iOS10存高级安全隐患黑客入侵可比以往快2500倍-低调大师

iOS10存高级安全隐患黑客入侵可比以往快2500倍

2017-07-02 561

风波不断，近日有专业的iPhone黑客机构Elcomsoft公开表示，iOS 10存在非常大的安全隐患，全新的iTunes备份文件所采用的密码认证机制更容易遭到软件的暴力破解。

Elcomsoft指出，iOS 10在备份时“省略一些必要的安全检查”，这使得黑客们在使用CPU加速破解iOS 10时能比iOS 9使用更高速的GPU还速度40倍“入侵盗取”，如果更高规格的CPU，他们能比“iOS 9及以前版本快约2500倍的速度”尝试备份iOS 10密码”。

在获得用户的iTunes备份密码后，iPhone上的所有数据，甚至包括存储在Keychain中的所有数据（用户的秘密及敏感信息）都可以被轻易获取。截至目前，Elcomsoft使用相应技术已成功获取80%~90%的用户密码，虽然目前只开发出了使用CPU的破解方法，但相较于iOS 9的安全检查机制，iOS 10的安全性明显下降。

“我们发现了iOS 10的密码备份机制中存在一种全新的认证机制，自信研究后发现，它忽略了一些特有的安全检查”，Elcomsoft负责人Oleg Afonin的话得到了数据安全分析师Per Thorsheim的赞同。他表示，在iOS 9以及更早至iOS 4时期，苹果使用的是10000次迭代的散列算法PBKDF2，然而在最新的iOS 10中他们却转向了1次迭代的SHA256算法，后者让黑客只需单独尝试一个错误密码位，就能完成密码的破解，大大加快了强力破解密码的速度。

“这并不是一个好的算法”，Per Thorsheim在接受《福布斯》采访时指出，苹果做出如此的错误实属“奇葩”，“在安全方面坐下如此大的一个纰漏”足以让苹果“赢得年度最蠢奖项”。

截至目前，苹果已发表声明，该公司已经意识到了这一问题并开始修复，并正在修复这一漏洞。“我们知道，iOS 10中所用的最新iTunes备份密码认证机制容易遭到暴力破解，目前我们正在努力修复这个问题。但这并不会影响到iCloud的备份安全。”苹果的一位发言人表示，“我们建议用户为了确保Mac和PC的密码保护安全，进行只能授权用户访问的设置。另外额外的安全保障可以使用FileVault全磁盘进行加密。”

Elcomsoft CEO Vladimir Katalov告诉《福布斯》，手机的备份会包含非常精准的数据资料，从通讯录、信息、呼叫记录、媒体文件等，无论是已经保存过的密码还是邮箱、所有社交平台认证过的钥密，统统都包含在备份数据之中。因而，iOS 10的纰漏也将让用户的数据安全被暴露在更大的安全隐患之中。

本文转自d1net（转载）

微信关注我们

原文链接：https://yq.aliyun.com/articles/154193

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

苹果 SSL/TLS Bug的细节

近日，苹果向iOS用户推送了一个安全更新，指出在iOS系统中SSL/TLS安全连接存在严重的bug，但并没有给出更详细的说明。对此问题的解答已经出现在Hacker News的头条，我想大家都已经知道了这个漏洞，也不需要再胡乱猜测了。以下就是导致这个bug的一段代码： static OSStatus SSLVerifySignedServerKeyExchange(SSLContext *ctx, bool isRsa, SSLBuffer signedParams, uint8_t *signature, UInt16 signatureLen) { OSStatus err; ... if ((err = SSLHashSHA1.update(&hashCtx, &serverRandom)) != 0) goto fail; if ((err = SSLHashSHA1.update(&hashCtx, &signedParams)) != 0) goto fail; goto fail; if ((err = SSLHashSHA1.final(&...

2017-07-02

580

随着我国物流业的高速发展，尤其是快递行业的兴起，越来越多的人喜欢网上购物，而物流效率始终是关键，可节省货物运输时间，货物扫描时间等，进而赢得顾客的满意度。今天，中国POS机网小编将为大家重点介绍广东天波一高端产品——物流智能终端“生意火TPS390”。生意火TPS390是快递员的好助手，让货物从物流始发站、物流中转站到上门取件等各个环节畅通无阻。其主要通过读取货物的物流条码信息，实时与后台数据库双向传输，及时获取信息对订单进行集中处理，对资源进行统筹调度，实现货物存储、配送、装卸等业务，实时上传有效提高企业的操作效率和货物配送情况的准确度。此外，物流智能终端“生意火TPS390”为手持设备，方便物流员快速扫描单号条码，减少物流中转时间，提高物流运输效率。生意火TPS390采用5英寸五点电容触摸屏，人性化的操作界面，14个小键盘，可满足各种键盘输入，且支持多国语言，让沟通随时随地无障碍。外形温馨靓丽，有独特的手腕带设计，小巧精致，便于携带，适用于物流运输阶段各环节。同时，TPS390采用Android4.4系统，完美融合Android的强大作业优势，不仅可便捷对接各种系统，且价格...

2017-07-02

574

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。