文章来源:XY苹果助手作者:逍遥手游网发布时间:2016-08-29
iOS 9.3.5系统升级,背后隐藏的故事估计很多人都想不到,简直比《谍影重重5》还精彩!它背后究竟隐藏了怎样的故事,遇上同样的情况,我们又该如何防范?接下来且听我细细道来。
阿联酋知名民权活动家艾哈迈德·曼苏尔的 iPhone 6收到一条短信,称有“阿联酋监狱虐囚的新秘密”,文末附有超链接。如果他点下链接,这部 iPhone 便会被远程控制,发件人将能看到里面的所有短信、邮件、通话记录,并且可以追踪到屏幕上的每一次点击。甚至,他们可以监听手机周遭的声音,而曼苏尔的 iPhone 屏幕上什么都看不出来。
控制这部手机的,是以希腊神话中的“天马”(Pegasus)命名的黑客工具。
尽管整件事听上去和《谍影重重5》里中情局发起的远程攻击类似,但这不是好莱坞编剧构想的电影情节,而是已经发生的事情。
本周五,苹果发出 iOS 9.3.5系统更新,唯一目的便是为了防御“天马”的攻击。
类似电影情节的攻击
根据苹果公司的公告,iOS 9.3.5修复了三个由公民实验室(Citizen Lab)和 Lookout 提交的安全威胁。前者是多伦多大学国际关系学院下属的技术实验室,后者是一家位于旧金山的移动安全公司,曾曝光过多个手机漏洞。
在苹果发布升级补丁后,Lookout 官方博客刊文介绍了“天马”对 iPhone 的攻击能力。
非常可怕。可怕之处在于,“天马”利用这组漏洞的攻击不仅效果惊人而且悄无声息。
用户只要点击了特定链接,“天马”可以完全不留痕迹地装进用户的 iPhone。链接来源没什么要求,可以是短信、邮件也可以是社交应用,只要打开它就会安装“天马”。
“天马”可以将 iPhone 中所有未经加密的资料上传到指定服务器、并且还可以记录屏幕点击,这样一来就算加密的信息也能拿到了——只要加密就需要输入密码,拿到密码就有一切。
更夸张的是,“天马”可以静默启用 iPhone 的摄像头、麦克风监视主人活动。
除了什么都能干以外,“天马”在反追踪方面也颇下功夫,在4G 联网时它会放慢数据传输速度以避免过快消耗电力或流量。当手机连接 Wi-Fi 的时候则会加快数据偷取,让用户更难以察觉。
苹果8月中旬从 Lookout 和“公民实验室”收到了关于这一组漏洞的报告,在本周五推出安全补丁。
攻击败露是因为一个人权活动家的警觉
根据《纽约时报》的报道,阿联酋人权活动家艾哈迈德·曼苏尔(Ahmed Mansoor)的 iPhone 6 在8 月 10 日的时候,收到了攻击短信。
曼苏尔是“阿联酋五杰”(UAE Five)之一,曾因呼吁民主化改革在 2011 年入狱。作为一个工程师背景的异见人士,曼苏尔收到陌生人发来的短信后没有点链接,而是转给了“公民实验室”。
随后“公民实验室”和合作伙伴 Lookout 一路挖掘到了“天马”的起源。
阿联酋人权活动家艾哈迈德·曼苏尔
和电影里经常出现的黑客工具不同,“天马”不是什么天才少年黑客的作品,而是来自以色列科技公司 NSO Group Technologies。这套系统此前曾被曝光,但当时它所攻击的对象只是黑莓以及部分 Android 手机,不包括 iPhone。
NSO 开发出“天马”后,以平均 25000 美元攻击一个目标的价格向政府机构兜售。根据巴拿马地方报纸 La Prensa 去年调查政府非法监控丑闻时获得的信息,NSO 以 800 万美元的价格打包出售了针对 300 台设备的攻击。
但 NSO 公司声明称,曼苏尔手机被监控的情况公司并不知情。NSO 辩解说,他们的产品销售透明且合法,主要的目的适用于政府打击恐怖主义犯罪,间谍软件他们只卖给认可的政府组织。但 NSO 也说,至于软件卖出了具体要干什么,NSO 只是要求和建议,但并不负责。
2013 年,NSO 联合创始人 Omri Lavie 在接受《美国国防新闻周刊》的采访时称,他们能完全不被察觉地进入被监视对象的生活,不留痕迹。如今看来,所言非虚。
最安全的系统也不可能保证绝对安全
这次被攻破的 iOS 实际上几乎是普通消费者能买到的最安全的智能手机。
苹果除了互联网产品上常见的两步验证,还在旗下产品上启用了 two-factor 双重设备验证,引入硬件加密。
当你在其它地方登陆 Apple 账户的时候,双重设备验证会往你指定的硬件产品上发送验证码才能继续登陆。相比通过传统的两步验证,双重设备验证更加安全。
苹果双重设备验证,比互联网服务常用的两步验证更加安全
库克年初在用户隐私问题上公开反抗美国政府之后,进一步推进了全线产品的加密。
但此次被暴露出的 iOS 漏洞比美国政府“公开”希望获得的后门还要严重得多。
这是数字安全的现实,即便是业内最有钱的公司全力以赴,也不可能保证绝对安全。总是有人发现漏洞、公司再去补上。
这也是为什么美国主要科技公司在不留后门的事上为何如此步调一致——连想堵都堵不上,更别提刻意给人留一扇门了。
此次 iOS 的高危漏洞,如果曼苏尔欠一点警觉,或者攻击者准备得再周密一些,可能还会继续存在一段时间。
而用户更多的 Android 平台的漏洞就更多了,8 月份就有两个非常大的:Android 使用的 Linux 3.6 内核的一个漏洞可以让黑客通过网页访问嗅探用户的账号和密码,80% 的 Android 设备中招;另一个漏洞是高通芯片带来的,9 亿使用高通芯片的 Android 设备面临被黑客静默植入高权限木马的危险,而且修复补丁何时实装也遥遥无期。
不是名人你也不安全
关于数字安全一个常见的论调是,“我又不反动,有什么好怕的”。
的确,“天马”太贵了,不是重点目标,大概不会有人花十几万来获取你手机上的信息。(如果你还担心,可以用这个应用查一下)
但没人知道下一个系统漏洞会被什么人发现,下一个互联网公司的服务器会被什么人攻破。
不是每个黑客都像 NSO 公司有能力把武器高价卖给政府。要是下一个高危漏洞被一个急着换钱的黑客找到,可能就会变成一个大批量攻击的工具。
被人看短信、丢一个社交网络的密码或者邮箱密码,听上去可能不是特别大的事。但通过这些信息,攻击者有可能获得你的身份证号码、人际关系、出行计划,并将它们卖给诈骗者。
极少有人会相信中奖打 10 万过去的随机诈骗短信。但当骗子知道足够多的信息,而你又恰好在压力很大的时候,被骗的可能性就会大大增加。
比如“网购订单支付出现问题”、“你乘坐的航班被取消,请联络 xxx”的诈骗短信都屡屡成功。
这么做你的信息会安全一点
不要为省几块钱越狱。
收到提示后,及时升级操作系统。厂商的安全人员再努力也架不住你不升级系统。
不回复任何类似验证码的信息,有用户被人利用验证码的回复攻破了手机号码,偷走了所有存款。
不要使用相同的密码。近期 Dropbox 重置了一大批用户的密码,这些用户是 2012 年以后就没改过密码的人群,Dropbox 认为他们的账号有被撞库侵入的风险。
至少保住最关键的账号。很少有人能记得几十个复杂密码,你可以给特别不重要的服务都用相同的简单密码。但确保最关键的账号,比如支付宝、微信、Gmail、苹果账号用上不同的密码。
用 1Password 之类不上传到服务器的工具管理多密码,或者使用一种黑客永远也没法攻破的工具——拿笔写在本子上。
使用两步验证或者授权验证登陆。尽管通过短信的两步验证也有被攻破的风险,但有它远比没有安全。使用苹果设备的要开启 two-factor 双重验证。点击这里查看【两步验证防范Apple ID被盗使用技巧】
付款尽可能使用跳转到支付宝和微信的应用支付、少填银行卡号。今年一月,凯悦酒店集团的系统被黑客攻破,数百万客户的信用卡卡号和 CVV 码泄露——足以制卡盗刷,不需要支付密码。
海淘或为海外互联网服务付费的时候,尽量用 Paypal、Stripe、亚马逊之类的渠道支付,减少信用卡信息泄露的可能。
对于不常用的海外互联网服务,可以考虑买充值卡消费——同样是为了减少信用卡信息泄露。
注册互联网服务的时候尽量用邮箱,而不是更方便的手机号登录。当手机号和其它个人信息一同泄露,有可能帮助诈骗者编出更好的故事。大多数公司的短信验证都调用第三方服务,即便你相信自己注册的服务品牌,也没理由相信提供短信验证的公司。
如果实在不想用邮箱注册,微信也能提高安全性,它的登陆系统只授权名字和头像,对方能获得的信息比较少。
总之,填个人信息的时候不要那么实诚。在非绝对必要的情况外,少填真实个人信息,信息越多越容易被社会工程学利用。
最强祖师
最强祖师,一款超爽的修仙手游。
真实的修仙游戏 高自由的修仙游戏
巴风特之怒
巴风特之怒,不忘初心,续写RO新篇章!
mmorpg MMO
梦幻西游手游
各种多样化的乐趣玩法内容,可以进行自由的体验
西游题材 回合制
三国志战略版
燃尽天下九州烽火见证王侯将相崛起
烧脑竞技 三国志
迷你世界pc版
卡通3D的沙盒建造类手游,让玩家们的体验乐趣更加丰富。
像素沙盒 沙盒建造
勇士与冒险
勇士与冒险,探索古老遗迹,不断战斗闯关。
ARPG 打击感好的动作游戏
新仙剑奇侠传之挥剑问情
新仙剑奇侠传之挥剑问情,守护神助你闯江湖。
国风元素 仙剑系列
元尊
元尊是一款以中国传统仙侠世界为背景的角色扮演游戏。
耐玩的角色扮演游戏 rpg仙侠类手游
这城有良田内置菜单
轻松有趣的放置模拟经营游戏
模拟经营 放置经营
三国志战棋版
三国志战棋版,英雄只待成名时!
SLG策略国战 三国志单机版手游
战斗法则
战斗法则,守护这片世界的文明。
可以触摸的二次元游戏 高画质的格斗游戏
魔域手游2
魔域手游2,重返热血无双称霸之路!
魔域单机手游 正版手游魔域
远征将士
养成和策略相结合的玩法,给玩家带来深度和挑战。
卡牌对战 冒险闯关
蛋仔派对网易版
蛋仔派对网易版,和好友一起结伴闯关吧!
派对 可爱
斗罗大陆魂师对决
超高品质 100%还原真实斗罗世界
高颜值 人气3d动漫人物的游戏
率土之滨
一个真正拥有高自由度的沙盘世界
SLG 可以攻城掠地的游戏
三国志幻想大陆官服
日系画风的三国世界,感受无双的卡牌对决。
回合制 三国
光明冒险
超级有趣的魔幻冒险,超级轻松的战斗过程。
卡通 操作简单
漫威超级战争
展现超级英雄战斗特色,还原漫威宇宙宏大世界观。
MOBA 网易游戏
和平精英体验服
精品趣味枪战射击游戏,带你走进这个不同的世界当中。
开放 不肝不氪
满攻速传奇
满攻速传奇魂环版,上线即可满攻速。
攻速快暴击高 超变攻速传奇
明日之后
全新的无缝衔接地图,让玩家体验真正的开放世界
角色扮演 2023什么手游好玩
航海王热血航线
热血海贼对战,指尖微操快感!!!
朝夕光年游戏 人气3d动漫人物的游戏
口袋觉醒
经典宠物精灵,为玩家带来更多的精彩体验
精灵 宠物
小小蚁国
诸多蚂蚁可以供选择培养和养成
模拟经营 战争策略