设为首页收藏本站

中国学客联盟

 找回密码
 立即注册




查看: 15509|回复: 6

大揭秘!Xcode事件 你需要知道的十个问题

  [复制链接]

[UID商城]   [抢购靓号]

该用户从未签到

媒体

Rank: 70Rank: 70Rank: 70Rank: 70Rank: 70Rank: 70Rank: 70

UID
888
威望
0
贡献
0
在线时间
4 小时
注册时间
2014-2-25
发表于 2015-9-19 14:17:59 | 显示全部楼层 |阅读模式
1、XcodeGhost事件的来龙去脉
    源于9月18日乌云网公布的一则分析报告:XCode编译器里有鬼——XCodeGhost样本分析。这份纯粹的技术分析报告引爆中国iOS生态链的众多开发者。
    有些程序员使用了第三方Xcode编译器,这些编译器编写的APP存在安全问题,当它们上传到AppStore之后,被用户下载安装,它们会偷偷上传软件包名、应用名、系统版本、语言、国家等基本信息。
    从病毒样本的分析看,这些泄露信息其实并不涉及太多的隐私问题。
    值得注意的是,病毒拥有更多的权限,它们在iPhone/iPad上弹出钓鱼网站页面,可能骗取iCloud帐号密码,或者其他关键信息。
    2、哪些APP有问题,可能有什么影响?
    据分析,受XCodeGhost事件影响的APP可能有30多款,包括微信、网易云音乐、网易公开课、我叫MT、同花顺、南京银行、南方航空、中信银行行动卡空间、名片全能王、愤怒的小鸟2等等比较熟知的应用。
    安装这些应用的iPhone/iPad用户可能泄露基本的信息。
    如果在近一段时间(1-2个月内),普通用户在这些受影响的应用中输入过敏感信息,如icloud密码、信用卡信息等,这些信息理论上也可能被泄露。
    基于安全的考虑,最好对涉及到的密码、支付方式等进行修改。
    3、这意味着什么?苹果不再安全了吗?
    以往人们普遍认为,只要不越狱,只从官方应用市场下载软件,iPhone/iPad就是安全的。现在,这个神话破灭了。开发工具中做手脚 ,可能骗过那些聪明的程序员,在编译自己的应用时,把有害代码加进去,威胁用户数据安全。
    甚至这种攻击方式绕过了AppStore的安全审核机制,使得官方商店的防护也不如以往那样可信。
    4、iPhone/iPad需要安全软件吗?
    总的来说,iPhone/iPad不越狱的风险仍然可控,尽管这次苹果的安全审查未能检测到威胁。用户仍然只能从官方市场下载应用,比安卓上混乱的应用市场还是要好一些。
    另外,需要提醒苹果用户注意的是,并不是手机不中毒就安全,目前大量安全事件其实并非手机端的病毒制造的,信息泄露、网络钓鱼、电信诈骗等几乎无处不在,提高安全意识才是防范风险最有用的手段。而这些,显然不能仅仅依靠手机端的安全软件来解决。
    5、普通用户如何防范?
再次建议iPhone/iPad用户不要越狱,只从官方市场下载软件。当有人试图套取你的iCloud帐户密码或者其他重要帐户密码、手机验证码时,必须谨慎对待。
    为确保安全,用户也可以选择暂时卸载那些受影响软件。保险起见,修改iCloud帐户密码。再次强烈建议开通iCloud双重验证,方法可参考百度经验的技术文章:http://jingyan.baidu.com/article/eb9f7b6da354d2869364e8f1.html
    6、疑似作者道歉了,公开了源码,他说的是真的吗?
    #XcodeGhost#始作俑者@XcodeGhost-Author向公众致歉,称这是一个“实验”、“并未制造威胁性行为”,并上传源码供研究人员分析,业内人士从源码判断“可信度较高”。
7、有人说需要iCloud需要改密码,信用卡需要注销,12306也要改密码。
    目前,该事件并未上升到草木皆兵的地步,iCloud帐户及其他重要帐号,建议网友开通双重验证(即除了用户名密码验证,再开通其他方式比如手机验证码验证动态密码)。安全专家总在反复强调不要重复使用密码,不要使用过于简单的密码,这些都是非常重要的建议。
    当安全事件到来时,有所准备的网友受到伤害的可能性最低。
    8、针对XCode程序员的安全建议是什么?
    程序员使用Xcode非官方版本,可能有两个原因:官方渠道下载缓慢,或者开发者使用了黑苹果(盗版苹果系统)开发。
这件事给程序员敲响警钟,要安全,首先得保证自己的开发工具安全。程序员被黑客暗算的事儿曾经多次发生,无论如何,建议使用正版、未被非法篡改过的开发工具编写程序,避免你的用户成为受害者。
    其次,编译环境、发布环境的安全值得注意,编译服务器和自动发布服务器,应保持干净的环境,不要随意安装来源不明的可疑软件。
    9、此次事件对苹果的安全策略会造成什么影响?
    显然,苹果会修补这次安全事件造成的影响,安全审查会变得更严格。但苹果不会为某些软件(比如安全软件)提供更多权限。
    10、为什么苹果没能阻止这次攻击?
    安全是动态的过程,今天认为安全的保护措施,可能在未来某个时刻被新的攻击方法突破,或者总有漏洞被黑客发现。一个完全不会被攻克的系统,只能是神话。
91571442640810.jpg


中国学客联盟

[UID商城]   [抢购靓号]

  • TA的每日心情
    开心
    2018-7-9 13:55
  • 签到天数: 5 天

    [LV.2]偶尔看看I

    站长

    Rank: 80Rank: 80Rank: 80Rank: 80Rank: 80

    UID
    2
    威望
    1046
    贡献
    9999
    在线时间
    133 小时
    注册时间
    2010-2-23

    小晨徽章2015年度盛典活动奖励勋章官方技术优秀版主版主进步勋章巡查人员勋章原创先锋勋章靓号

    学盟站长、官方人员

    发表于 2015-9-25 10:24:12 | 显示全部楼层
    非常不错支持
    来自安卓客户端来自安卓客户端
    中国学客联盟欢迎你

    [UID商城]   [抢购靓号]

    该用户从未签到

    高级会员

    Rank: 4

    UID
    3553619
    威望
    154
    贡献
    0
    在线时间
    1 小时
    注册时间
    2014-6-20
    发表于 2016-10-16 10:21:24 | 显示全部楼层
    很不错

    [UID商城]   [抢购靓号]

    该用户从未签到

    高级会员

    Rank: 4

    UID
    3553555
    威望
    150
    贡献
    0
    在线时间
    1 小时
    注册时间
    2014-6-18
    发表于 2016-10-16 10:00:49 | 显示全部楼层
    楼主是超人

    [UID商城]   [抢购靓号]

    该用户从未签到

    高级会员

    Rank: 4

    UID
    3553555
    威望
    150
    贡献
    0
    在线时间
    1 小时
    注册时间
    2014-6-18
    发表于 2016-10-16 09:46:40 | 显示全部楼层
    难得一见的好帖

    [UID商城]   [抢购靓号]

    该用户从未签到

    高级会员

    Rank: 4

    UID
    3553606
    威望
    153
    贡献
    0
    在线时间
    1 小时
    注册时间
    2014-6-19
    发表于 2016-10-16 10:22:00 | 显示全部楼层
    说的非常好

    [UID商城]   [抢购靓号]

    该用户从未签到

    高级会员

    Rank: 4

    UID
    3553632
    威望
    154
    贡献
    0
    在线时间
    1 小时
    注册时间
    2014-6-20
    发表于 2016-10-16 10:17:07 | 显示全部楼层
    不错不错
     懒得打字嘛,点击右侧快捷回复【左侧自定义内容】  【右侧自定义内容】
    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    快速回复 返回顶部 返回列表