苹果“凶残”解决iOS10漏洞问题-低调大师

苹果“凶残”解决iOS10漏洞问题

2017-07-02 873

9月中旬在 iPhone 7 和 iPhone 7 Plus 上市前夕，苹果公司的 iOS 10 新一代移动操作系统上线了，很多用户都迫不及待地更新到这个新的系统版本中。iOS 10 为用户带来了在信息、地图、Siri、照片和 Apple Music 等更新，最重大的更新是苹果为 Siri 和信息等平台开放了更多的接口，用户为了体验这些便利都迫不及待地进行了更新。

根据苹果公司在其开发者支持页面上公布，截止 10 月 7 日 App Store 的数据显示 iOS 10 的安装率为 54%，看起来“权杖”的交接已经很顺利的完成。

不过也是在新系统上线后不久，有一个来自俄罗斯的团队 Elcomsoft 在其官方博客上透露，他们发现了一个存在于 iOS 10 系统上的新漏洞，可以用来破解 iTunes 的备份文件。即使是用暴力破解这种看上去不太“高端”的手段，攻击者都能够相比以前更快地获取备份文件中的信息。据说他们破解的速度“比之前的 iOS 版本快了大约 2500 倍”。

iOS 的备份文件被破解是非常危险的，因为诸如密钥、通讯簿、短信、通话记录、照片和视频等各种信息都会包含在里面，甚至还有已保存的密码记录，还有各种网站的身份验证令牌。一旦 iOS 10 环境下的 iTunes 备份文件遭到泄露，它就有被不怀好意者轻易破解的危险。

Elcomsoft 团队通过自家的破解工具去解析 iOS 10 的时候，他们发现 iOS 10 的备份文件中存在着另一种新的密码认证机制。让人惊讶的是，这个新的机制省略掉了某些安全检查，让黑客可以轻松又快速地获取关键信息。

这样的暴力破解攻击仅仅针对 iOS 10 设备所产生的，设置密码保护的本地备份文件，对旧式的备份文件效率不高。有趣的是，在 iOS 10 系统中，新的密码认证机制和旧有机制是并存的。这种破解手段仅和系统版本有关，无关机型，只要更新至 iOS 10，漏洞就会存在。

根据这个团队的测试结果，在暴力破解 iOS 9 的时候，如果是用英特尔 i5 处理器进行 CPU 运算，只能做到每秒钟尝试 2400 个密码而已。即使利用 Nvidia GTX 1080 这么强大的硬件进行 GPU 破解，也不过是每秒试验 15 万个密码。然而到了 iOS 10 上，还是用原来那块 i5 处理器，处理速度迅速暴涨到了每秒 600 万个密码。这样一来，找到正解的耗时就将被大幅缩短。

更可怕的是，Elcomsoft 表示自家的软件在更新后已经支持该攻击手段了。因为更新仓促，团队还没有为其加入相应的 GPU 加速。即便如此，它的破解速度和过去的版本相比已经快得吓人，Elcomsoft 暗示说效率其实还可以继续提高。

不过话又说回来，我们也不需要因此恐慌得不敢再用 iOS 10，因为黑客想要破解你的备份文件，大前提是他手头上要有你的备份文件。如果他好不容易终于访问到了你的电脑，突然发现你更习惯用 iCloud 来备份，那就白费劲了。

另外苹果方面已经承认了这个漏洞的存在而且已经采取了行动。在此前发布的 iOS 10.1 系统中苹果已经对这个问题进行了一次修复。而在最新发布的 iOS 10.2 的 beta 版本中，苹果在系统中对安全性能进行了进一步的强化，破解加密的 iTunes 备份比之前要困难得多。来自 iMazing 的安全专家表示，跟 iOS 10.1 相比，要破解 iTunes 备份密码需要多出大约 1000 倍的处理能力。新的测试版系统对于验证用户密码方面的处理能力要求变得更高了，它通过添加更多的迭代次数来生成密钥。苹果公司表示，从理论上来说，黑客想要破解密码需要 1000 年，简直太“凶残”了！

不过此前在刚刚发现这个漏洞的时候，Elcomsoft 的 CEO 弗拉迪米尔·卡塔洛夫（Vladimir Katalov）就表示，他仍然认为 iOS 是安全的。他在文章中说，破解已经变得越来越难。在 iOS 10 还没有越狱的眼下，物理手段是不可能的，即使是在旧机型上，即使你知道密钥。Cloud 破解只有在你知道用户的 Apple ID 和密码，或是访问他的电脑获取 iCloud 认证令牌后才能够实现。“苹果智能手机是安全的，iOS 也是安全的。”

安全意识强化

或许是因为今年年初苹果公司与 FBI 的一场风波，如今更多用户和个人都会注意自己的设备。今年早些时候 iOS 10 中还曝光了另外一个“安全问题”，有开发者在 iOS 10 测试版中发现苹果没有给 iOS 内核加密。

不过根据苹果方面的介绍，iOS 10 测试版内核没有加密的原因是为了在测试阶段，通过不给 iOS 10 的内核加密，鼓励更多人去研究他们的代码，从而发现存在的漏洞，这大大降低了苹果自己进行逆向工程的成本和难度，从而使得苹果更快地修复操作系统的漏洞，这就是苹果冒险一搏的原因。

所以我们其实不必担心 iOS 10 的安全问题，因为这正是苹果为了更快更全面地找到 iOS 10 系统中的漏洞和缺陷，并更快更好地修复它们，为用户提供更安全的服务而做的努力。这也正反映了苹果在其产品安全性方面的坚守和决心。

另外今年早些时候，苹果宣布推出漏洞奖励计划，根据研究人员所发现的漏洞和问题的不同，苹果公司最多会提供高达 20 万美元的奖励。如果是发现安全 boot 固件方面的问题，研究人员可以获得 20 万美元的奖励，但如果是小的漏洞，最多只能得到 25000 美元的奖励。

对于苹果公司来说，他们一直以来都强调用户数据安全，所以一般在旗下的平台中，他们应该不会粗心大意地漏掉一些容易被破解、对用户造成危害的漏洞，用户还是大可以放心的。

本文转自d1net（转载）

微信关注我们

原文链接：https://yq.aliyun.com/articles/125889

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

多款iOS版Office应用获更新：Outlook新增阿尔巴尼亚语

据外媒报道，微软Office团队继续在为推动其应用在各大平台上的发展而忙碌着，从Windows平台到Mac平台，从Windows 10 Mobile平台到iOS再到Android，他们是一个也不落下。该团队在iOS上的应用开发尤为忙碌，日前，他们就向iOS用户推送了Outlook、Word、Excel、PowerPoint的最新更新。其中，Word、Excel以及PowerPoint收到了同一个版本号更新(v1.20)，新功能介绍称“快速编辑！可以即时快速访问关键命令。（仅适用于 iPhone）”。而Outlook得到的则是v2.25版本号更新，此次它新增了阿尔巴尼亚语，并开始支持对.eml 格式的支持。以下为该版本更新的简介：“Mir dita! 在阿尔巴尼亚语中，这是“你好”的意思。比如，“你好，我们已将该应用翻译为阿尔巴尼亚语”。 Gjasht dhjet e tre. 在阿尔巴尼亚语中，这是 63 的意思。正如我们现已在 Outlook for iOS 支持 63 种语言一样。找不到你的语言？请通过我们的应用内支持让我们知道，然后我们会将其添加到我们的列表中。 PS：我们...

2017-07-03

599

本节书摘来自华章出版社《OpenGL ES应用开发实践指南：Android卷》一书中的第3章，第3.5节，作者：（美）Kevin Brothaler ，更多章节内容可以访问云栖社区“华章计算机”公众号查看。 3.5　在屏幕上绘制随着完成这些最后的连接，我们现在就准备好开始在屏幕上绘制了！我们将先画桌子，然后画分隔线和木槌。3.5.1　绘制桌子在onDrawFrame()结尾处，让我们在glClear()调用之后加入如下代码：我们首先通过调用glUniform4f()更新着色器代码中的u_Color的值。与属性不同，uniform的分量没有默认值，因此，如果一个uniform在着色器中被定义为vec4类型，我们需要提供所有四个分量的值。我们想要以画一张白桌子作为开始，因此，我们把红色、绿色和蓝色的值设置为代表完全亮度的值1.0f；阿

2017-07-03

624

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。