Toronto Üniversitesi’nden güvenlik araştırmacıları, Çince klavye desteği veren sekiz büyük firmanın bulut tabanlı giriş yazılımında gizli dinlemeye olanak tanıyabilecek önemli şifreleme zayıflıkları tespit etti. Güvenlik açıklarının düzenli olarak kullanıldığına dair bir gösterge olmasa da, önceki olaylar bunun potansiyel olarak büyük bir endişe kaynağı olduğuna dikkat çekiyor.
Çince yazı standart klavyelere asla sığmayacak yüzlerce farklı karakter içerdiğinden alternatif giriş yöntemlerinin (IME’ler) kullanılması gerekiyor. On yıllardır, işletim sistemi üreticileri ve üçüncü taraf geliştiriciler Çince IME’leri tamamen cihaz üzerinde işlemişlerdir, ancak şimdi bulut hizmetleri doğru karakterleri daha doğru bir şekilde ayırt edebildiği için giderek popüler hale geliyor. Buna karşın bulut ürünleri, güvenlik açıklarını da beraberinde getiriyor.
Normalde, internet tabanlı herhangi bir yazım aracının doğasında tehlike vardır, ancak bulut tabanlı pinyin uygulamaları sağlayan firmalar şifreleme yoluyla genellikle kullanıcı gizliliğini sağlar. Toronto Üniversitesi’nden araştırmacılar Çince klayve desteği sunan Baidu, Onur, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo, Xiaomi şirketlerinin uygulamalarında güvenliğini inceledi. Yapılan incelemelerde bu markaların, Huawei aracı haricindeki tüm tuş vuruşlarını etkili bir şekilde okuyabildiği ve potansiyel olarak her girdiyi gizli dinleyicilere ifşa etme yeterliliğine sahip olduğu keşfedildi.
Apple, platformun klavye uygulamalarını otomatik olarak korumalı alana aldığı için araştırmacılar iOS uygulamalarında herhangi bir zayıflık keşfetmedi. iPhone klavye uygulamalarının verilere erişmesine ve aktarmasına izin vermek için açık kullanıcı onayı gerekiyor. Benzer Android ve Windows programları ise çok daha az güvenli olarak değerlendirildi. Android kullanıcıları klavyelerin internete bağlanıp bağlanmayacağını seçebilir, ancak araştırmacılar uygun kontrollerin bazı kullanıcılar için bulunmasının zor olabileceğini keşfetti.
Araştırmacılar dokuz tedarikçinin tamamını bilgilendirdikten sonra, çoğunluk sorunları gidermek için yamalar yaptı, ancak Baidu’nun uygulamalarında, Honor’un klavyesinde ve Tencent’in QQ Pinyin hizmetinde şifreleme zayıflıkları devam ediyor. Araştırmacılar ayrıca, değerlendiremedikleri ancak potansiyel olarak aynı kusurlara sahip olabilecek düzinelerce benzer uygulama olduğuna dikkat çekiyor.
Genellikle tuş kaydı veya klavye yakalama olarak adlandırılan keylogger, klavyeyi kullanan bir kişinin eylemlerinin izlendiğinin farkında olmaması için klavyede basılan tuşların tipik olarak gizli bir şekilde kaydedilmesi (günlüğe kaydedilmesi) eylemidir. Veriler daha sonra kayıt programını çalıştıran kişi tarafından alınabilir. Son dönemde özellikle ABD ve Çin arasındaki teknoloji savaşı yeni boyutlar kazanırken, keylogger tehlikesi göz ardı edilmemesi gereken bir casusluk tehdidi olarak dikkat çekiyor.
