怀疑百度手机输入法窃取用户信息

[4faramita]

今天在公司电脑上看cb，底下的推送广告竟然显示了一个我只在手机上输入过的关键词！我十分确信我从没在电脑上打过这个词，百分百确定没在公司电脑上打过这个词！
（要不是公司浏览器没弄μblock我到现在还不知道呢）
怀疑一圈只能怀疑到百度输入法上了。一周以前我还在用搜狗，最近被他的删退烦得不得了，换了百度，结果就出了这种事。
目前已经切回自带的九宫格了，在这里 郑重提醒大家！（我猜你们早就知道了:)

但是自带的真的不好用啊...没有云词库就很不爽，关键他还特别卡，让我深深怀疑是不是谁弄了个5s装在了我6的外壳里...所以顺道求推荐啊

“不要用国产软件！”

哦。。。知道了。。。

突然想起来这个图
http://no.pingwest.com/n/1584.html

百度论用户数据的价值

[steveshi]

自带的怎么会卡？

[xFan]

- -会不会是你的手机 和电脑的浏览器 同步数据了呢?

[4faramita]

@xFan 手机用safari 电脑用chrome 没装icloud插件同步 应该不会吧
电脑上装了个uc的同步插件 但是手机上多年没开过uc了
嗯 不太可能。。。

[binux]

为什么从来都没人想办法重现呢？

[Phant0m]

google 大法好～

[4faramita]

@steveshi 跟百度搜狗之流比，按下按键之后反映明显慢很多呀 就是从手指按下，到视觉上提示，到提示消失，要很久啊
而且打开选字列表竟然还掉帧。。。你对比一下就知道咯
其实还有一点不能忍，就是快速输入的时候有时候如果手指稍有滑动，就会变成那一个方向对应的某个字母，那个字母又往往不是我想要的。。。百度也有这个功（mao2）能（bing4），但是可以通过打开滑行输入来间接关闭；官方的你奈他何

[4faramita]

@Phant0m 哈哈哈你看看前两天说android上百度自动复制剪贴板那个

[tang7h]

自带只是九宫格按键小（6以前），怎么会卡。没有云词库其实首选率已经很不错了。
国产输入法那么丑，还是不要考虑了吧。

[4faramita]

@binux 因为。。。他们觉得自己隐私不值钱？
而且其实ios上最好用的就是百度了，各种意义上讲（除了词库）
你要是就是输入强需求，那就还得用 还能怎么办

[scenix]

嘎嘎 可惜这里不像知乎一样可以匿名 否则我真想爆料。 不过本人还是很习惯用国产软件的 隐私早就被扒光看习惯了 也就那么回事 你以为你是主席哦 谁没事盯着你看~~~

[killerv]

输入法收集拼写的词汇很普遍，云输入的词汇就是这么积累的吧，只是百度用来做广告精准投放才让楼主察觉出来而已。

[4faramita]

@tang7h 额这个。。。首选率确实特别优秀，特别是长句子 有时候我都觉得百度是故意把我想要的词藏起来了==
但是卡也确实是卡的 如果你用过第三方输入法的话应该很明显呀
就是感觉自带的特别。。。重 你可以对比一下按键按下的动画和选词列表打开的效率 跟百度/搜狗都行 讯飞都行 都比自带块

[BOYPT]

这算啥？说不定你敲了敏感词就把你的位置发送到国宝的服务器去记录了。

[4faramita]

@scenix 很有趣的样子 你赶紧的把这条删了然后去知乎答题去hhh

[killerv]

@BOYPT 这个不是说不定，肯定是这样，看过一篇文章分析支付宝插件都有这个功能。

[4faramita]

@killerv 对呀
我觉得收集和拿去赚钱是两回事 特别是这么敏感的入口
（那句免费软件的用户就是商品真是历历在目）

[binux]

@4faramita 你可以发个重现教程，搞个大新闻啊

[4faramita]

@killerv
@BOYPT
我去 我去 我孤陋寡闻了 好可怕
用端到端加密的会不会避免这个问题？

[honeycomb]

“但是自带的真的不好用啊...没有云词库就很不爽，关键他还特别卡”

只好说宁缺毋滥

举个例子
Google Pinyin确实词库非常烂，但是通过它输入的时候我非常有信心


关于云词库，因为云词库的内容必然会发到云端，所以这个功能肯定是禁用的，如果使用第三方输入法，可能会额外地在防火墙一层阻止其联网。

[4faramita]

@binux 我想想。。。
需要一个干净的测试环境
然后需要一个不热门又有人投放相关广告的关键词
这两点都挺难的。。。好难取证

[4faramita]

@honeycomb 你说的也是 我自己要求云词库 又要求不泄露隐私 也真是自相矛盾

应该不登陆帐号 全程vpn 敏感信息用自带输入法 这样就能享受云输入的同时不暴露了吧

话说不知道收集输入法会分析上下文么

[jasontse]

你访问过带百度广告联盟的网页就会被抓关键词

[4faramita]

@jasontse 可是我没在微信以外的任何地方输入过这个词 我很确定 因为是一个比较特别的词

[7colcor]

旧闻啊，在国内横着走习惯了，一出国就被国外逮个正着。
前年的新闻，好像

[lxrabbit]

我觉得反正都是往服务器传用户词库,于其用个用户少的,不如用个用户量大的,起码后者接受监督的机会更多

[233]

推荐lz再试试其他无关痛痒的关键词，比如留学，电饭锅，阳痿。。。看看还会有同样事情不

[scenix]

LZ 一般来说 用户输入的商业词是不会被当做广告的trigger word的。你是不是在手机上搜了这个词？搜索行为的权重很高哦

[pi1ot]

除非你在两处都登录了百度帐号，否则证据不足

[4faramita]

@pi1ot 还真是都登陆了

[4faramita]

@233 诶可以 阳痿从来没试过 可以试试 :)

[4faramita]

@scenix 对 我见识过搜索之后广告立刻变了主题 但是这个词确实没有搜索过 无论手机pc

[4faramita]

@lxrabbit 可是这用户量大的这位确实臭名昭著啊 也没有相关的监管规定吧？

[jason52]

我想到了一个方法，你用它云输入功能可以，但是不要登录就行了。这样对于该用户标示符就是一个cookie而已。反正他也没办法给你推送广告。哈哈。

对于桌面端 ~\AppData\LocalLow\SogouPY\，你备份这个文件夹就行了。我鼓捣了一下这个文件夹下的内容，除了一些皮肤，推送的广告，最重要的个人数据就是那些 bin的二进制文件，也就是你的个人词库，把那些丢在网盘里面就行了。

而且，Phrases.ini 这个 “; 搜狗拼音输入法--自定义短语配置文件” 貌似也不同步，还不如我手工同步呢。

推荐一些自定义短语，配合谷歌有奇效。
vs , 1=site:stackoverflow.com
vg , 1=site:github.com
vr , 1=site:http://www.reddit.com/
vh , 1=site:https://news.ycombinator.com
vp , 1=site:pan.baidu.com
vv , 1=site:v2ex.com
vz , 1=site:zhihu.com
vkx, 1=site:pediy.com

[4faramita]

@7colcor 有没有关键词什么的提示一下？我找找

[4faramita]

@jason52 你说的很有道理啊 咱俩想一块去了
为了云词库 手动同步也值了
但是如果输入法分析你输入环境的上下文 这一招就不行了吧

[predator]

有自建网站的同学可以试试：开着搜狗输入法敲一条自己网站域名下完全不存在的杜撰URL，然后打开网站的日志蹲守——过一会搜狗的爬虫就来了，即使你在robos.txt里面明确拒绝搜狗爬虫也没用。你就是个商品，人家才不会管你有什么声明呢。

[4faramita]

@jason52 哦对 百度输入法还会检测你手机里其他百度产品登陆的帐号 所以一并注销干净了才行吧

[4faramita]

@predator 这个还真的听说过
这种”卖就卖了谁教你用呢“的风气太可怕了

[killerv]

@4faramita 如果你有兴趣，可以搜索一下，在win环境下支付宝确实是常驻后台，我想不明白一个浏览器控件有什么理由常驻后台，至于有没有异常流量，个人没有分析过，但是网上有分析的。

[jason52]

[4faramita]

@killerv 确实总能看到那个进程 我查查

[4faramita]

@jason52 诶 确实好用
多谢！

[rrfeng]

输入法本来就会获取输入作为词库的啊

然后把词库变成推送广告的依据貌似也顺理成章…虽然确实十分恶心。

[4faramita]

@rrfeng 唉 大家都认为顺理成章才是这个问题的可怕之处

[honeycomb]

@4faramita

完整的保护措施还需要在浏览器端下点功夫

比如Google Chrome+uMatrix+uBlock(Easylist China)的扩展组合

如此可以做到百度无法以第三方的形式被你的浏览器访问到，那么就没有用户追踪，也没有来自百度的广告，因为它根本就不知道你访问过那个网站

在Firefox的类似组合还有
Noscript+Adblock Plus(可能需要“可接受广告白名单")/Adblock Edge(Fork于某个版本的Adblock Plus)


如果是视频方面的广告，需要去卡饭论坛找，这个方面考虑到它修改了视频网站flash播放器，涉及反向工程(就像珊瑚虫和QQ那样)，不是非常推荐(宁可让优酷黑屏一分钟)

[camillo]

百度输入法英文输入标点输入过于诡异 而且输网址邮箱地址之类不够智能 不能导入自带自定义词汇 就弃了……
要是原生输入法加个双拼就好了……

[lingo233]

我习惯用自带，我嫌麻烦而且我从来不信什么体验之类的

[zeroten]

这还用怀疑，肯定的

[heavensing]

不用怀疑,就是...
去年日本那边就报道过百度日语输入法出事的事情,公司还特地在软件的Blacklist把他加上了...群众们纷纷感到惋惜,表示这是他们用过的最好的日语输入法...

[zjuster]

自带全键盘是用的最舒服的。

[4faramita]

@heavensing 我还真用过这个 可是不好用啊。。。。
我已经换到讯飞了 刚好看见更新（不过天下乌鸦一般黑吧

[shsf4]

你在用淘宝，qq，微信，微博，你觉得你还有隐私么

[xcv58]

这还用怀疑？

[Yvette]

iOS自带的也有所谓云词库的啊，在Mac和Win还有iOS都是用原装的输入法，省事又好用。实在是受不了各种傻X广告

[Eleutherios]

@4faramita 其实无所谓取证了。
当你发出这条信息的时候，稍微懂一点儿的人都不会觉得你在杜撰，而是“哈，果然是这样”。

[4faramita]

@Yvette 对对对 经常能在自带的输入法里看到许多很新的词 一直很好奇是怎么更新的

[yaoyuan1072]

1.通过记录用户的数据，推送广告是肯定的，
2.甚至能记录输入的密码，以后输入密码的时候还是小心了，
3.俺用系统自带全键盘好久也习惯了。。

[asca]

iOS 我一直在用手心输入法，目前来看还是最干净的。

[vbvb]

@pi1ot 我靠！！！徒总？

[sunocean]

andriod和widows 你用必应啊，选择云同步，次数多了一样好用

[ghhardy]

不要怀疑了，看看它要的权限就相信了，百度的应用要的权限是最吓人的，看了我就不装了

[panda]

我的手机QQ输入法想同步词库也不行，竟然不是同电脑上的QQ输入法共通的，真是没作为。

[Eleutherios]

来用RimeIME吧 不仅开源,还可以跨平台同步哟

[Rorysky]

@4faramita 讯飞 的语音输入很牛逼，基本常用语普通话都能准确识别

[4faramita]

@Rorysky 但是iOS上点了还得跳转到应用内 不能当场用 很不方便 还不如越狱版本

[4faramita]

@Eleutherios 试用了，快是真快，但是词库也真小...另外没有iOS版本

[4faramita]

@sunocean 是iOS....另外bing的win版本没有按键纠错 我这手残党还挺需要那个的

[4faramita]

@asca iOS上真的不好用。。。不好用。。。不好用。。。重要的事情说三遍 我装删好多次
另外 据说他可是数字公司旗下的哟 :)

[4faramita]

@yaoyuan1072 密码还好吧 基本上都会调用系统的密码键盘
自带的中文键盘水平比着英文键盘还是差远了 输入英文都不用看

[Eleutherios]

@4faramita 基础词库确实不大,不过可以"自定义"和"自动学习"(好像 = =?)
另外词库存在本地,加上SEAFILE的跨平台同步(client side encryption),目前用着还可以.

手机是隐私泄露机中的战斗机. 总有很多组织能拿到你手机上的数据.
所以在享受手机的便利的时候, 你应该很清楚自己"正在原野上的玻璃房里洗澡".

[4faramita]

@Eleutherios 哈哈哈听说有人导入了搜狗的词库 然后就华丽丽的变·卡·了==
你这个比喻真不错

[asca]

@4faramita 据说是数字公司，但是目前来看还是比较有节操了，即便真的是数字公司旗下那也不一定就会流氓，因为现在腾讯百度金山的流氓程度比数字更甚。