XcodeGhost折射苹果安全隐忧 保护机制仍有漏洞

　　爆发在上个月的XcodeGhost苹果安全事件已经从普通人关注的热点中退去,但对于从事安全行业的人来说,这一事件的影响其实才刚刚开始。多位手机安全业内人士对记者表示,它不仅为苹果敲响了警钟,也让安全行业开始意识到一种新的安全威胁方式的出现。在XcodeGhost背后,其实折射的是苹果在自身系统安全上的隐忧。

　　轻描淡写的苹果和如临大敌的安全行业

　　9月中旬,多家安全企业都曝光了一起名为XcodeGhost的安全事件,病毒制造者通过感染苹果应用的开发工具Xcode,让AppStore中的正版应用带上了会上传信息的恶意程序。据估算,受到影响的用户数量会超过一亿。

　　“我用过微信支付,要不要换银行卡密码?!”这可能是XcodeGhost事件之后,对手机安全比较了解的人被身边朋友问起最多的话题。很多一向认为自己的手机足够安全的iPhone用户,突然发现自己手机上的资料也可能“赤裸裸”地亮在“黑客”的眼前时,其紧张程度还是要大于不断被各种病毒消息锻炼得见怪不怪的安卓手机用户。

　　多数普通iPhone用户最想知道的,还是XcodeGhost事件带来的危害到底有多大,可是在这个问题上,苹果官方和安全行业之间说法迥然不同,似乎描述的并不是同一件事,这也让很多的用户感到迷惑和担忧。

　　“这是AppStore自2008年上线以来遭受的规模最大的攻击,涉及用户过亿,甚至可能涉及窃取银行账户信息,如果最后被证实,在金额方面肯定能破世界纪录。”这是一位安全行业从业者在其微信公众号上对XcodeGhost事件下的结论,听起来是不是耸人听闻?也有安全工程师在其微博上表示:“不要再问我什么密码需要修改了,能改的都改过来就对了,绑定的银行卡也全部取消,这不是玩笑!”

　　可是反观苹果,在其官方声明中的表述是这样的:“我们目前没有任何信息表明这些恶意软件与任何恶意事件相关,也没有信息表明这些软件被使用在传播任何个人身份信息的用途上。我们目前没有看到任何客户个人身份信息受到影响,而且代码无法通过用户身份请求来获取iCloud或其他服务的密码。”言下之意,事情是有的,但安全威胁是不用担心的。

　　在受到影响的应用数量上,苹果只在其官网上公布了25个知名的应用,并表示“除受影响的前25个App外,受影响的用户数量已显著减少。”可是在事件爆发的前几天,国内一些安全团队就不断刷新受影响的应用数量,他们表示,保守估计,受到影响的苹果应用数量起码在数千个以上。从几千到25,这中间的不同确实天差地别。

　　沙盒机制保护仍有漏洞

　　事实上,苹果之所以能有底气向用户保证,此次感染了XcodeGhost病毒的应用只能提供一些基本信息,不会泄露用户的核心敏感信息,一个重要的原因是苹果所采用的“沙盒”安全机制。一些接受记者采访的应用开发者和安全从业者也表示,苹果的“沙盒”让用户遭受安全风险的可能性大大降低。

　　所谓“沙盒”,是苹果公司针对应用推出的一种安全机制,应用程序只能在为该程序创建的文件系统中读取文件,不可以去其它地方访问,此区域被称为“沙盒”。在这种安全机制下,每个应用程序都有自己的“沙盒”,且不能翻过自己的围墙去访问别的“沙盒”。如果一个应用要访问到其他应用的内容,必须要获取管理员许可才行,比如地理位置、相册、通讯录、话筒等。按照苹果的系统哲学,只有把各个App孤立起来才能营造良好的用户体验和安全性。

　　在苹果推出这一安全机制之初,曾经有不少开发者对此表示了强烈的不满。开发者们认为,“沙盒”的存在,让开发者失去了一些调用系统进程的权限,使得许多优秀应用的功能不能得到有效的执行,用户体验变得糟糕,甚至一些开发者因此推出了苹果阵营。不过从实际效果看,这一政策确实显著加大了恶意程序入侵系统的难度。

　　尽管“沙盒”机制是一种较为严密的保护,但是就在2015中国互联网安全大会上,国内首个iOS越狱团队盘古的首席科学家王铁磊就现场讲解了利用iOS系统漏洞,在非越狱的前提下可绕开苹果的“沙盒”保护获得用户部分信息的案例。

　　在演示当中,王铁磊展示了如何利用一个App在“沙盒”的防范之下,盗取了用户的桌面背景,读取了用户手机拍摄的照片,并让手机蓝屏重启。“有人觉得盗取了桌面背景和手机照片无所谓,没什么安全威胁,前提是你没有用手机拍过你的身份证或者是信用卡。”王铁磊说,而控制手机蓝屏重启就更加危险了,“说明运行在沙盒的App有能力直接和内核做交互,和内核做交流过程中,如果有非常好的漏洞可以被利用,那就可以直接获取iOS内核执行代码权限,完全获得你手机的控制权。”王铁磊表示,如果完全信赖iOS“沙盒”无异于自废武功。