近日一篇研究引起了傳媒報導，稱黑客能透過戶聯網窺探Honor、OPPO、Samsung、Vivo和Xiaomi智能電話的所有鍵盤輸入，指透過入侵家戶路由器，截取所有輸入資料而獲得密碼和敏感資料，不過受影響的暫時只限使用中文拼音的輸入系統。
拼音鍵盤的安全漏洞
拼音輸入法在華語社會普及程度甚高，估計用戶人數超過10億，而導致這次危機的成因，是因為中文輸入(尤其拼音)比其他語言在智能電話上直接進行單字預測更加困難，所以大部份輸入法都使用「cloud prediction」，即是把用戶透過拼音輸入的文字即時發送到伺服器，在完成建議後再瞬間送回手機上，有時候能關閉這項「雲端」功能，但會降低輸入速度和認字的質素。儘管理論上鍵盤輸入的所有文字通過雲端預測系統時需經過特別加密，然而很多開發商都無法正常執行，結果所有輸入和預測的結果輕易被外人解密。
根據研究報告，只有Huawei的智能電話能正確執行TLS加密和抵抗攻擊，Baidu、Honor、iFlytek、OPPO、Samsung、Tencent、Vivo和Xiaomi都存在不同程度的安全漏洞，Honor和QQ在研究人員聯絡後仍然沒有提供更新，對拼音用戶，建議使用或更新到最新版本的輸入法。
其他語言輸入法有問題嗎？
由於大部份語言的文字和句子都能透裝置直接預測，所以常見的輸入法都不需要文字的資料傳輸，不過輸入的文字也有可能會因為個人字典、machine learning或其他原因而發送至伺服器，用戶可能有個別伺服器儲存的偏好，然而並非所有人都想資料與他人分享，在2016年SwiftKey鍵盤的事故中就發生外洩電郵地址和個人字典，事後Microsoft暫時停止同步服務，大概是為了修復錯誤。
研究人員也展示了受歡迎的鍵盤，例如Google的Gboard和Microsoft的SwiftKey都會發送每個文字輸入的metadata，包括語言、句子長度、準確輸入時間和在哪個應用程式上輸入文字等，SwiftKey更會發送關於節省多少時間、幾個文字是完全輸入、幾多是自動預測和幾多被刪去等統計，如果配合獨一無二的廣告ID，就很有可能在任何通訊程式確定用戶之間的聯繫。如果是SwiftKey的用戶而沒有關閉「Help Microsoft improve」的選項，便會有文字的「小樣本」傳送到伺服器，到底樣本有多小和用途不明。Google則容許用戶關閉Gboard的「Share Usage Statistics」選項，將停止傳送文字長度和使用鍵盤的應用程式的資料。
鍵盤以外的資料外洩源
應用程式即使不使用鍵盤也能截取敏感資料，例如TikTok監察複製到剪貼簿上的資料，此功能似乎並非社交媒體所必需，此外即使不鍵入文字，近年大熱的AI也成為資安缺口，Type鍵盤就被發現3100萬用戶資料外洩，該應用程式收集電話號碼、準確地理位置甚至通訊錄的內容。
防範窺探鍵盤和輸入
- 盡量使用無需傳送資料至伺服器的輸入法，在安裝新輸入法前先進行資料搜集。
- 到設定關閉同步與統計資料
- 檢查並移除輸入法非必需的權限，例如存取相機和聯絡人資料。
- 從可信任來源安裝應用程式，不要給予過多權限。
- 使用可靠的保安方案
資料來源：Kaspersky Blog
