网络世界生存守则
网络世界生存守则
所有iPhone都被监控了？
Jonathan Zdziarski是著名的iOS安全研究人员，专攻iOS后台监视服务。最近他发表的文章掀起了新一轮热议，有文章谴责说，苹果专为美国国家安全局（NSA）而服务，但另一些文章则完全否认此类问题的存在。但真实的情况则介于这两者之间。所有iOS设备上提供并激活的一些功能可用作从设备中提取内容的接口，即便设备激活了PIN码、备份加密等安全措施也无济于事。但是，提取操作受到很大的限制，所以此问题算不上是全球紧急问题，无需所有用户立即采取行动。 上述服务的存在未必表示苹果意图不轨。事实上，苹果应一些记者要求，发布了相关技术支持文章，详细说明了每种”诊断”服务。此外，苹果坚持说，这些服务仅作技术支持和企业iOS部署之用。然而，绝不能忽视这些服务被滥用的可能性。 攻击场景 首先，攻击者必须通过USB接口将设备物理连到计算机，并且iPhone/iPad还必须解锁。在这种情况下，iOS会尝试与计算机”配对”，这实际上是建立起可信连接以用于同步数据。要求输入的一组密钥和凭证存储在计算机上，日后这些密钥和凭证可用于通过有线或无线连接来与iPhone进行通信。攻击者还可使用恶意软件来窃取计算机中的配对密钥。这时，就无需再物理访问iOS设备。 攻击者可以利用恶意软件来窃取计算机中的配对密钥。 在此阶段，每台iPhone上运行的一组特殊服务会发挥作用。 这些服务能够捕获设备上的所有网络流量，泄露照片、消息、联系人和其他类型的内容。不管安全性和同步设备如何，这些服务都会处于激活状态，而且不会执行任何用户交互或通知。因此，拥有配对密钥的假想攻击者就能连到iOS设备，并对其进行远程监视（据推测，应该是使用相同的Wi-Fi网络，因为Zdziarski无法通过手机网络运营商来实施这一诈骗行动）。 传播范围是否广泛？ 并不广泛。攻击者必须获取受害人未锁定的设备，或者入侵其计算机。在此之后，还需与用户的iPhone建立稳定的连接。而要满足所有这些条件，只有政府机构或其他实力雄厚的实体公司在将目标锁定特定人员时才可能实现，而对于”大众市场”，要实现入侵有点复杂，且无法获得任何经济效益。值得重视的例外情况是受害人身边的人：同事、家人等。这些人能够轻而易举地利用这些隐藏的服务，但幸运的是，所需的取证软件并非轻易获得。但为了确保您的安全，您可以遵循…. 我们的建议 为了避免非法密钥配对，切勿使用他人的充电器，因为很可能碰巧就是同步设备。只使用自己的墙式充电器。对于旅行者而言，最好选择各种USB保护器。 为了防止#iphone#受到监控，请仅使用自己的充电器充电，切勿将解锁的手机交给陌生人 切勿将解锁的手机交给陌生人，或者确保至少密切监控他们的使用行为。为了避免被从您的计算机中窃取配对密钥，请使用所能找到最强大的恶意软件防御系统。密钥一旦配对成功，iPhone/iPad会无限期保留配对设备和关联密钥的列表。删除不需要配对密钥的唯一方法是恢复出厂设置。幸运的是，最近iCloud服务经过改进后，支持用户在不”大动干戈”的情况下执行此清除任务。只是要确保照片和文件全部妥善备份。
提示