当前位置:首页关于XcodeGhost事件,你需要知道的十个问题 举报文章

关于XcodeGhost事件,你需要知道的十个问题

作者:admin    来源:用户投稿    时间:2015.9.21   

  源于9月18日乌云网公布的一则分析报告:XCode编译器里有鬼 – XCodeGhost样本分析,这份纯粹的技术分析报告引爆中国iOS生态链的众多开发者。有些程序员使用了第三方Xcode编译器,这些编译器编写的APP存在安全问题,当它们上传到AppStore之后,被用户下载安装,它们会偷偷上传软件包名、应用名、系统版本、语言、国家等基本信息。

  

  9月19日消息,最近这几天,在App Store上架的网易云音乐等多个应用被注入Xcode第三方恶意代码,会将用户信息发送到病毒作者服务器,由此刷爆朋友圈。

  某移动安全实验室今日整理了关于XcodeGhost事件的10个热点问答,称受XCodeGhost事件影响的APP可能有30多款,基于安全考虑,最好对涉及到密码、支付方式等进行修改。

  某移动安全实验室建议说,再次建议iPhone/iPad用户不要越狱,只从官方市场下载软件。当有人试图套取你的iCloud帐户密码或其他重要帐户密码、手机验证码时,须谨慎对待。

  “为确保安全,用户也可以选择暂时卸载那些受影响软件。保险起见,修改iCloud帐户密码。再次强烈建议开通iCloud双重验证,方法可参考百度经验的技术文章。”

  另据了解,今日一个名为“XcodeGhostSource”的帐号在GitHub发布“关于所谓”XcodeGhost”的澄清”一文称,“源于我自己的实验,没有任何威胁性行为”。

  以下是某移动安全实验室整理的10个热点问答:

  1.XcodeGhost 事件的来龙去脉

  源于9月18日乌云网公布的一则分析报告:XCode编译器里有鬼 – XCodeGhost样本分析,这份纯粹的技术分析报告引爆中国iOS生态链的众多开发者。

  有些程序员使用了第三方Xcode编译器,这些编译器编写的APP存在安全问题,当它们上传到AppStore之后,被用户下载安装,它们会偷偷上传软件包名、应用名、系统版本、语言、国家等基本信息。

  从病毒样本的分析看,这些泄露信息其实并不涉及太多的隐私问题。

  值得注意的是,病毒拥有更多的权限,它们在iPhone/iPad上弹出钓鱼网站页面,可能骗取iCloud帐号密码,或者其他关键信息。

  2.哪些APP有问题,可能有什么影响?

  据分析,受XCodeGhost事件影响的APP可能有30多款,包括微信、网易云音乐、网易公开课、我叫MT、同花顺、南京银行、南方航空、中信银行行动卡空间、名片全能王、愤怒的小鸟2等等比较熟知的应用。

  安装这些应用的iPhone/iPad用户可能泄露基本的信息。

  如果在近一段时间(1-2个月内),普通用户在这些受影响的应用中入过敏感信息,如icloud密码、信用卡信息等,这些信息理论上也可能被泄露。

  基于安全的考虑,最好对涉及到的密码、支付方式等进行修改。

  3.这意味着什么?苹果不再安全了吗?

  以往人们普遍认为,只要不越狱,只从官方应用市场下载软件,iPhone/iPad就是安全的。现在,这个神话破灭了。开发工具中做手脚 ,可能骗过那些聪明的程序员,在编译自己的应用时,把有害代码加进去,威胁用户数据安全。

  甚至这种攻击方式绕过了AppStore的安全审核机制,使得官方商店的防护也不如以往那样可信。

  4.iPhone/iPad需要安全软件吗?

  总的来说,iPhone/iPad不越狱的风险仍然可控,尽管这次苹果的安全审查未能检测到威胁。用户仍然只能从官方市场下载应用,比安卓上混乱的应用市场还是要好一些。

  另外,需要提醒苹果用户注意的是,并不是手机不中毒就安全,目前大量安全事件其实并非手机端的病毒制造的,信息泄露、网络钓鱼、电信诈骗等几乎无处不在,提高安全意识才是防范风险最有用的手段。而这些,显然不能仅仅依靠手机端的安全软件来解决。

  5.普通用户如何防范?

  再次建议iPhone/iPad用户不要越狱,只从官方市场下载软件。当有人试图套取你的iCloud帐户密码或者其他重要帐户密码、手机验证码时,必须谨慎对待。

  为确保安全,用户也可以选择暂时卸载那些受影响软件。保险起见,修改iCloud帐户密码。再次强烈建议开通iCloud双重验证,方法可参考百度经验的技术文章。

  6.疑似作者道歉了,公开了源码,他说的是真的吗?

  #XcodeGhost#始作俑者@XcodeGhost-Author 向公众致歉,称这是一个“实验”、“并未制造威胁性行为”,并上传源码供研究人员分析,业内人士从源码判断“可信度较高”。

  7.有人说需要iCloud需要改密码,信用卡需要注销,12306也要改密码。

  目前,该事件并未上升到草木皆兵的地步,iCloud帐户及其他重要帐号,建议网友开通双重验证(即除了用户名密码验证,再开通其他方式比如手机验证码验证动态密码)。

  安全专家总在反复强调不要重复使用密码,不要使用过于简单的密码,这些都是非常重要的建议。当安全事件到来时,有所准备的网友受到伤害的可能性最低。

  8.针对XCode程序员的安全建议是什么?

  程序员使用Xcode非官方版本,可能有两个原因:官方渠道下载缓慢,或者开发者使用了黑苹果(盗版苹果系统)开发。

  这件事给程序员敲响警钟,要安全,首先得保证自己的开发工具安全。程序员被黑客暗算的事儿曾经多次发生,无论如何,建议使用正版、未被非法篡改过的开发工具编写程序,避免你的用户成为受害者。

  其次,编译环境、发布环境的安全值得注意,编译服务器和自动发布服务器,应保持干净的环境,不要随意安装来源不明的可疑软件。

  9.此次事件对苹果的安全策略会造成什么影响?

  显然,苹果会修补这次安全事件造成的影响,安全审查会变得更严格。但苹果不会为某些软件(比如安全软件)提供更多权限。

  10.为什么苹果没能阻止这次攻击?

  安全是动态的过程,今天认为安全的保护措施,可能在未来某个时刻被新的攻击方法突破,或者总有漏洞被黑客发现。一个完全不会被攻克的系统,只能是神话。

好文打赏,给Ta鼓励
扫一扫用手机阅读本文
Tags:关于  事件  你需要  需要  要知道  知道  知道的  十个  问题  
  • 相关搜索
图片推荐
    传美团酒旅融资受挫 底层刷单亏损流血难止

    传美团酒旅融资受挫 底层刷单亏损流血难止

    美团的刷单已经成为一种黑色产业链。  12月29日,据《新京报》报道,在今年7月以来,一个70余人的团伙勾结数十家入驻店铺和美团内部员工,利用平台退款结算流程进行刷单诈骗,短短10余天时间骗取金额高达
    堆糖发布5.0版本 强化移动社交属性

    堆糖发布5.0版本 强化移动社交属性

    近日,堆糖App更新了移动端5.0版本,正式发布兴趣细分人群聚合的Club产品,将club入口调整至首页,增加了订阅功能,同时优化产品视觉效果,打造全新夏日清新感。此次部分入口的调整,强化了club功
    为什么我看好付费咨询 却不建立付费社群?

    为什么我看好付费咨询 却不建立付费社群?

    从去年提供一对一私人顾问服务到今天,半年的时间里有40多人雇佣了我做私人顾问,我的收费纯粹是草根价格,按年费计算,我们看市面上其他的营销大师,私人顾问服务都是按小时收费的,人家一小时的费用超出我一年的
    提升网站满意度站长应该从何考虑?

    提升网站满意度站长应该从何考虑?

    当下网站优化,网站质量要求的不断提升,站长对于网站优化的角度和思维也应该与时俱进,网站其实本身是为用户服务的,我们不能只抱着为了优化而优化的态度,很多时候还是要考虑用户各方面的需求,只有各个细节都符合
    百度算法进一步成熟 图片展示功能得到完善

    百度算法进一步成熟 图片展示功能得到完善

    大家应该都有同感,这一年来百度的变化实在是太大了,其它的不说,直奔今天的主题,百度的图片展示功能,几个月前,百度在搜索结果展示中推出了图片展示功能,由于刚推出,算法还没有进一步的成熟,所以最先大家看到
    创始人如何利用个人品牌给公司带来用户和收益?

    创始人如何利用个人品牌给公司带来用户和收益?

    猎云网1月22日报道 (编译:Via)  猎云网注:也许不少企业家为自己的公司呕心沥血,却忽视了个人品牌的塑造。殊不知成功的个人品牌能为公司带来数百万的收益。本文让你跳出成功企业须以企业为本的思维定式
你是怎么知道非凡网赚网的?
  •   
  • 联系QQ 邮箱:976382653@qq.com 微信:976382653
    在线留言
    发布软文
    广告自助购
    文章调用
    常见问题
    保存到桌面