多倫多大學公民實驗室（Citizen Lab）做的一項分析發現，北京冬奧會要求參與者必須安裝的一款手機應用程式，對個人資料構成嚴重的安全風險，而且存在言論審查隱憂。

公民實驗室在周二發布的這份報告，詳細說明了研究人員對這款名為MY2022（冬奧通）應用程式的主要擔憂。

根據中共政府關於奧運會的官方指南，MY2022是由北京奧組委為2022年奧運會準備的。公開記錄和應用程式商店的信息顯示，該手機程序屬於名為北京金融控股集團（Beijing Financial Holdings Group）的國有企業所有。

MY2022的功能包括旅遊推薦、GPS導航和與COVID-19相關的健康監測等等。健康監測功能收集一系列醫療信息，包括用戶每日自我報告的健康狀況、COVID-19疫苗接種狀況和實驗室檢測結果等等。

公民實驗室提到他們要做此分析的背景：中共政府要求所有國際和國內的奧運會參與者必須在出發前14天下載MY2022，並開始每天監測他們的健康狀況並將其提交到應用程式。

不驗證SSL證書

「MY2022有一個簡單但具有破壞性的缺陷——可以輕鬆避開保護用戶語音音頻和文件傳輸的加密。」公民實驗室的報告寫道，「傳輸護照詳細信息、人口統計信息、醫療和旅行歷史的海關健康表格，也很容易受到攻擊。服務器響應也可以被欺騙，從而允許網絡攻擊者向用戶顯示虛假指令。」

按公民實驗室的解釋，當客戶端使用SSL連接到服務器時，SSL使用加密和數字簽名技術為傳輸中的數據提供私隱保護，免於在傳輸過程中被第三方讀取或修改。但是，客戶有可能被騙連接到有惡意的服務器，這就需要有SSL證書驗證。

為了驗證服務器的真實性，SSL提供了一種安全接收和驗證證書的方法。通過驗證證書，客戶端可以確保數據不僅在傳輸過程中受到保護，而且不會選錯了發送和接受數據的服務器。

「我們的分析發現，MY2022不驗證一些SSL證書，從而允許網絡攻擊者通過干擾應用程式與這些服務器之間的通信，來冒名頂替受信任的服務器。」該報告說，不驗證SSL證書意味著應用程式可能被欺騙連接到一個有惡意的電腦，並誤認為它是可信的服務器，向其發送個人資料及接受來自它的信息。

敏感信息無加密處理

公民實驗室發現MY2022，不但有不驗證SSL證書的問題，有些信息傳輸還完全無加密處理。

該報告說：「我們也發現一些敏感數據是在沒有任何SSL加密或任何安全措施的情況下傳輸的。我們發現，MY2022通過8099端口，向『tmail.beijing2022.cn』傳輸非加密數據。」

這些被傳輸的非加密數據，包含了敏感的信息，比如消息發送者和接收者的名字及其用戶帳戶標識符。報告說：「這些數據可以被任何被動的竊聽者讀取，例如處於不安全wifi接入點範圍內的人、操作wifi的人、互聯網服務提供商或其他電信公司。」

公民實驗室表示，2021年12月3日，他們向北京2022年冬奧會和冬殘奧會組委會披露了所發現的MY2022安全問題，並給了對方15天時間作出回應；45天時間解決所發現的問題。

「截至2022年1月18日，我們尚未收到回應。」報告的作者諾克爾（Jeffrey Knockel）說。

另外，該報告說，2022年1月17日，MY2022的開發者將其iOS版的2.0.5版本在蘋果應用程式店發布。研究人員分析了該新版本，發現公民實驗室之前報告的問題並未解決。

公民實驗室的報告說，MY2022明言收集的數據包括一系列高度敏感的醫療信息，目前尚不清楚它與誰或哪個組織共享這些信息。

涉言論審查

「MY2022包括允許用戶舉報『政治敏感』內容的功能。」該報告說，「該應用程式還包括一個審查關鍵字列表，雖然該列表目前不活躍，但其針對各種政治話題，包括新疆和西藏等問題。」

研究人員發現了一個名為「illegalwords.txt」的文件，其中包含2,442個在中國通常被認為敏感的關鍵字。比如「中共邪惡「、「江胡內鬥」、「法輪大法好」、「習近平」，還有看起來挺彆扭的「捌玖陸肆紀念」。

意圖分析

對於為何要求奧運會所有參與者必須安裝的手機應用程式，存在如此嚴重的安全問題，分析人員表示，中國有通過降低加密要求以方便政治審查和監視，以及利用未加密的網絡通信發起中間人攻擊的歷史。此外，地方政府經常使用數據攔截技術測量wifi流量以進行監控。

「因此，有理由質疑此應用程式中的加密缺陷是出於監視目的，而不是源於開發人員的疏忽。」該報告說。

報告表示，目前尚不清楚MY2022中顯然是用來審查言論的關鍵字列表為何處於不活躍狀態。一方面，可能是開發人員的疏忽。另一方面，審查停用可能是故意行為，目的是向外界隱瞞中國言論審查的嚴重性；或迫於國際奧委會之前在限制審查方面施加的壓力。對於這次的發現，研究人員表示，他們感到擔憂，但不驚訝。因為中共政權多年來都不重視保護個人資料。#

------------------
請訂閱新官方YouTube頻道：
https://bit.ly/2XxPrsd

✅立即支持訂閱：
https://hk.epochtimes.com/subscribe
✅直接贊助大紀元：
https://www.epochtimeshk.org/sponsors
✅成為我們的Patron：
https://www.patreon.com/epochtimeshk

------------------

📰支持大紀元，購買日報：
https://www.epochtimeshk.org/stores
📊InfoG：
https://bit.ly/EpochTimesHK_InfoG
✒️名家專欄：
https://bit.ly/EpochTimesHK_Column