解密及越狱:如何实施两项操作,及两项操作将对安全性造成何种影响?

运行安卓及iOS操作系统的智能手机所有者,有时会针对是否值得对其手机设备实施神秘的解密及越狱进程,实施热烈讨论。实际上,解密及越狱是可以产生一些有趣后果的黑客攻击活动。本文将针对解密及越狱操作的利与弊予以讨论。   尽管两种操作的名字不同,但解密及越狱操作在本质上属于同一操作;通常情况下,术语解密适用于安卓手机设备,而越狱适用于iPhones。对于一部新智能手机来说,许多操作仅限于手机制造商或操作系统开发商创建的软件程序;并且手机已针对从应用程序库中下载的所有应用程序设置访问权限。解密及越狱用于描述如何获得设备完全管理权,以允许在手机上操作原始状态条件下,并未安装的第三方程序(如,控制CPU时钟速度或覆盖系统文件等)。通过使用专门创建的程序,用户可在不受制造商限制的条件下,在智能手机上实施任何操作。当然,更大的权力意味着更多的责任:”绝对一切”包括删除您智能手机中的一切软件或安装功能全面的间谍软件。 为何费神实施越狱/解密? 坦率的说:根据估计结果,大约有50%及90%的用户选择越狱或解密其手机设备,以便于在无任何限制的条件下,安装盗版游戏或应用程序。尽管我强烈反对用户实施越狱或解密,但确实存在多个体面的理由使您对自己的手机,实施此类黑客攻击式的操作。 首先,安装具有管理员权限的应用程序,可使得手机具有先前无法想象的功能。举例来说,可基于不同环境条件改变铃声音量的应用程序。此类应用程序可根据麦克风、摄像头图片分析,及表明手机处于用户袋子或口袋中的移动读数,确定背景噪音等级。 解密及越狱用于描述如何获得设备完全管理权,以允许在手机上操作原始状态条件下,并未安装的第三方程序。 解密及越狱用于描述如何获得设备完全管理权,以允许在手机上操作原始状态条件下,并未安装的第三方程序。 第二,解密及越狱可实现更灵活的应用程序管理。钛备份是一款全面且灵活性强的”时间机器”软件程序。该程序为在需要完成解密进程的条件下安装且最受欢迎的安卓应用程序之一。通过使用该应用程序,用户可以便捷的将旧智能手机中的数据,转移至新智能手机中;或在用户不满意新版本应用程序的条件下,可使用户重新安装旧版本的应用程序。 解密/越狱进程 用户可通过获得制造商批准,合法获得安卓智能手机的管理员权限。通常情况下,用户为合法获得手机管理员权限需实施下述步骤:用户必须输入智能手机的唯一编号(IMEI)并下载必要的软件。通过上述步骤,用户将可解锁智能手机的引导装载程序,并可上传经修改后的操作系统。经修改后的操作系统将授予用户所有管理员权限。听起来上述步骤非常复杂?实际上,这也是为何制造商不向此类解锁后的智能手机提供保修的原因所在,并且经解锁后,手机将处于”开发者设备”状态。 有鉴于此,用户及居心叵测的攻击者通常采用其他路径:此类用户及攻击者搜寻智能手机固件中的漏洞,以便于在无需联系生产商的条件下,获得相同的管理员权限。此类程序类似于可利用您网页浏览器漏洞的恶意软件程序;黑客通过利用此类恶意软件程序可在您毫不知情或在未获得您同意的条件下,自动在您的计算机中安装。为使用此种类型的漏洞,解密您的智能手机,您需要使用USB连接线使智能手机和计算机相连接,并启动计算机中的相关应用程序,或启动手机中的应用程序。数分钟之后,您的手机将可完成解密进程,并且您在未来无需重复实施解密进程。 iPhone/iPad的越狱同样基于漏洞的利用。通常情况下,需通过连接iPhone及计算机,并运行计算机上的相关程序实施越狱进程;但是,旧设备的越狱进程更为简单。前段时间,网络中曾出现一个非常流行的网站Jailbreakme,用户可通过该网站利用Safari浏览器中的漏洞。对于该网站来说,用户可通过使用iPhone/iPad点击该网站的访问链接,及点击”为我越狱”缉拿,获得iPhone/iPad的全部权限。后来,苹果公司修补了其产品中的漏洞,并聘用该网站的开发者作为苹果公司的内部员工。对于苹果公司来说,这是一项极为精明的投资。 实施解密/越狱的主要后果是,安装可提供新功能的额外管理程序。对于iOS系统用户来说,其设备可显示另一可替代性的应用程序商店,是获得管理员权限这块”金牌”的象征;对于安卓用户来说,证明其已成功获得管理员权限的标志是,可安装SU或SuperSU应用程序。对于安卓系统用户来说,对于设备访问管理权限的管理来说——设备将提示用户”允许”或”拒绝”访问特定的应用程序。     解密/越狱的安全益处 通过使用具有管理功能的应用程序,可从根本上采用新方式保护用户的智能手机或平板电脑。举例来说,标准的安卓智能手机缺乏独立的防火墙;更为精确的说,防火墙集成于安卓系统之中。该状况允许任何人在完全不受控制的条件下,在用户安卓智能手机上实施任何操作。仅在安卓手机的”解密”状态下,可使用应用程序强制实施防火墙准则(如,在漫游条件下,组织安卓智能猴急访问特定的应用程序等)。 最新版本的iOS系统,允许用户对应用程序可获取的数据授权实施更为灵活的管理:每个应用程序都可获得特定个人数据的访问权限。此类特定的个人数据诸如照片、联系人、地理位置等。当前,也已推出具有类似许可系统的安卓操作系统,但使用该安卓系统的用户并不具有灵活管理能力:在安装系统之前,用户将可查看完整的许可列表。如果用户不喜欢某应用程序的某些功能,则用户可以拒绝安装该应用程序。该状况将可改善应用程序使用,并通过逐个管理的方式,对已安装的应用程序实施灵活的访问许可管理。换句话说,如果您认为您某程序不应访问您所处位置的信息,则您可剥夺该程序访问您所处位置信息的权利。 许多应用程序认为解密/越狱存在安全威胁,并拒绝在已解锁的设备上运行。 许多应用程序认为解密/越狱存在安全威胁,并拒绝在已解锁的设备上运行。 对于iOS及安卓操作系统来说,具有管理员权限的应用程序将可使手机具有超强的反偷窃能力。举例来说,对于iOS操作系统,存在可拍摄疑似窃贼并显示锁屏的反偷窃应用程序;对于安卓应用程序,存在可将自身写入手机设备的ROM,并在完成出厂设置重置进程后,仍可运行的程序。当然,我们应当谨记的是,此类具有管理员权限的程序并未经过手机生产商测试,因此可能存在无法预测的程序行为(如,耗电或致使智能手机完全无用)。鉴于存在上述风险,因此绝大多数程序开发商(包括卡巴斯基实验室及卡巴斯基移动安全套件),禁止使用需要解密/越狱的程序功能。 解密/越狱的安全风险 许多应用程序认为解密/越狱存在安全威胁,并拒绝在已解锁的设备上运行。许多类似于MDM(移动设备管理程序)的应用程序,可以帮助用户检查其智能手机中的工作文件及电子邮件。一些银行的移动应用程序在已解锁的设备上处于禁用状态(尽管银行的此类决定让人感觉有些吃惊)。 除了上述风险之外,实施解密及越狱进程将可能使智能手机变为无用的塑料块,这也是解密及越狱的新安全威胁。 首先,获得管理权限的应用程序可跳出应用程序”沙箱”;因此,此类应用程序功能和所获权限之间不再具有相关性。应用程序可执行任何其希望的操作,其中包括阅读及发送和其他应用程序相关的文件、监视设备所有者、在手机所有者毫不知情的条件下,使用麦克风等。 第二,智能手机解密或越狱所需使用的应用程序,通常由业余的小团体编写;因此,此类应用程序本身也包含糟糕的程序代码及程序漏洞。此类程序漏洞可能会被看似合法的恶意应用程序所利用,并向恶意应用程序移交手机的管理权限。 第三,在解密/越狱进程中,实施的多项手机配置变更可能是黑客的绝佳礼物:越狱进程可使得绝大多数iPhone模式处于远程可控状态;其原因在于,所有越狱设备使用相同的越狱密码。当然,用户可以变更该密码,但仅有极少数用户实施越狱密码的变更进程。 无法保障您的安全 解密/越狱进程带有严重的安全隐患,但是即便不使用解密/越狱进程也无法保障您的安全性。攻击者可利用您智能手机上的漏洞,在无需使用中介程序(如SuperSU等)的条件下,为其恶意应用程序获得您智能手机的管理权限。在此状况下,未实施解锁进程及已实施解锁进程的设备之间,几乎并无任何差别。上文中提到的Jailbreakme.com网站即为现实中的实例。如果该网站的创建者是个势利小人,则他将可滥用用户手机中的程序漏洞。举例来说,除可为所有网站用户提供免费越狱服务之外,网站创建者还可在用户手机上暗中安装间谍软件。另外一个非常有趣的网站,可向网站用户提供类似于”阅读其他用户消息”的网络奇迹;该网站的创建设者同样可使用”点击这里”键,完成罪恶勾当!到目前为止,我们尚未获得有关此类案例的任何消息,但我们不能忽略使用上述计划实施网络犯罪的可能性;至少不能忽略实施目标攻击的可能性。

运行安卓及iOS操作系统的智能手机所有者,有时会针对是否值得对其手机设备实施神秘的解密及越狱进程,实施热烈讨论。实际上,解密及越狱是可以产生一些有趣后果的黑客攻击活动。本文将针对解密及越狱操作的利与弊予以讨论。

 

尽管两种操作的名字不同,但解密及越狱操作在本质上属于同一操作;通常情况下,术语解密适用于安卓手机设备,而越狱适用于iPhones。对于一部新智能手机来说,许多操作仅限于手机制造商或操作系统开发商创建的软件程序;并且手机已针对从应用程序库中下载的所有应用程序设置访问权限。解密及越狱用于描述如何获得设备完全管理权,以允许在手机上操作原始状态条件下,并未安装的第三方程序(如,控制CPU时钟速度或覆盖系统文件等)。通过使用专门创建的程序,用户可在不受制造商限制的条件下,在智能手机上实施任何操作。当然,更大的权力意味着更多的责任:”绝对一切”包括删除您智能手机中的一切软件或安装功能全面的间谍软件

为何费神实施越狱/解密?

坦率的说:根据估计结果,大约有50%及90%的用户选择越狱或解密其手机设备,以便于在无任何限制的条件下,安装盗版游戏或应用程序。尽管我强烈反对用户实施越狱或解密,但确实存在多个体面的理由使您对自己的手机,实施此类黑客攻击式的操作。

首先,安装具有管理员权限的应用程序,可使得手机具有先前无法想象的功能。举例来说,可基于不同环境条件改变铃声音量的应用程序。此类应用程序可根据麦克风、摄像头图片分析,及表明手机处于用户袋子或口袋中的移动读数,确定背景噪音等级。

解密及越狱用于描述如何获得设备完全管理权,以允许在手机上操作原始状态条件下,并未安装的第三方程序。

解密及越狱用于描述如何获得设备完全管理权,以允许在手机上操作原始状态条件下,并未安装的第三方程序。

第二,解密及越狱可实现更灵活的应用程序管理。钛备份是一款全面且灵活性强的”时间机器”软件程序。该程序为在需要完成解密进程的条件下安装且最受欢迎的安卓应用程序之一。通过使用该应用程序,用户可以便捷的将旧智能手机中的数据,转移至新智能手机中;或在用户不满意新版本应用程序的条件下,可使用户重新安装旧版本的应用程序。

解密/越狱进程

用户可通过获得制造商批准,合法获得安卓智能手机的管理员权限。通常情况下,用户为合法获得手机管理员权限需实施下述步骤:用户必须输入智能手机的唯一编号(IMEI)并下载必要的软件。通过上述步骤,用户将可解锁智能手机的引导装载程序,并可上传经修改后的操作系统。经修改后的操作系统将授予用户所有管理员权限。听起来上述步骤非常复杂?实际上,这也是为何制造商不向此类解锁后的智能手机提供保修的原因所在,并且经解锁后,手机将处于”开发者设备”状态。

有鉴于此,用户及居心叵测的攻击者通常采用其他路径:此类用户及攻击者搜寻智能手机固件中的漏洞,以便于在无需联系生产商的条件下,获得相同的管理员权限。此类程序类似于可利用您网页浏览器漏洞的恶意软件程序;黑客通过利用此类恶意软件程序可在您毫不知情或在未获得您同意的条件下,自动在您的计算机中安装。为使用此种类型的漏洞,解密您的智能手机,您需要使用USB连接线使智能手机和计算机相连接,并启动计算机中的相关应用程序,或启动手机中的应用程序。数分钟之后,您的手机将可完成解密进程,并且您在未来无需重复实施解密进程。

iPhone/iPad的越狱同样基于漏洞的利用。通常情况下,需通过连接iPhone及计算机,并运行计算机上的相关程序实施越狱进程;但是,旧设备的越狱进程更为简单。前段时间,网络中曾出现一个非常流行的网站Jailbreakme,用户可通过该网站利用Safari浏览器中的漏洞。对于该网站来说,用户可通过使用iPhone/iPad点击该网站的访问链接,及点击”为我越狱”缉拿,获得iPhone/iPad的全部权限。后来,苹果公司修补了其产品中的漏洞,并聘用该网站的开发者作为苹果公司的内部员工。对于苹果公司来说,这是一项极为精明的投资。

实施解密/越狱的主要后果是,安装可提供新功能的额外管理程序。对于iOS系统用户来说,其设备可显示另一可替代性的应用程序商店,是获得管理员权限这块”金牌”的象征;对于安卓用户来说,证明其已成功获得管理员权限的标志是,可安装SU或SuperSU应用程序。对于安卓系统用户来说,对于设备访问管理权限的管理来说——设备将提示用户”允许”或”拒绝”访问特定的应用程序。

Cydia-iOS-6_SuperSU

 

 

解密/越狱的安全益处

通过使用具有管理功能的应用程序,可从根本上采用新方式保护用户的智能手机或平板电脑。举例来说,标准的安卓智能手机缺乏独立的防火墙;更为精确的说,防火墙集成于安卓系统之中。该状况允许任何人在完全不受控制的条件下,在用户安卓智能手机上实施任何操作。仅在安卓手机的”解密”状态下,可使用应用程序强制实施防火墙准则(如,在漫游条件下,组织安卓智能猴急访问特定的应用程序等)。

最新版本的iOS系统,允许用户对应用程序可获取的数据授权实施更为灵活的管理:每个应用程序都可获得特定个人数据的访问权限。此类特定的个人数据诸如照片、联系人、地理位置等。当前,也已推出具有类似许可系统的安卓操作系统,但使用该安卓系统的用户并不具有灵活管理能力:在安装系统之前,用户将可查看完整的许可列表。如果用户不喜欢某应用程序的某些功能,则用户可以拒绝安装该应用程序。该状况将可改善应用程序使用,并通过逐个管理的方式,对已安装的应用程序实施灵活的访问许可管理。换句话说,如果您认为您某程序不应访问您所处位置的信息,则您可剥夺该程序访问您所处位置信息的权利。

许多应用程序认为解密/越狱存在安全威胁,并拒绝在已解锁的设备上运行。

许多应用程序认为解密/越狱存在安全威胁,并拒绝在已解锁的设备上运行。

对于iOS及安卓操作系统来说,具有管理员权限的应用程序将可使手机具有超强的反偷窃能力。举例来说,对于iOS操作系统,存在可拍摄疑似窃贼并显示锁屏的反偷窃应用程序;对于安卓应用程序,存在可将自身写入手机设备的ROM,并在完成出厂设置重置进程后,仍可运行的程序。当然,我们应当谨记的是,此类具有管理员权限的程序并未经过手机生产商测试,因此可能存在无法预测的程序行为(如,耗电或致使智能手机完全无用)。鉴于存在上述风险,因此绝大多数程序开发商(包括卡巴斯基实验室及卡巴斯基移动安全套件),禁止使用需要解密/越狱的程序功能。

解密/越狱的安全风险

许多应用程序认为解密/越狱存在安全威胁,并拒绝在已解锁的设备上运行。许多类似于MDM(移动设备管理程序)的应用程序,可以帮助用户检查其智能手机中的工作文件及电子邮件。一些银行的移动应用程序在已解锁的设备上处于禁用状态(尽管银行的此类决定让人感觉有些吃惊)。

除了上述风险之外,实施解密及越狱进程将可能使智能手机变为无用的塑料块,这也是解密及越狱的新安全威胁。

首先,获得管理权限的应用程序可跳出应用程序”沙箱”;因此,此类应用程序功能和所获权限之间不再具有相关性。应用程序可执行任何其希望的操作,其中包括阅读及发送和其他应用程序相关的文件、监视设备所有者、在手机所有者毫不知情的条件下,使用麦克风等。

第二,智能手机解密或越狱所需使用的应用程序,通常由业余的小团体编写;因此,此类应用程序本身也包含糟糕的程序代码及程序漏洞。此类程序漏洞可能会被看似合法的恶意应用程序所利用,并向恶意应用程序移交手机的管理权限。

第三,在解密/越狱进程中,实施的多项手机配置变更可能是黑客的绝佳礼物:越狱进程可使得绝大多数iPhone模式处于远程可控状态;其原因在于,所有越狱设备使用相同的越狱密码。当然,用户可以变更该密码,但仅有极少数用户实施越狱密码的变更进程。

无法保障您的安全

解密/越狱进程带有严重的安全隐患,但是即便不使用解密/越狱进程也无法保障您的安全性。攻击者可利用您智能手机上的漏洞,在无需使用中介程序(如SuperSU等)的条件下,为其恶意应用程序获得您智能手机的管理权限。在此状况下,未实施解锁进程及已实施解锁进程的设备之间,几乎并无任何差别。上文中提到的Jailbreakme.com网站即为现实中的实例。如果该网站的创建者是个势利小人,则他将可滥用用户手机中的程序漏洞。举例来说,除可为所有网站用户提供免费越狱服务之外,网站创建者还可在用户手机上暗中安装间谍软件。另外一个非常有趣的网站,可向网站用户提供类似于”阅读其他用户消息”的网络奇迹;该网站的创建设者同样可使用”点击这里”键,完成罪恶勾当!到目前为止,我们尚未获得有关此类案例的任何消息,但我们不能忽略使用上述计划实施网络犯罪的可能性;至少不能忽略实施目标攻击的可能性。

未实施解密/越狱进程及已实施该进程的智能手机之间,存在另一更为直接的区别。通常情况下,经解锁后的设备无法获得任何保修保障;因此,当用户手机出现任何问题时,需由用户自行承担维修费用。这也是您需要考虑是否值得实施解密/越狱进程的原因所在。但是,无论您的决定是什么,使用额外的安全保护措施(如,安装卡巴斯基移动设备安全套件等)将不会给您带来任何损害。

 

 

云文件储存指南

这些天中发布的文章都是有关云计算的文章。但是,在我们不断向远程服务器储存我们的个人数据及专业数据时,需了解的是,任何服务都不能保证100%安全。 其原因之一在于,黑客可以闯入大型公司看似安全的服务器,以窃取各种类型的用户数据。此类数据包括账户登录信息及密码信息等(询问Evernote公司、Yahoo公司或DropBox公司,即可了解相关信息)。但是,最大的威胁却来自于并不复杂的黑客攻击。黑客可利用已窃取的信息(如用户电子邮件或用户物理地址),重置用户账户密码。一旦黑客完成某用户账户密码的重置,那么黑客将可以破解云服务器中的任何其他账户;利用您的个人信息、专业信息及财务信息;使您的名誉受损;及删除或损毁您的数据或在线账户(询问连线网站的记者麦特· 宏南(Mat Honan),即可了解此类攻击的严重性)。如果此类状况可能发生在一名科技记者身上,那么您也可能会遭遇此类状况。 最大的威胁却来自于并不复杂的黑客攻击。黑客可利用已窃取的信息(如用户电子邮件或用户物理地址),重置用户账户密码。 当然,我们希望把所有数据都储存在云服务器中,这样我们可以无需在自己的硬盘中储存任何数据—诸如我们的电子邮件、音乐、图片等,并可以在我们的设备上随时访问此类数据。但是,正如卡巴斯基实验室的研究员卡丝汀· 瑞鲁(Costin Raiu)所述,云服务中存在非常严重的安全陷阱。 卡丝汀· 瑞鲁声称:”使用云服务的风险在于,您的数据可能会永久丢失…或可能会被窃取。黑客可利用已窃取的数据做尽坏事。” 因此,如果云服务存在如此多的风险,我们应怎样保护储存在云服务器中的所有信息? 1.在有可能的条件下,使用双重认证。谷歌、Facebook及推特网站已向用户推出双重认证服务,并且越来越多的其他网站也在陆续推出该服务。尽管利用该服务可能致使您无法以最快的速度获取所需数据,但对于您珍视的所有信息来说,却更具安全性。 2.不同账户使用不同密码。该方法可能会使您难以记忆所有密码,但您可以使用密码管理器帮助您记忆所有密码。 3.使用不同的登陆名。请不要在不同的账户中,使用类似的登陆名—诸如姓名首字母简写/姓氏,加@gmail.com或@yahoo.com后缀组成的登陆名。 4.为财务信息及恢复信息创建单一功能的电子邮件。 为所有包含信用卡信息或银行信息的任何账户创建一个电子邮件账户;为密码及账户数据恢复信息,创建一个独立的电子邮件账户。 5.对您的数据实施物理备份。云服务的某些环节可能会出现故障,因此对于您生活必不可少的信息,应使用放置在多个安全位置的多个物理驱动器备份此类信息。您可以在计算机上及在外部硬盘驱动器上储存此类信息数据,并在家庭之外(您的办公室、父母家中等)的安全场所储存一份此类信息数据的物理备份。在此状况下,即便是在发生火灾或被夜贼光顾时,您也不会丢失此类信息数据。 6.对特定数据采用额外预防措施。您可针对特定数据,采用三个等级的保护措施。 最低保护等级为,使用密码保护的Word 及Excel文件——通过点击”工具”,然后选择”保护文件”,接着输入密码即可实现该保护等级。 较高的保护等级为,通过所使用RAR或Zip压缩格式,加密及压缩文件夹,以增强文件的安全性,并对此类文件夹实施保护。 最高的安全等级为,对于具有真正敏感性的数据,使用加密程序(诸如 PURE 3.0中包含的全系统安全套件)实施加密保护,以使得您的数据可处于诺克斯堡式的安全环境中。 7.密码,密码,密码。对您的任何及所有信息实施保护的最简单方法之一是,创建并使用安全性极强的密码(在不同账户之间不可重复使用相同密码…请参阅步骤2)。请勿使用任何可在字典中查到的单次。请勿使用日期数字或姓名。尽可能使用长密码——如使用18位由数字、字母、非字母及数字符号组成的密码。在开始阶段,记忆此类密码可能较为困难,但密码管理器可为您提供帮助(请再次参阅步骤2)。 8.保护您的所有设备。通过使用最新的保护措施,确保您使用的所有设备处于同一保护水平。您可以在使用安卓系统的设备上使用卡巴斯基移动安全套件,并在苹果公司设备上,使用寻找我的iPhone套件。另外,同样重要的是,应对您的移动设备采用额外的安全措施(如,使用密码或PIN码锁定您的移动设备等)。

提示