科客點(diǎn)評(píng)：這種安全漏洞十分嚴(yán)重，堪稱(chēng)“一枚炸彈”。

　　所謂“屋漏偏逢連夜雨”。周一，中國(guó)臺(tái)灣手機(jī)廠商HTC市值暴跌，核心資產(chǎn)淪為一文不值。日前，該公司又傳來(lái)一個(gè)安全丑聞，其并未對(duì)手機(jī)上保存的用戶高清指紋圖進(jìn)行任何安全保護(hù)，黑客可以隨意盜取利用。

　　據(jù)外媒報(bào)道，這種安全錯(cuò)誤十分嚴(yán)重，甚至被稱(chēng)為“一枚炸彈”。上周，安全公司“火眼”（FireEye）發(fā)現(xiàn)了HTC手機(jī)上的這一漏洞，并對(duì)外公布。

　　該公司表示，以O(shè)ne Max這款HTC公司旗艦手機(jī)為例，HTC公司將用戶的指紋圖片保存為“ /data/dbgraw.bmp”這一圖片文件，文件的訪問(wèn)權(quán)限是“外部隨意訪問(wèn)”，這意味著所有的外部手機(jī)軟件，都可以讀取、拷貝、盜竊這個(gè)重要的指紋圖片。

　　用戶指紋圖片并非普通的文件，是極其重要的用戶隱私信息，需要嚴(yán)加保護(hù)，比如采用安全的加密手段，避免被其他黑客和軟件盜取。

　　更糟糕的是，用戶每刷一次指紋，HTC手機(jī)將會(huì)重新更新指紋圖片，這樣一個(gè)黑客的手機(jī)軟件和進(jìn)程（正在運(yùn)行中的一個(gè)程序），可以連續(xù)盜取一系列用戶指紋圖片。

　　據(jù)報(bào)道，按照安全行業(yè)的慣例，火眼公司首先將這一漏洞告訴給了HTC公司，隨后HTC的技術(shù)團(tuán)隊(duì)進(jìn)行了修改。目前用戶手中的HTC手機(jī)，是否仍然有這個(gè)漏洞，尚不得而知。

　　除了HTC公司之外，火眼公司還曝光了安卓系統(tǒng)中的一個(gè)安全漏洞，即黑客軟件可以繞過(guò)系統(tǒng)的保護(hù)，訪問(wèn)指紋識(shí)別硬件。

　　安卓的競(jìng)爭(zhēng)對(duì)手蘋(píng)果iOS系統(tǒng)，是如何保護(hù)指紋數(shù)據(jù)的呢？據(jù)報(bào)道，蘋(píng)果采用了特殊的安全手段保護(hù)用戶指紋圖片和信息，不會(huì)直接在手機(jī)中以圖片方式保存用戶指紋。

　　美國(guó)媒體指出，從火眼公司爆出的指紋安全漏洞可以看出，雖然智能手機(jī)的用戶擁有了更多的生物驗(yàn)證手段來(lái)驗(yàn)證機(jī)主身份，但是廠商在保護(hù)用戶身份信息方面表現(xiàn)不佳。包括手指指紋、眼球虹膜、臉部肖像等個(gè)人信息保存在哪里、是否得到了安全保護(hù)，這都是謎團(tuán)。

　　需要指出的是，HTC公司在指紋安全漏洞上的事故，有一定的代表性。該公司不顧一些行業(yè)人士和媒體的批評(píng)，一味定位高端手機(jī)市場(chǎng)，旗艦手機(jī)價(jià)格在600多美元水平。但是和競(jìng)爭(zhēng)對(duì)手蘋(píng)果公司相比，HTC的軟件開(kāi)發(fā)實(shí)力和應(yīng)用生態(tài)建設(shè)能力，和蘋(píng)果不在一個(gè)數(shù)量級(jí)上。

　　和另外一個(gè)高端手機(jī)廠商三星電子相比，HTC遠(yuǎn)遠(yuǎn)不具備對(duì)手強(qiáng)大的硬件和元器件開(kāi)發(fā)能力和自有供應(yīng)鏈，也遠(yuǎn)遠(yuǎn)不具備三星強(qiáng)大的市場(chǎng)營(yíng)銷(xiāo)預(yù)算和實(shí)力。有業(yè)者表示，HTC繼續(xù)固執(zhí)在高端市場(chǎng)和三星蘋(píng)果鏖戰(zhàn)，很可能走上諾基亞的不歸之路。（騰訊科技，原標(biāo)題《HTC爆安全丑聞：用戶指紋裸奔 黑客隨意訪問(wèn)》）