根據IP地址就能對計算機粗略定位,再根據用戶輸入的內容進行關鍵詞分析,甚至可以推斷出用戶屬於哪個企業。比如某個IP大概位於浙江省寧波市慈溪濱海四路,而且經常輸入吉利、沃爾沃、發動機、變速箱、遠景、帝豪等詞,此用戶就有很大的可能是吉利研發中心的人,盯着這樣的用戶,往往能獲取很多重要的資料。所以,很多軍工企業嚴格禁止員工回家用自己的電腦辦公是有道理的,即使你不主動泄密,也可能通過輸入法意外泄密。同時提醒企業的網絡管理員,一定要通過防火牆阻止對olime.baidu.com的訪問。當然,對谷歌、微軟、搜狗、QQ、手心等輸入法,網絡管理員用樣要禁止對相關域名的訪問。
        谷歌、微軟、百度、搜狗,都是既做搜索引擎,又做輸入法,(如果手心輸入法分享數據給360,那360也算同時有搜索引擎和輸入法)。通過輸入法收集用戶輸入內容,確實可以改善搜索引擎的結果。谷歌輸入法已經多年不更新了,這與谷歌的很多服務在大陸被禁脫不了關係。因爲即使通過輸入法收集的數據對包括谷歌搜索在內的服務進行改進,由於來自中國的“蕃薔”用戶數量太少,帶來的經濟效益太少,所以谷歌沒有動力去更新輸入法。如果谷歌搜索能夠迴歸,谷歌輸入法必定隨之迴歸。
        要在安卓手機上阻止百度輸入法聯網,先在輸入法設置中關閉雲輸入功能,再到安卓系統設置的應用聯網中禁止百度輸入法聯網。(在下圖的“應用聯網”界面中,“個人應用”纔會出現“移動數據”和“WLAN”兩個複選框,“系統應用”只出現“移動數據”一個複選框。我估計這意味着,如果不獲取root權限或者藉助第三方app,則沒辦法阻止系統應用通過WLAN聯網。)
        windows系統上,先去輸入法設置中關閉“顯示雲結果”,然後把如下規則加入到"C:\Windows\System32\drivers\etc\HOSTS"

127.0.0.1 olime.baidu.com
127.0.0.1 dr-ime.baidu.com
127.0.0.1 updateime.baidu.com
127.0.0.1 tips.ime.baidu.com
127.0.0.1 typing.bae.baidu.com
127.0.0.1 pcinput.baidu.com

        如果你想進一步研究百度輸入法還訪問了哪些域名,可以用Exeinfo PE的Ripper功能從C:\Program Files (x86)\Baidu\BaiduPinyin\5.4.4920.0\中的exe和dll文件中提取網址,

        還可以使用防火牆阻止百度輸入法聯網,步驟如下

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章