By: mk 
on 11 August 2014 - 08:25
Tags:
จากกรณี Xiaomi Redmi Note แอบส่งรูปถ่ายและข้อความกลับไปยังเซิร์ฟเวอร์ในจีน ที่ทดสอบยืนยันโดยบริษัทความปลอดภัย F-Secure
Hugo Barra ผู้บริหารของ Xiaomi ออกมาอธิบายปัญหานี้แล้ว โดยบอกว่ามันเป็นฟีเจอร์ของรอม MIUI ที่เรียกว่า MIUI Cloud Messaging หรือการส่ง SMS ฟรีผ่านเน็ต หลักการทำงานของมันคืออ่านค่าการส่ง SMS ของผู้ใช้ แล้วเช็คว่าอุปกรณ์นั้นเชื่อมต่อเน็ตหรือไม่ ถ้าต่อเน็ตอยู่ ระบบจะส่ง SMS ผ่านเครือข่าย IP แทน SMS Gateway เพื่อไม่ให้ผู้ใช้ต้องเสียเงินค่า SMS ให้เครือข่าย แต่ถ้าไม่มีเน็ตก็จะกลับมาส่งผ่าน SMS Gateway ตามปกติ
ฟีเจอร์ Cloud Messaing จะเก็บข้อมูล SIM, หมายเลขโทรศัพท์ของเครื่อง, IMSI, IMEI เพื่อให้เซิร์ฟเวอร์รู้ว่าเครื่องอยู่ที่ไหน (ลักษณะเดียวกับแอพส่งข้อความอื่นๆ) ส่วนหมายเลขโทรศัพท์ในสมุดที่อยู่และตัวข้อความเองจะถูก "ส่งผ่าน" เซิร์ฟเวอร์ของ Xiaomi โดยไม่เก็บสำเนาไว้บนเซิร์ฟเวอร์ และตัวเนื้อหาในข้อความจะถูกเข้ารหัสเพื่อไม่ให้ Xiaomi อ่านได้ด้วย
กระบวนการทำงานของฟีเจอร์นี้จะถูกเรียกเมื่อผู้ใช้ส่งข้อความ SMS หรือเปิดใช้แอพ SMS หรือ Contact รอมจะส่งหมายเลขโทรศัพท์ที่เราเปิดไปยังเซิร์ฟเวอร์ Cloud Messaging เพื่อดูว่าผู้ใช้คนนั้นออนไลน์หรือไม่ ถ้าออนไลน์จะขึ้นไอคอนสีฟ้า ถ้าออฟไลน์หรือไม่ใช้งานฟีเจอร์นี้จะแสดงไอคอนสีเทา หมายเลขโทรศัพท์ที่ส่งออกไปจะถูกใช้งานเพื่อเช็คว่าออนไลน์หรือไม่เท่านั้น และเซิร์ฟเวอร์ไม่ได้เก็บสำเนาข้อมูลเหล่านี้เอาไว้
Hugo บอกว่าเพื่อช่วยลดความกังวลของผู้ใช้ Xiaomi ตัดสินใจปิดฟีเจอร์ Cloud Messaging เป็นค่าดีฟอลต์ โดยออกแพตช์เมื่อวานนี้ (10 ส.ค.) และผู้ใช้จะได้อัพเดตผ่าน OTA ส่วนคนที่ต้องการใช้งานฟีเจอร์นี้สามารถเปิดกลับคืนมาในหน้า Settings > Mi Cloud > Cloud Messaging
สุดท้าย Hugo ขอโทษทุกคนที่กังวลเรื่องนี้ และขอบคุณสื่อที่แจ้งปัญหานี้เข้ามา เพื่อให้ Xiaomi ปรับปรุงบริการให้ดียิ่งขึ้น
ที่มา - +Hugo Barra
Get latest news from Blognone
Follow @twitterapi
Blognone Jobs Premium
Cloudnone
- NVIDIA จะไปหยุดที่ตรงไหน ทำไมครองโลกดาต้าเซ็นเตอร์ | Cloudnone EP.22
- ถึงคลาวด์เคราะห์: ทำอย่างไรเมื่อบริการคลาวด์ที่ใช้ถูกยกเลิก | Cloudnone EP. 21
- รู้จักอาชีพ Site Reliability Engineer สำคัญยังไง? | Cloudnone EP. 20
- อธิบาย CrowdStrike ทางเทคนิค ทำไมถึงทำพีซีจอฟ้าเป็นล้านๆ เครื่อง | Cloudnone EP.19
- Kubernetes [Part 2] ยี่ห้อไหนดี งานไหนต้องใช้ แล้วเลือกยังไง? | Cloudnone EP.18
Comments
เร็วดีแท้
MIUI Cloud Messaging ก็คือ iMessage ใช่มั้ยนิ
อคติทำให้คนรับเหตุผลด้านเดียว
เสียวหมี (Xiaomi) เป็นผู้คิดการเข้ารหัส ทำไมจะถอดรหัสไม่ได้
ถ้าเค้าใช้ MD5?
MD5 มันถอดได้ด้วยเหรอครับ
ສະບາຍດີ :)
ใช้ rainbow table ก็ทำได้ (ในบางสตริง) นะครับ
บล็อกส่วนตัวที่อัพเดตตามอารมณ์และความขยัน :P
งั้นก็ใช้กับระบบส่งข้อความไม่ได้อยู่ดีนะสิครับ
ສະບາຍດີ :)
แนะนำอ่านบทความเดิม Hash: ไม่รู้ว่ามันคืออะไรแต่มันใช่
lewcpe.com, @wasonliw
แล้วปลายทางจะอ่านยังไงครับ ?
MD5 เป็น One-Way Hashing Algorithm ซึ่งมันเป็นการเข้ารหัสแบบทางเดียว มันจะได้ข้อมูลออกมาเป็นลายนิ้วมือ (หรือลายเซ็น) ของข้อมูลที่เอามาเข้า Hash function ซึ่งถ้าอยากได้ข้อมูลย้อนกลับ สามารถนำไปเทียบกับ rainbow table ได้ซึ่งจะได้ข้อมูลแบบ plain text ขนาดไม่กว้างกว่าผลของ Hash function ที่ใช้ในข้างต้น เช่นหากใช้ MD5 ก็คือต้องเป็น plain text ไม่เกิน 32 ตัวอักษร ถึงจะได้ข้อมูลย้อนกลับจาก rainbow table อย่างสมบูรณ์ ซึ่งมันไม่ใช่ว่าจะใช้ได้ทุกกรณี
อย่างข้อมูล SMS หากเก็บเป็น MD5 ยังไงก็เกิน เอามาทำการย้อนกลับแทบจะไม่ได้เลย
ยืนยันว่าตอนนี้ยังไม่มี Rainbow table ภาษาไทยครับ แต่ก็น่าจะมีในเร็ววันนี้ (ราวๆ 2 ร้อยปี GPU สำหรับ Rainbow Table ทุกคำในพจนานุกรม) แต่ผมว่า MD5 เริ่มไม่ปลอดภัยเพียงพอสำหรับยุคที่เราเช่า GPU CUDA 28 core บน EC2 ได้ในราคาวันละไม่กี่ดอลล่า
ยังดีที่แก้ปัญหานะครับ บางเจ้าคนว่ากันเต็มกระทู้ ยังไม่คิดแก้ปัญหาเลย(รวมเจ้าในไทยด้วย)
ทีนี้ก็จะเหลือประเด็นรูป แล้วจะส่งรูปกลับทำไม
MMS หรือเปล่าครับ :D
ถ้าต่อเน็ตอยู่ ระบบจะส่ง MMS ผ่านเครือข่าย IP แทน MMS Gateway เพื่อไม่ให้ผู้ใช้ต้องเสียเงินค่า MMS ให้เครือข่าย แต่ถ้าไม่มีเน็ตก็จะกลับมาส่งผ่าน MMS Gateway ตามปกติ
อ่านแล้วคุ้นๆจังนะครับ
It's not a feature, It's a bug.
รอบแรกที่ผมอ่านนึกไปถึงข่าวนี้
ผมว่า ถ้ามีบ.มาทดสอบหลังออกแพทก็ดีนะ ถ้าแก้แล้วจริงถือว่าไวมาก ยังยกให้เป็นยี่ห้อน่าใช้อยู่ครับ
ตัวแพตช์นี้จะเข้ารหัสข้อมูลที่ส่งด้วยครับ ดังนั้นแค่รู้ว่ามีการเชื่อมต่อ แต่จะไม่สามารถแกะเนื้อหาออกมาอ่านได้ครับ
เค้าเข้ารหัสอยู่แล้ว patch คือไม่เปิด Feature นี้มาให้ตั้งแต่แรก
ก่อนแพตช์เค้าไม่ได้เข้ารหัสครับ ผมยกย่อหน้ารองสุดท้ายของ Hugo Barra มาให้ดู เผื่อว่าจะได้ชัดขึ้น
อันที่จริง ถ้าเค้าเข้ารหัสตั้งแต่แรก คงจะยากครับที่ F-secure จะทราบได้ว่าส่งข้อมูลหมายเลขโทรศัพท์ออกไป
พอรู้ว่าเป็นฟีเจอร์แล้วอยากใช้ขึ้นมาทันที..
ลองเล่นในiPhone ไปก่อนละกันครับ เพราะอ่านๆดูมันก็คือ iMassage นี่เองครับ โดยหลักการ
ตอนนี้อธิบายไปยังไงก็โดนเตะตัดขาไปแล้ว ยังไงคนก็อ่านข่าวเก่ามากกว่าข่าวนี้ แต่ก็ถือว่า Xiaomi เร็วมากเลยที่มาตอบปัญหากับเรื่องที่เป็นประเด็นอยู่ แก้ไขวันต่อวัน
iMessage ชัดๆ
แต่ SMS ทันเป็นแค่ข้อความไม่ใช่หรือครับ แล้วรูปภาพไปเกี่ยวอะไรด้วย
มั่วเอานะ ส่งข้อความรูปภาพก็น่าจะได้นะ