轉(zhuǎn)帖|行業(yè)資訊|編輯:龔雪|2015-09-30 09:08:50.000|閱讀 180 次
概述:最近這幾天,在App Store上架的網(wǎng)易云音樂等多個應(yīng)用被注入Xcode第三方惡意代碼,會將用戶信息發(fā)送到病毒作者服務(wù)器,由此刷爆朋友圈。今日小編為大家整理了關(guān)于XcodeGhost事件的10個熱點問答,稱受XCodeGhost事件影響的APP可能有30多款,基于安全考慮,最好對涉及到密碼、支付方式等進行修改。
# 界面/圖表報表/文檔/IDE等千款熱門軟控件火熱銷售中 >>
最近這幾天,在App Store上架的網(wǎng)易云音樂等多個應(yīng)用被注入Xcode第三方惡意代碼,會將用戶信息發(fā)送到病毒作者服務(wù)器,由此刷爆朋友圈。今日小編為大家整理了關(guān)于XcodeGhost事件的10個熱點問答,稱受XCodeGhost事件影響的APP可能有30多款,基于安全考慮,最好對涉及到密碼、支付方式等進行修改。
源于9月18日烏云網(wǎng)公布的一則分析報告:XCode編譯器里有鬼 – XCodeGhost樣本分析,這份純粹的技術(shù)分析報告引爆中國iOS生態(tài)鏈的眾多開發(fā)者。
有些程序員使用了第三方Xcode編譯器,這些編譯器編寫的APP存在安全問題,當(dāng)它們上傳到AppStore之后,被用戶下載安裝,它們會偷偷上傳軟件包名、應(yīng)用名、系統(tǒng)版本、語言、國家等基本信息。
從病毒樣本的分析看,這些泄露信息其實并不涉及太多的隱私問題。值得注意的是,病毒擁有更多的權(quán)限,它們在iPhone/iPad上彈出釣魚網(wǎng)站頁面,可能騙取iCloud帳號密碼,或者其他關(guān)鍵信息。
據(jù)分析,受XCodeGhost事件影響的APP可能有30多款,包括微信、網(wǎng)易云音樂、網(wǎng)易公開課、我叫MT、同花順、南京銀行、南方航空、中信銀行行動卡空間、名片全能王、憤怒的小鳥2等等比較熟知的應(yīng)用。
安裝這些應(yīng)用的iPhone/iPad用戶可能泄露基本的信息。如果在近一段時間(1-2個月內(nèi)),普通用戶在這些受影響的應(yīng)用中輸入過敏感信息,如icloud密碼、信用卡信息等,這些信息理論上也可能被泄露。基于安全的考慮,最好對涉及到的密碼、支付方式等進行修改。
以往人們普遍認(rèn)為,只要不越獄,只從官方應(yīng)用市場下載軟件,iPhone/iPad就是安全的。現(xiàn)在,這個神話破滅了。開發(fā)工具中做手腳 ,可能騙過那些聰明的程序員,在編譯自己的應(yīng)用時,把有害代碼加進去,威脅用戶數(shù)據(jù)安全。
甚至這種攻擊方式繞過了AppStore的安全審核機制,使得官方商店的防護也不如以往那樣可信。
總的來說,iPhone/iPad不越獄的風(fēng)險仍然可控,盡管這次蘋果的安全審查未能檢測到威脅。用戶仍然只能從官方市場下載應(yīng)用,比安卓上混亂的應(yīng)用市場還是要好一些。
另外,需要提醒蘋果用戶注意的是,并不是手機不中毒就安全,目前大量安全事件其實并非手機端的病毒制造的,信息泄露、網(wǎng)絡(luò)釣魚、電信詐騙等幾乎無處不在,提高安全意識才是防范風(fēng)險最有用的手段。而這些,顯然不能僅僅依靠手機端的安全軟件來解決。
再次建議iPhone/iPad用戶不要越獄,只從官方市場下載軟件。當(dāng)有人試圖套取你的iCloud帳戶密碼或者其他重要帳戶密碼、手機驗證碼時,必須謹(jǐn)慎對待。為確保安全,用戶也可以選擇暫時卸載那些受影響軟件。保險起見,修改iCloud帳戶密碼。再次強烈建議開通iCloud雙重驗證,方法可參考百度經(jīng)驗的技術(shù)文章。
#XcodeGhost#始作俑者@XcodeGhost-Author 向公眾致歉,稱這是一個“實驗”、“并未制造威脅性行為”,并上傳源碼供研究人員分析,業(yè)內(nèi)人士從源碼判斷“可信度較高”。
前,該事件并未上升到草木皆兵的地步,iCloud帳戶及其他重要帳號,建議網(wǎng)友開通雙重驗證(即除了用戶名密碼驗證,再開通其他方式比如手機驗證碼驗證動態(tài)密碼)。安全專家總在反復(fù)強調(diào)不要重復(fù)使用密碼,不要使用過于簡單的密碼,這些都是非常重要的建議。當(dāng)安全事件到來時,有所準(zhǔn)備的網(wǎng)友受到傷害的可能性最低。
程序員使用Xcode非官方版本,可能有兩個原因:官方渠道下載緩慢,或者開發(fā)者使用了黑蘋果(盜版蘋果系統(tǒng))開發(fā)。
這件事給程序員敲響警鐘,要安全,首先得保證自己的開發(fā)工具安全。程序員被黑客暗算的事兒曾經(jīng)多次發(fā)生,無論如何,建議使用正版、未被非法篡改過的開發(fā)工具編寫程序,避免你的用戶成為受害者。其次,編譯環(huán)境、發(fā)布環(huán)境的安全值得注意,編譯服務(wù)器和自動發(fā)布服務(wù)器,應(yīng)保持干凈的環(huán)境,不要隨意安裝來源不明的可疑軟件。
顯然,蘋果會修補這次安全事件造成的影響,安全審查會變得更嚴(yán)格。但蘋果不會為某些軟件(比如安全軟件)提供更多權(quán)限。
安全是動態(tài)的過程,今天認(rèn)為安全的保護措施,可能在未來某個時刻被新的攻擊方法突破,或者總有漏洞被黑客發(fā)現(xiàn)。一個完全不會被攻克的系統(tǒng),只能是神話。
PS: 關(guān)于網(wǎng)絡(luò)安全,這些產(chǎn)品你可以關(guān)注>>
本站文章除注明轉(zhuǎn)載外,均為本站原創(chuàng)或翻譯。歡迎任何形式的轉(zhuǎn)載,但請務(wù)必注明出處、不得修改原文相關(guān)鏈接,如果存在內(nèi)容上的異議請郵件反饋至chenjj@ke049m.cn
文章轉(zhuǎn)載自:慧都控件網(wǎng)