# “一旦你的 Glass 被黑掉，没有什么是安全的了”

- 作者：积木
- 发布时间：2013-05-02 07:28
- 分类：公司
- 原文：https://www.ifanr.com/284914

[![sightmovie](https://s3.ifanr.com/wp-content/uploads/2013/05/sightmovie.jpg)](http://www.ifanr.com/284914/sightmovie)

由于 Google Glass 对第三方开发者的限制，我们曾认为 Google 要做一个封闭的生态系统。不过，从 Google 员工那里，却传出了不同的声音。 针对 Glass 被 Root 的新闻，Google Glass 的开发者之一 [Stephen Lau](http://www.ifanr.com/news/284190) 在 Google+ 上说，“我们故意不锁上这个设备，让大家破解并且做一些疯狂有趣的东西。”

其实，这只是针对开发者群体的言论，与 Google 的策略不冲突。对于用户来说，多数不会因为“疯狂有趣”去 Root 设备，因为那会带来许多安全上的隐患。特别是对于 Glass 这种新型设备来说，人们可能更加谨慎。Google 董事长施密特在接受路透社采访的时候，曾说 Google 会对所有的应用进行审查 ，“它是如此新奇，我们决定更加谨慎些。在未来更加开放些总是容易的”。

不过，在 Saurik(Jay Freeman，iOS 越狱界著名黑客，Cydia 创始人)看来，Glass 的安全问题需要获得更大的关注。他在[博客](http://www.saurik.com/id/16)上讲述了自己破解 Google Glass 的过程。

Saurik 取得 Root 权限的方法使利用了 Android 系统上的一个漏洞。

> 这个漏洞如此简单，你可以仅仅用一些文件就能实现，无需任何特殊工具。想要进行破解的话，你只需要 Android SDK 安装电脑上，以及我的两个文件：exploit.db 和 su。

从 Glass 目前的设计看，它会面临 Android 设备常见的安全问题，而且 Glass 没有任何 PIN 码保护机制。攻击者可以使用设置面板进入 Debug 模式（开发者版中有这个模式），通过 ADB 获得 Root 权限。他甚至可以在你在场的情况下安装恶意软件，需要的只是口袋中的 Android 设备，以及一根隐藏在衣服中的 OTG 数据线。

一旦攻击者取得 Glass 的 Root 权限，他能够做些非常可怕的事情。

> 他能够控制你头部的摄像头和耳机。Glass 不仅观察你的每一个举动：它观察你所看到的所有东西（有意或无意），听到你做的任何事情。 它唯一不了解的是你的想法。

更要命的是，“它会 hack 进你所交互的所有设备。它知道你所有的密码，因为它能看着你键入它们。它甚至能够监控你对一些安全、旧式技术的使用： 它看到你输入门锁密码，它会拍摄你的钥匙，它记录了你用笔纸写下的东西。一旦你的 Glass 被黑掉，没有什么是安全的了”。

Saurik 认为，Google 应该采取一些措施，以保护用户的数据安全。

- 在用户摘掉 Glass 后，启动一些保护机制。比如虹膜识别，声纹识别，或者简单的 PIN 码保护。这样可以避免他人直接查看用户隐私数据。
- 应该有一些方法，让用户确信 Glass 没有在录制视频。Saurik 的一个朋友提到，摄像头外面可以使用滑动的塑料罩，以明确表明设备并未进行录制。
- 在与开发者社群交流的时候，应该更加谨慎。Saurik 指出，在看到 Glass 被 Root 的信息后，Google 员工的言辞很不谨慎，他们用玩笑态度对待，甚至提供错误信息，以至于 Ars 网站在报道的时候，说“开发者是否真的获得 root 权限，或者仅仅利用了 Google 提供的 “fastboot OEM unlock” ，这引起了一些争论”。因此，“在 Google 的工程师、拥护者和官员们未曾事先看待事实就发表了此类言论的情况下，无法对系统进行任何形式的合理及有据的讨论。 Google 试图用 Glass 开启的门过于宽大，影响面过于广泛，以至于我们不能允许这样的随意言论主导讨论的进程”。

Glass 的安全问题已经受到开发者的关注。根据 [Slashgear](http://www.slashgear.com/google-glass-bulletproof-lockscreen-adds-unofficial-wearable-security-01280077/) 的报道，已经有一位开发者做出了 Glass 上的锁屏应用，不过它是本地应用，需要设备进入 Debug 模式，通过 adb 工具安装。

图片来自 [ Verge](http://www.theverge.com/2012/7/29/3198083/watch-this-sight-augmented-reality-lenses)