ما الذي تخبر به لوحة مفاتيح Android الغرباء؟

“يستطيع المخترقون التجسس على كل ضغطة زر على الهواتف الذكية أونر وأوبو وسامسونغ وفيفو وشاومي عبر الإنترنت” – تم تداول عناوين رئيسية مثيرة للقلق على غرار هذا العنوان في وسائل الإعلام خلال الأسابيع القليلة الماضية. وكان أصلها دراسة جادة إلى حد ما عن الثغرات الأمنية في تشفير حركة مرور لوحة المفاتيح. ويستطيع المهاجمون القادرون على مراقبة حركة مرور الشبكة، على سبيل المثال، من خلال جهاز توجيه منزلي مصاب، اعتراض كل ضغطة مفتاح وكشف جميع كلمات مرورك وكلماتك السرية. لكن لا تتسرع في مقايضة جهاز Android بجهاز iPhone – يتعلق هذا فقط بإدخال اللغة الصينية باستخدام نظام بينيين (pinyin)، ويقتصر ذلك على حالة تمكين ميزة “التنبؤ السحابي”. ومع ذلك، اعتقدنا أنه سيكون من المفيد التحقيق في الموقف مع اللغات ولوحات المفاتيح الأخرى من الشركات المصنعة الأخرى.

لماذا تكون العديد من لوحات مفاتيح بينيين (pinyin) عرضة للتنصت

يساعد نظام الكتابة بينيين، المعروف أيضًا باسم الأبجدية الصوتية الصينية، المستخدمين على كتابة الكلمات الصينية باستخدام الحروف وعلامات التشكيل اللاتينية. وهو النظام الرسمي للكتابة بالحروف اللاتينية للغة الصينية، الذي تتبناه الأمم المتحدة بالإضافة إلى جهات أخرى. ويعد رسم الأحرف الصينية على الهاتف الذكي أمرًا غير مريح إلى حد ما، لذا فإن طريقة إدخال “بينيين” تحظى بشعبية كبيرة، ويستخدمها أكثر من مليار شخص، وفقًا لبعض التقديرات. وعلى عكس العديد من اللغات الأخرى، يصعب تنفيذ التنبؤ بالكلمات باللغة الصينية، خاصةً في نظام بينيين، مباشرة على الهاتف الذكي – حيث أنها مهمة معقدة حسابيًا. لذلك، تستخدم جميع لوحات المفاتيح تقريبًا (أو بشكل أكثر دقة، طرق الإدخال – أدوات تحرير أسلوب الإدخال) “التنبؤ السحابي”، مما يعني أنها ترسل على الفور أحرف بينيين التي أدخلها المستخدم إلى الخادم وتتلقى اقتراحات إكمال الكلمات في المقابل. وفي بعض الأحيان يمكن إيقاف تشغيل وظيفة “السحابة”، لكن هذا يقلل من سرعة وجودة الإدخال باللغة الصينية.

للتنبؤ بالنص الذي تم إدخاله في نظام بينيين، ترسل لوحة المفاتيح البيانات إلى الخادم

بالطبع، تكون جميع الأحرف التي تكتبها متاحة لمطوري لوحة المفاتيح بفضل نظام “التنبؤ السحابي”. لكن هذا ليس كل شيء! يتطلب تبادل البيانات حرفًا تلو الآخر تشفيرًا خاصًا، وهو ما يفشل العديد من المطورين في تنفيذه بشكل صحيح. ونتيجة لذلك، يمكن بسهولة فك تشفير جميع الضغطات على المفاتيح والتنبؤات المقابلة لها من قبل الغرباء.

يمكنك العثور على تفاصيل عن كل خطأ من الأخطاء الموجودة في المصدر الأصلي، لكن بشكل عام، من بين لوحات المفاتيح التسعة التي خضعت للتحليل، لم ينفذ سوى أسلوب الإدخال بينيين في هواتف هواوي الذكية تشفير TLS بشكل صحيح وقاوم الهجمات. ومع ذلك، تم التوصل إلى أن أدوات IME من بايدو وأونر وiFlytek وأوبو وسامسونغ وتينسنت وفيفو وشاومي معرضة للخطر بدرجات متفاوتة، مع فشل لوحة مفاتيح بينيين القياسية من اونر (Baidu 3.1) ونظام QQ pinyin في تلقي التحديثات حتى بعد اتصال الباحثين بالمطورين. ويُنصح مستخدمو نظام بينيين بتحديث محرر أسلوب الإدخال إلى أحدث إصدار، وفي حالة عدم توفر تحديثات، يُنصح بتنزيل محرر أسلوب إدخال مختلف لنظام بينيين.

هل ترسل لوحات المفاتيح الأخرى ضغطات المفاتيح؟

لا توجد حاجة فنية مباشرة لذلك. وبالنسبة لمعظم اللغات، يمكن توقع نهايات الكلمات والجمل مباشرة على الجهاز، لذلك لا تتطلب لوحات المفاتيح الشائعة نقل البيانات حرفًا تلو الآخر. ومع ذلك، قد يتم إرسال البيانات عن النص الذي تم إدخاله إلى الخادم لمزامنة القاموس الشخصي بين الأجهزة أو للتعلم الآلي أو لأغراض أخرى لا تتعلق مباشرة بالوظيفة الأساسية للوحة المفاتيح – مثل تحليلات الإعلانات.

إن رغبتك في تخزين هذه البيانات على خوادم Google وMicrosoft تعد مسألة اختيار شخصي، لكن من غير المرجح أن يكون أي شخص مهتمًا بمشاركتها مع الغرباء. وتم الإعلان عن حادثة واحدة على الأقل في عام 2016 – تم التوصل إلى أن لوحة مفاتيح SwiftKey تتنبأ بعناوين البريد الإلكتروني وإدخالات القاموس الشخصي الأخرى للمستخدمين الآخرين. وبعد الحادثة، عطلت Microsoft خدمة المزامنة مؤقتًا، لإصلاح الأخطاء على الأرجح. وإذا كنت لا تريد تخزين قاموسك الشخصي على خوادم Microsoft، فلا تقم بإنشاء حساب SwiftKey، وإذا كان لديك حساب بالفعل، فقم بإلغاء تنشيطه واحذف البيانات المخزنة في السحابة باتباع هذه التعليمات.

لم تكن هناك حالات أخرى معروفة على نطاق واسع لتسريب النص المكتوب. ومع ذلك، فقد أظهرت الأبحاث أن لوحات المفاتيح الشائعة تراقب البيانات الوصفية بشكل نشط أثناء الكتابة. على سبيل المثال، يرسل تطبيق Gboard من Google وSwiftKey من Microsoft بيانات حول كل كلمة يتم إدخالها: اللغة، وطول الكلمة، ووقت الإدخال الدقيق، والتطبيق الذي تم إدخال الكلمة فيه. ويرسل SwiftKey أيضًا إحصائيات حول مقدار الجهد الذي تم توفيره: عدد الكلمات التي تم كتابتها بالكامل، وعدد الكلمات التي تم توقعها تلقائيًا، وعدد الكلمات التي تم تمريرها. وبالنظر إلى أن كلتا لوحتي المفاتيح ترسلان معرف الإعلان الفريد للمستخدم إلى “المقر الرئيسي”، فإن هذا يخلق فرصة كبيرة للتوصيف – على سبيل المثال، يصبح من الممكن تحديد المستخدمين الذين يتواصلون مع بعضهم البعض في أي برنامج مراسلة.

إذا أنشأت حساب SwiftKey ولم تقم بتعطيل خيار “Help Microsoft improve”، فوفقًا لسياسة الخصوصية، قد يتم إرسال “عينات صغيرة” من النص المكتوب إلى الخادم. ومن غير المعروف كيف يعمل هذا وحجم هذه “العينات الصغيرة”.

ما هو خيار “Help Microsoft improve”؟ هل يجمع بياناتك؟

تسمح لك Google بتعطيل خيار “Share Usage Statistics” في Gboard، مما يقلل بشكل كبير من كمية المعلومات المنقولة: لم يعد يتم تضمين أطوال الكلمات والتطبيقات التي تم استخدام لوحة المفاتيح فيها.

يؤدي تعطيل خيار “Share Usage Statistics” في Gboard إلى تقليل مقدار المعلومات التي يتم جمعها بشكل ملحوظ

فيما يتعلق بالتشفير، لم يثر تبادل البيانات في Gboard وSwiftKey أي مخاوف بين الباحثين، حيث يعتمد كلا التطبيقين على تنفيذ تشفير TLS القياسي في نظام التشغيل ويقاومان هجمات التشفير الشائعة. لذلك، من غير المحتمل اعتراض حركة المرور في هذين التطبيقين.

بالإضافة إلى Gboard وSwiftKey، حلل المؤلفون أيضًا تطبيق AnySoftKeyboard الشهير. وقد ارتقى تمامًا إلى مستوى سمعته باعتباره لوحة مفاتيح لعشاق الخصوصية من خلال عدم إرسال أي تتبع عن بعد إلى الخوادم.

هل من الممكن أن تتسرب كلمات المرور وغيرها من البيانات السرية من هاتف ذكي؟

ليس من الضروري أن يكون التطبيق عبارة عن لوحة مفاتيح حتى يتمكن من اعتراض البيانات الحساسة. على سبيل المثال، يراقب تطبيق TikTok جميع البيانات المنسوخة إلى الحافظة، على الرغم من أن هذه الوظيفة تبدو غير ضرورية بالنسبة لشبكة تواصل اجتماعي. وغالبًا ما تقوم البرامج الضارة على Android بتنشيط ميزات إمكانية الوصول وحقوق المسؤول على الهواتف الذكية لالتقاط البيانات من حقول الإدخال ومباشرة من ملفات التطبيقات “المثيرة للاهتمام”.

من ناحية أخرى، لا يقتصر “التسريب” من لوحة مفاتيح Android على النص المكتوب فقط. على سبيل المثال، تسببت لوحة المفاتيح AI.Type في تسرب بيانات 31 مليون مستخدم. ولسبب ما، جمعت بيانات مثل أرقام الهواتف والمواقع الجغرافية الدقيقة، وحتى محتويات دفاتر العناوين.

كيف تحمي نفسك من لوحة المفاتيح والتجسس على حقول الإدخال

• كلما أمكن، استخدم لوحة مفاتيح لا ترسل بيانات غير ضرورية إلى الخادم. وقبل تثبيت تطبيق لوحة مفاتيح جديد، ابحث في الويب عن معلومات عنه – إذا كانت هناك أي فضائح مرتبطة به، فستظهر على الفور.
• إذا كنت مهتمًا بملاءمة لوحة المفاتيح أكثر من خصوصيتها (لا نحكم على ذلك، فلوحة المفاتيح مهمة)، فانتقل إلى الإعدادات وقم بتعطيل خيارات المزامنة ونقل الإحصائيات حيثما أمكن ذلك. وقد تكون مخفية تحت أسماء مختلفة، بما في ذلك “الحساب” و”السحابة” و”ساعدنا على التحسين” وحتى “التبرعات عن طريق الصوت”.
• تحقق من أذونات Android التي تحتاجها لوحة المفاتيح وقم بإلغاء أي أذونات لا تحتاجها. ومن المؤكد أن الوصول إلى جهات الاتصال أو الكاميرا ليس ضروريًا للوحة المفاتيح.
• قم بتثبيت التطبيقات من مصادر موثوقة فقط، وتحقق من سمعة التطبيق، ومرة أخرى، لا تمنحه أذونات زائدة.
• استخدم الحماية الشاملة لجميع الهواتف الذكية التي تعمل بنظام Android وiOS، مثلKaspersky Premium.