子弹短信跑太快，隐私泄露涉黄，谁之过

小芳 · 发表于 2018-08-31 09:55:42 · 黑客新闻

2018年8月20日，子弹短信正式上线。老罗仍然用一贯“改变世界”的口吻向世界宣布，子弹短信上线仅7天完成第一轮1.5亿元融资。但是近日产品爆出“信息泄露”、“涉黄社交”等安全隐患，想要冲破微信、短信原有的社交生态，初生的子弹短信究竟能走多远？

“超高效率沟通”—子弹短信

子弹短信，是由北京快如科技研发、锤子科技投资的一款即时通讯App，其最大的亮点是高效沟通。

而这款次时代社交工具不仅支持语音、文本输入，同时还支持“语音输入、文字输出”。从子弹短信官微的介绍来看，“做一个超高效率的即时通讯软件”是子弹短信团队的愿景。而“语音”成为其突破的重中之重。

初版就功能来看，老罗和快如科技的确做出了许多尝试和努力，其中最主要的功能如下：

主要功能

以“语音”作为突破口，子弹短信选择与科大讯飞合作，用户可以自己选择发送信息的类型，用户可以同时发出「语音+文字」，其中语音可以拖动进度条，识别率高达97%。

除此之外，为了使用更加便捷，子弹短信采取了不安装也可以使用的设计。也就是说当其他用户收到了子弹短信之后，可以通过进入网页版直接查看信息并回复。

在国内的互联网大环境里，老罗似乎是个例外。他带着他的“锤子”一次次向我们走来，对于勇敢的“异世者”我们总是充满期待和宽容。

这次的子弹短信也不例外，正式上市后热度迅速飙升，上线两天冲到了 App Store 社交免费排行榜第 2 名，上线九天其激活用户量就超过4,000，000。

疯狂的热度和期待背后，我们暂时没有迎来社交方式变革，反而暴露了“隐私泄露”、“涉黄社交”等一系列问题……

“任性条款”，信息泄露堪忧

在产品发布后，有人爆出子弹短信存在严重的漏洞。

网页版信息泄露

首先，个人信息可以通过网页浏览器查看，并且查看用户信息的页面采用可遍历的设计，还将用户ID直接作为链接地址，按照网址规则输入用户ID就可以查看到具体的用户信息。

而这用户信息不光子弹短信的ID，还包括账号所在地、对应的微博账号、微信账号、QQ信息、Smartisan账号等信息，最可怕的是这些在页面上被明文保存，当页面被打开这些信息也会被加载到本地，中间没有任何加密和其他安全措施。

也就是说，当你通过子弹短信发送消息时，会生成一个用户信息页面，里面记录该用户所输入的个人信息，并且该页面允许任何人查看。这样的“开放性”背后带来的的风险不可想象，首当其冲的就是“脱库”风险。在这样无加密的环境只需要编写一个程序，根据ID顺序依次访问各个网页并抓取其中字段信息，就可以得到一个庞大的用户数据库。