@ 2017.12.21 , 11:00
17

苹果在安全性上到底出了什么问题?

不管你检查的多仔细,只要是软件就还是会有漏洞。所以问题不在于怎么才能写出完美的代码,而在于当那些错误真的爆出来之后,到底该如何应对。尽管苹果向来在安全性方面口碑颇佳,但是最近还是有一连串macOS和iOS的漏洞穿过了这家公司的安全网。这不禁让研究人员和开发者疑惑是不是苹果的机制出现了什么问题。

以在9月底发布的macOS High Sierra版本为例,十天之内,苹果就不得不修复了两个致命的漏洞。这两个漏洞可以让第三方应用从钥匙串(Keychain)中窃取证书,还有就是使用APFS文件系统加密的磁盘,密码提示会明文显示密码。随后,安全研究人员在11月底公开了一个新漏洞:这一次,任何人都可以简简单单地使用“root”作为用户名随意访问每一台安装了High Sierra系统的Mac电脑。

苹果在安全性上到底出了什么问题?
credit:锐景创意

这个漏洞实在是太显眼了,以至于苹果在当天就拿出了修复补丁,对于一家大公司来说,这个速度实在令人印象深刻。

“苹果产品始终把安全性放在首位,我们对于把这个版本的macOS搞砸了深表歉意。”“root”事件之后,苹果在给WIRED的一份声明中说。对于这家公司来说,这种态度可真不多见。“对于这个错误我们后悔不及,并因这个漏洞和由其引起的担忧向所有的Mac用户致歉。我们的用户应该获得更好地产品,我们已经在重新审视自身的开发流程,以防止类似的事情再次发生。”

但是,用来修复这个漏洞的补丁随后被发现自身也存在漏洞。当然,因为苹果实在是没什么时间来测试它,所以这也不令人意外。这个漏洞只是最近苹果的一系列软件问题中的一小部分,而且这些问题不仅限于macOS,苹果旗下的所有软件平台都不能幸免。整个2017年,苹果公司修复了数不清的软件漏洞,iOS10系统中包含了其中几十个。在五月份,苹果放出了一个特别的大补丁,涉及旗下所有的服务和操作系统,一口气修复了66个漏洞。这其中有些漏洞允许远程执行代码,意味着黑客可以不经过物理接触就黑掉一台苹果设备。

iOS 11系统在9月份发布不久,人们就发现手上的iPhone会把字母“i”自动更正成“A”。尽管不算什么安全问题,但是这个错误实在是太显眼了——而且也很气人,如果考虑到苹果产品的用户数量,那就更是如此了。就在上周,苹果为iOS 11修复了一个可以远程控制Homekit的漏洞。尽管不那么引人关注,但是这个漏洞可以让动机不良的攻击者黑掉家中那些重要的智能设备,比如说门锁。

尽管从各方面来说,苹果在安全方面依然比它的竞争对手们做的好。但是安全研究人员还是认为,这种越来越高的漏洞爆发频率可能意味着一些深层次的问题。

“在我看来,苹果想要让旗下所有的平台——iOS、macOS、watchOS和tvOS——有统一的公共关系(PR)、产品管理和利于市场营销的年度更新周期,这才是制造那些麻烦的祸根。”PepijnBruienne如是说,他是一家名为Duo Security公司的研究员和开发者,专门关注苹果产品。“尽管我认为苹果平台的总体安全性依然是毫无疑问的业界翘楚,但这种不好的趋势似乎证明苹果在软件开发过程中的质量保证环节有些问题。”

一些研究人员也认为苹果在质量保证测试方面可能有些麻烦,推测要么是缺乏人力,要么是缺乏目标明确的管理。毕竟,苹果自己都说要“重新审视自身的开发流程”了。这可能暗示问题出在测试和审查代码方面,但是也可能像其他一些研究人员表示的那样:问题的根源在于苹果制定的每12个月就大幅更新旗下软件的周期带来的压力太大了。

“苹果在之前也遇到过问题,而且只要是软件就可能爆出漏洞,所以也不能完全责怪他们。”说这话的是Thomas Reed,Malwarebytes实验室中Mac和移动设备威胁跟踪和分析小组的组长。“真正不寻常的地方在于,上个月漏洞爆发数的增长太快了。这背后的问题可不仅仅是用巧合就能解释的。而且,大多数问题都发生在新发布的High Sierra和iOS 11上,这让人怀疑是不是他们因为赶工而把还不适合向大众发布的版本放出来了。”

一些Mac的老用户可能会怀念2009年苹果发布的OS X10.6 Snow Leopard系统,那是一个把一年前的Leopard版本精心打磨、反复修复问题之后发布的版本。Redd说:“Snow Leopard是个非常优秀、稳定的版本,因为苹果花了好多时间为这个版本修复问题。现在,苹果真心需要重复这个做法了,因为他们最近发布的每一个版本都太注重于添加新功能了。我觉得苹果公司应该在新特性方面稍稍放慢脚步,集中精力在下一个版本中修复漏洞。”

苹果在安全性上到底出了什么问题?
credit:锐景创意

这些显而易见的漏洞对于苹果未来的安全策略可能也会产生不良影响。iPhone和Mac的用户们通常会在系统更新发布后立即为手中的设备安装升级,而竞争对手Android的用户往往就不是这样。但是苹果在软件上越来越多的错误可能会让用户在升级手头设备时越来越迟疑,升级之前会先观望这些新软件会不会爆出什么问题。

一位资深的iOS开发者Marin Todorov说:“我有一段时间不用苹果软件的最新版本了。现在我都是跳过几次系统更新,观望看看新系统是不是工作正常。我希望苹果的高层引以为戒,目前看上去他们对于自己操作系统的用户体验和软件质量已经失去控制了。”

尽管目前的状况已经给一些关注于苹果产品的研究者和管理员造成了不小的麻烦,但苹果公司在安全问题上的姿态和手段还是要比其他的大型科技公司好上不少。而且近期苹果产品的安全问题很多都是因为研究人员不再私下将问题报告给苹果并等待修复,而是直接将漏洞予以公开。Lemi Orhan Ergin是一位土耳其软件开发者,是“root”漏洞的发现者之一。他就是用发推特的方式将漏洞知会苹果公司的。

本文译自 WRIED,由译者 Freez Sun 基于创作共用协议(BY-NC)发布。


给这篇稿打赏,让译者更有动力
支付宝打赏 [x]
您的大名: 打赏金额:

4.7
赞一个 (4)

+1

  1. 3650187

    谁贴下那张动图,看一次笑一次

  2. rocky85234
    @5 months ago
    3650205

    谁告诉我 买了苹果绑定的苹果服务软件都被墙了不能用要怎么办。为什么我买了一部这么社会主义的手机。

  3. 悟了个空
    @5 months ago
    3650215

    看不懂~

  4. 3650240

    最烦的就是原本熟悉的操作一更新就换了个地方。简很多东西都是为了更新而更新。

  5. 3650250

    感觉为黑而黑。升级获得新特性自然是有成本的,有新特性就意味着有新漏洞。

    仔细想想,不升级无异于 Windows 7 时代打死都用 XP 的,或者现在 Windows 10 时代坚持用 Windows 7 的,甚至还有 Windows 10 装回 8.1 喊着 Windows 10 是个半成品的。

    “安全啊,快啊,我破电脑带不动新系统啊”

  6. 3650260

    浓浓的cngadget跪舔风,啥情况?煎蛋收钱了?

  7. flast365
    @5 months ago
    3650292

    @Random: 所以跨版本能不升就不升,macos10.6以前还能hdd运行,现在11了吧,ssd都费劲了

  8. 3650303

    敏捷开发的锅吗?

  9. 112Cookie
    @5 months ago
    3650322

    @王=: 软件工程哈哈

  10. 稻叶姬子
    @5 months ago
    3650324

    开发在印度?

  11. 光消失的地方
    @5 months ago
    3650342

    因为以前都是光盘发布, 一旦出了bug 没有那么方便打补丁,所以很用心的去做。当初我还特意去买了雪豹的升级光盘。 现在觉得反正可以在线升级,也就没有那么用心了。

  12. 3650400

    闭源软件的安全性, 这是个伪命题
    理论上并非无法解决, 比如: 团队内/外需要有些在登录框连续三次回车的怪咖

    要求同质化的企业不会雇佣异质的怪咖, 也不会找个这样的外包

    现实是此伪命题成真了且长期存在

  13. 嘿啪啪
    @5 months ago
    3650509

    @Random: win10的自启动更新和每周二的超大更新是真的mmb 休眠状态自己唤醒 好像换机不拔电源也会有自唤醒情况 (唤醒是更新设置里的 那个自动维护 )

  14. 千反田麻薯
    @5 months ago
    3650527

    不要黑水果也不要给方块了 大家都是咖喱的受害者 为什么不能团结一点

  15. 3650866

    当今苹果,内有昏君库克,外有群狼安卓,已是败亡之秋矣。

  16. 晒太阳的冰
    @5 months ago
    3651642

    说白了就是垃圾印度程序员招的太多了。印度人特别义气,尽最大可能把朋友都拉进公司里来。结果就是各种不合格的程序员进了硅谷各大公司

  17. 3655934

    @晒太阳的冰: 印度佬又懒又乱来

发表评论


24H最赞