TGFC Lifestyle - Powered by Discuz! Board

标题: 苹果遭遇信任危机：对App Store安全漏洞噤声 [打印本页]

作者: 处男也是人 时间: 2015-9-21 10:47 标题: 苹果遭遇信任危机：对App Store安全漏洞噤声

posted by wap, platform: iPhone
腾讯科技梁辰 9月21日报道

在外界印象里，封闭的系统生态和严格的审查制度，使得苹果设备似乎有天然防御危机的屏障。但事实上，苹果的安全防御机制比想象的更加脆弱。

2013年，只用了不到30秒，国内白帽子团队KeenTeam就远程破解了当时苹果最新的操作系统iOS7.0.3，获取了该手机中的照片。2014年纽约举办的黑客大会上，安全专家乔纳森·扎德尔斯基展示了如何利用存在于iOS后台的“后门”服务，从iPhone中提取出大量数据。

安全领域从业人员一次次破解苹果成为展现技术最好凭证，但对普通用户来说，最近一次起广泛关注的是9月18日。当天，漏洞报告平台乌云网和硅谷安全公司Palo Alto均发布安全预警，苹果应用商店上架的网易音乐云等应用被注入第三方恶意代码，用户信息或早泄露。

iOS开发者和安全行业人士开始纷纷查找受影响的App。腾讯安全应急响应中心日后披露，其曾发现AppStore中已有76款应用被感染。

Twitter用户@fannheywrd（爱微创想iOS开发主管）爆料称，受影响的App已蔓延至火车订票应用12306和中信银行卡动卡空间。一时间，网络流传出多种安全解读和提醒，猎豹移动安全专家甚至提醒用户考虑修改密码和支付方式。

事情的转机出现在19日上午。一个名为“XcodeGhostSource”的账号在代码退管网站GitHub发布“关于所谓‘XcodeGhost’的澄清”一文中称，恶意代码源自个人实验，因10天前已关闭服务器，并删除所有数据，已消除影响。不过，腾讯科技浏览发现，该账号为新注册账号，注册时间为2015年9月19日。

有业内人士告诉腾讯科技，该作者并不希望被外界知道其身份。也正因为此，这份澄清声明的真实性引发业界热议。不过，这一声明获得多个安全领域专家转发。

然而，危机尚未解除。有业内人士回忆，Unix之父Ken Thompson在获得图灵奖发表感言时曾称，在编译Unix代码的C编辑器里留有“后门”。苹果iOS操作系统是属于类Unix操作系统。该业内人士提醒，在对此次事件分析时发现，借助这一漏洞，黑客在获得远程控制权限后，可以向“中标”手机下发任意指令。

腾讯安全应急响应中心称，9月16日已向苹果官方同步应用被感染情况。

9月19日，苹果向被感染手机程序开发者发出下架通知，建议手机程序编写者下载正版开发工具，重新编译相关程序后上传至AppStore。

以越狱出名的盘古团队也在当日发布了一款XcodeGhost检测工具。该团队称，已检测到超过800个不同版本的应用受到感染。不过，该消息未能得到苹果或第三方证实。

与以往恶意程序自身携带病毒不同，这次安全事件中，黑客第一次把恶意代码嵌入苹果应用开发的源头，欺骗对象转向开发者。对普通用户而言一旦使用了感染的App，其数据将上传至黑客指定网址，而一旦有App要求用户输入账户密码等隐私数据，隐藏在背后的灰色产业暴利相当惊人。

乌云平台已陆续曝出多起苹果系统级高危漏洞，在此次后门漏洞曝光过后，人们的确应当意识到，苹果并非永远安全的手机。

黑客利用设备信息可用于远程控制

代码分析结果显示，上报的信息包括App版本、App名称、本地语言、iOS版本、设备类型和国家码等信息。这些信息虽然不涉及到个人用户的隐私，但是可以精准地对不同的iOS设备进行区分。未经证实的前述声明也表示，其代码可以获取的只有App的基本信息。

这意味着，通过上报信息区分每一台iOS设备后，黑客可以通过iOS openURL这个API随时随地给任何人下伪协议指令。

“这时候黑客已经可以控制你的手机，达到他想要做的任何事情。”有安全专家向腾讯科技解释，“浏览网页、打电话发短只是最常见的功能，甚至可以对具备该伪协议的第三方App进行操作。”

不仅如此，黑客还可以控制弹出任何对话框，对用户进行诱导进行更进一步的安全危害。腾讯安全应急响应中心甚至发现，利用该恶意代码的漏洞甚至可以被中间人攻击。后者是一种黑客常用的古老攻击手段。

此外，腾讯安全应急响应中心还发现，除了已使用的上报域名地址“icloud-analysis.com”，此次还发现了其他三个尚未使用的域名。如果不是及时遏制，其影响范围可能进一步扩大。

开发者下载官方版本难引出黑产寻利

XcodeGhost被大规模发现之前。国家互联网应急中心曾在9月14日发布过预警通报。该通报称，检测中发现开发者使用了非苹果官方渠道的Xcode开发工具，而该工具中被植入恶意代码。

事实上，作为苹果官方开发工具，Xcode可以免费从应用商店下载。那么为什么有开发者选择了非官方渠道？

受访的多数苹果开发者告诉腾讯科技，原因只有一个，就是官方渠道下载速度非常慢。猿题库iOS开发工程师唐巧在社交网络上称，“每次下Xcode花个几十分钟非常正常，这才造成大家都用迅雷和百度网盘这种非官方渠道”。

互联网的云存储服务只是提供了一个更为方便的下载渠道。有消息称，此次安全危机的始作俑者的网名为“coderfun”，携带恶意代码的Xcode压缩文件上传至百度网盘后，将下载链接先后发布到多个开发者聚集的社区、下载站等。腾讯安全应急响应中心称，“coderfun”还是用了“Imznet”、“jrl568”等ID传播下载链接。

据悉，恶意代码被隐藏在了一个名为“CoreService.framework”的“系统组件”内，而官方下载的安装包并不存在这个目录和“系统组件”。

猎豹移动安全专家李铁军告诉腾讯科技，“黑产”希望通过收集用户信息，以便广告投放，后者存在利益空间。由于苹果限制比较多、审查比较严格，常用模式无法运行，因此只能从开发环节突破。尽管是有限的个人信息，但仍然有商业价值。

所谓“黑产”，就是指靠收集个人信息，出售个人信息牟利的一群人。

漏洞会引发苹果信任危机吗？

事件发生后，几家涉事公司纷纷提出了自己的。腾讯选择了更新版本，并且在发现bug的第二天，即9月13日已完成替换。9月18日下午15时，网易云音乐通过社交网络发布公告解释了发生危机的原因。

尽管苹果最终在19日下架受感染应用，但李铁军表示，唯一的方法是等待开发者重新发布安装包替换。用户可以选择卸载，或者等待升级更新。

但苹果在漏洞发生后一段时间的失语，让外界有了更多的猜测。随着自媒体的发酵以及更多的人加入讨论，该漏洞被更为深入地解读。虽然并未没有直接的证据指出，该漏洞会窃取与财产相关的个人账号信息，但由于此次“中招”App包括火车订票软件和银行软件，所以也有分析称，用户的财产安全或受到威胁。

一旦有App要求用户输入账号密码，这背后隐藏的灰色暴利将会相当惊人。中国漏洞库专家委员会蔡晶晶接受中央电视台采访表示，正常用户访问的一次点击广告的价值是1至2元人民币，一个亿用户量每个用户推送一个广告，我们知道背后的价值有多达，这就是传统意义上的黑色产业链。

截至腾讯科技发稿时，中国市场并没有更进一步爆发新的安全事件，也没有相关信息和财产损失的报告。多位受访安全人士判断，此次危机主要是对开发者发出了警告，敦促其避免使用来历不明的开发工具，相反对用户而言，影响并不大。

不过，也有分析人士指出，苹果消极对待，也没有对开发者和用户及时发出提醒，或使其声誉受损，甚至会造成更大的信任危机。

作者: ff_cactus 时间: 2015-9-21 10:50

posted by wap, platform: iPhone
人家明明作出了解释并采取了行动。

作者: kimura25 时间: 2015-9-21 11:04

posted by wap, platform: iPhone
日本的衛生間真的都很乾淨嗎？
日前幾位遊客抱著小孩在盥洗盆裡大便的遊客被目擊到...

作者: 绯雨流 时间: 2015-9-21 11:07

这标题党绝了

作者: godzillaqqq 时间: 2015-9-21 11:08

posted by wap, platform: iPhone
与其把指纹交给360 还不如给苹果不是说苹果就怎么样. 至少洋大人的法律健全些

作者: jun4rui 时间: 2015-9-21 11:18

posted by wap, platform: Chrome

引用:

原帖由 @godzillaqqq 于 2015-9-20 15:08 发表
与其把指纹交给360 还不如给苹果不是说苹果就怎么样. 至少洋大人的法律健全些

但是在我国范围内，苹果不是要遵守本地法律吗？服务器都在国内

作者: 脆骨 时间: 2015-9-21 11:21

posted by wap, platform: Chrome
国内安全一泡污，还记得以前360和腾讯狗咬狗说扫用户硬盘上传密码的事么？前几天下了一个安卓游戏，弹各种广告，安装各种东西

作者: squallssck 时间: 2015-9-21 11:32

这次问题苹果的确没法洗地，apple store的慢和不稳定也不是一天两天了，这个问题不解决以后还要出事。

作者: palytoxin 时间: 2015-9-21 11:39

posted by wap, platform: iPhone
苹果ide安全自检不到位确实该喷，但这次最开喷的是不是分发给开发者ide的公司it部门？我之前写代码都是从官方下载，但是我们领导都是从不知道从哪里百度来的给我们分发。

作者: 11508721 时间: 2015-9-21 11:39

posted by wap, platform: Firefox
新闻上说，xcode问题是开发者通过非官方渠道下载了被植入恶意代码的xcode开发软件导致的

作者: 被K汉姆 时间: 2015-9-21 11:40

从官方下载的实在是太慢了
我都是网上找的百度盘资源
这个问题出来以后我第一时间就看了幸好我的xcode没中标

作者: chronicle1st 时间: 2015-9-21 11:41

从xcode这个事件可以看出：
1.国内开发者必须死。
2.土狗必须死。
2.安卓安全性令人担忧。

作者: ppigadvance 时间: 2015-9-21 11:42

密码可以换，指纹确实我很不放心，不管交给谁。。

作者: shinsuke 时间: 2015-9-21 12:09

posted by wap, platform: Android
苹果一向安全性较好所以出事大家反应都比较大，同样的事情，你从网上下了非官方软件中毒，找谁去

作者: ff_cactus 时间: 2015-9-21 12:13

posted by wap, platform: iPhone
这事只能怪开发者，你开发工具都不从官网下，可见极不专业。又不是要你天天下，慢点能咋滴。

作者: FoxfoO 时间: 2015-9-21 12:19

posted by wap, platform: iPhone
各种安卓市场上的各种不知道被谁重编译过的各种软件包笑了
这事儿，放在安卓手机上根本不是个事儿。

作者: FoxfoO 时间: 2015-9-21 12:20

posted by wap, platform: iPhone

引用:

原帖由 @jun4rui 于 2015-9-21 11:18 发表
但是在我国范围内，苹果不是要遵守本地法律吗？服务器都在国内

又来了
对隐私的担忧难道是针对tg的？

作者: wangmax 时间: 2015-9-21 12:21

可见国内开发环境多恶劣，开发者自己安全意识一点没有。
xcode我都是官网下的，慢是慢点，但下班的时候挂上，第二天上班也就OK了，也不是什么太麻烦的事。
ide这种东西怎么能偷懒呢，如果出问题，开发的时候都判断不清是代码还是工具本身的问题。
但苹果也真是够烂的，同样是ide，vs之类的，怎么就没出过这种事情呢。

作者: wangmax 时间: 2015-9-21 12:23

引用:

原帖由 FoxfoO 于 2015-9-21 12:19 发表
posted by wap, platform: iPhone
各种安卓市场上的各种不知道被谁重编译过的各种软件包笑了
这事儿，放在安卓手机上根本不是个事儿。

但eclipse没出过被篡改的事情。

作者: SONIC3D 时间: 2015-9-21 12:43

引用:

原帖由 wangmax 于 2015-9-21 12:21 发表
可见国内开发环境多恶劣，开发者自己安全意识一点没有。
xcode我都是官网下的，慢是慢点，但下班的时候挂上，第二天上班也就OK了，也不是什么太麻烦的事。
ide这种东西怎么能偷懒呢，如果出问题，开发的时候都判断 ...

VS需要安装，如果修改内容需要重打包，重打包会破坏msi包的数字签名
而apple的应用程序都是直接.app的裸包目录结构，容易攥改，如果哪天XCode也用pkg形式发布，那其实可以做到没有这种问题，因为pkg也是可以数字签名的，直接系统自带了Apple自己的信任证书就可以识别。

作者: lionheart007 时间: 2015-9-21 12:54

posted by wap, platform: iPhone
腾讯自己用非法开发工具在微信用户中传播病毒还有脸说苹果有安全漏洞？

作者: beterhans 时间: 2015-9-22 08:10

posted by wap, platform: iPhone

引用:

原帖由 @squallssck 于 2015-9-21 11:32 发表
这次问题苹果的确没法洗地，apple store的慢和不稳定也不是一天两天了，这个问题不解决以后还要出事。

解决不了的外企就是故意干扰减速的

作者: 无责任灰猫 时间: 2015-9-22 08:34

posted by wap, platform: Meizu MX4

引用:

原帖由 @beterhans 于 2015-9-22 08:10 发表
解决不了的外企就是故意干扰减速的

呵呵，为啥同是外企的微软就没苹果那么严重的速度问题呢？

作者: sleepd 时间: 2015-9-22 08:53

posted by wap, platform: iPhone

引用:

原帖由 @无责任灰猫于 2015-9-22 08:34 发表
呵呵，为啥同是外企的微软就没苹果那么严重的速度问题呢？

我觉得这个锅大概应该GFW来背

作者: 无责任灰猫 时间: 2015-9-22 09:06

引用:

原帖由 sleepd 于 2015-9-22 08:53 发表
posted by wap, platform: iPhone
我觉得这个锅大概应该GFW来背

这个锅GFW真的不用背。不管墙不墙，指望越洋光纤速度超过本地cdn的加速是不现实的。何况苹果服务器就我所知压根没墙过。说到底就是苹果抠门而已。

作者: 柯布西耶 时间: 2015-9-22 10:07

所以依各位洗地的结果，不管是这次事件还是以后，水果是一点责任都没有喽？一点行动都不需要喽？

作者: amk4amk4 时间: 2015-9-22 10:21

引用:

原帖由 无责任灰猫 于 2015-9-22 08:34 发表
posted by wap, platform: Meizu MX4
呵呵，为啥同是外企的微软就没苹果那么严重的速度问题呢？

微软速度没问题？精品网下面更新不了系统补丁，登不上的ONEDRIVE一定不是微软的产品

作者: 钟欣潼 时间: 2015-9-22 10:38

苹果上的事情，而大家得出安卓必须死的结论

作者: benbensoldier 时间: 2015-9-22 11:03

这贴基佬怎么不来战呢？

作者: Alloyo 时间: 2015-9-22 11:07

posted by wap, platform: Firefox

引用:

原帖由 @wangmax 于 2015-9-21 12:21 发表
可见国内开发环境多恶劣，开发者自己安全意识一点没有。
xcode我都是官网下的，慢是慢点，但下班的时候挂上，第二天上班也就OK了，也不是什么太麻烦的事。
ide这种东西怎么能偷懒呢，如果出问题，开发的时候都判断不清是代码还是工具本身的问题。
但苹果也真是够烂的，同样是ide，vs之类的，怎么就没出过这种事情呢。

不是开发者没有是开发大环境本身就糟透了

多少外包小工作室连mac mini都不舍得,从x宝买来黑苹果,克隆的系统,分包来项目快进快出....

这是一个产业链

作者: FoxfoO 时间: 2015-9-22 12:39

posted by wap, platform: iPhone

引用:

原帖由 @钟欣潼于 2015-9-22 10:38 发表
苹果上的事情，而大家得出安卓必须死的结论

因为安卓上的同类问题不知道比iOS严重多少

欢迎光临 TGFC Lifestyle (http://bbs.tgfcer.com/)