俄罗斯安全研究员Vladimir Katalov分析了苹果的iCloud和Find My Phone协议，发现二者都未受到双因素认证的保护，而在用户完全不知情的情况下，就可以远程下载iCloud数据。

    上周四在马来西亚吉隆坡举行的黑客安全大会上，Vladimir Katalov通过“破坏及分析苹果iCloud协议”的演讲告诉与会者，iCloud的信息和数据并不是向苹果对外界宣称的那样，完全不能访问。

    Katalov的发现佐证了他原来强调的说法，他曾表示苹果可以访问那些自己宣称无法访问的数据。

    恶意攻击者只需要一个苹果ID和密码执行远程iCloud备份——都不需要连接用户的设备。

    他解释称，用户没法加密自己的iCloud备份。

    数据被加密，他解释道，但是密钥和数据是一起保存的。Katalov补充道，密钥在苹果公司手上。

    Katalov对至顶网说，在一连串的安全连锁事件后，苹果的iCloud数据还保存在微软和Amazon服务器上，对此他很震惊。

    Katalov的演讲指出，由于苹果为第三方存储供应商提供了完整的请求信息，所以苹果可以把这些数据提供给执法部门。

    在苹果七月就NSA棱镜门监控事件的发表的公告上，苹果否认设置了任何后门供政府机构访问服务器。苹果明确表示，“苹果不会让执法部门访问其服务器。”

    当用户执行iCloud备份下载的时候，他们收到了一封邮件，通知用户进程是完整的。

    Katalov发现，执行远程下载的时候，用户不会接收到通知邮件。如果有人通过第三方远程从iCloud访问和下载用户数据，用户全然不知。

    Katalov的努力意味着有人首次分析并向公众发布了苹果秘密iCloud协议的。

    Vladimir Katalov偷偷潜入越狱后的苹果设备，分析了苹果iCloud和Find My Phone——不过，他也解释称，在没被越狱的手机上，照样可以利用他发现的远程备份协议漏洞。

    他在上周四的演讲中告诉与会者，分析数据流量并非难事。

    苹果的iCloud数据由用户的数据备份构成。包括文档，Dropbox文件和敏感用户数据。

    在他的分析里，Katalov发现，iCloud文件是作为容器来保存——plist和content——以化整为零的映射模式进行（把文件转化成较小的数据块）。

    但是他发现，苹果的双因素认证，也就是用户名和密码之外的安全层，并未用于iCloud备份（或Find My Phone）。

    苹果的两步认证法不能保护iCloud备份，Find My Phone的数据及保存在云中的文档。Katalov在博客中进一步做了解释，参看“苹果的双因素认证和iCloud。”

    Katalov向黑客安全大会的与会者展示了，如何用一些简单的询问就获取认证令牌，从而访问iCloud备份，备份ID和密钥。然后，就可以从Windows Azure或Amazon AWS下载文件。

    至顶网在其演讲结束后，对他进行了采访以获取更多信息。

    当问及是否已经把这个发现提交给苹果时，他解释称，自己的发现是协议分析结果——并不是曝光一个漏洞。

    另一方面，iCloud的安全问题属于“特性，并非漏洞”。

    当至顶网询问Katalov是否有办法解决这一问题时——如将双因素认证扩展到iCloud和Find My Phone服务——他摇头称，苹果的双因素认证部署只能算“后知后觉”。

    Katalov告诉至顶网，用户想保护iCloud数据，最好的办法就是别用iCloud。

    不过，Katalov告诉我们，他仍然将苹果iCloud作为备份服务使用。“虽然它并不太安全，但我仍在安全和隐私之间取舍，”他说。

    由于远程攻击者需要苹果用户的ID和密码，所以大多数恶意实体还碰不到数据。

    但是，获取苹果用户ID和密码并非不可能的事情——除了邮件钓鱼技巧以外（此法比大多数看似可信的方法都有效）。社交工程技巧非常普遍，而且非常有效。

    最近的一个例子是，挪威苹果用户的ID数据接二连三被盗。在今年二月，有大量少女被一群男生锁定，这些男生通过推测出了这些女生的用户ID和密码恢复信息，随后进入了这些女孩的苹果账户，下载了这些女生的相片和数据——最后还拿到网上售卖。

    Katalov在黑客安全大会的演讲上，告诉听众，他很惊讶地发现，当用户关闭定位追踪服务的时候，用户的位置信息仍然会保存三到六个小时。

    我们想知道，是否这就是Katalov提出，即将分析Touch ID协议和存储的原因——他对至顶网说，是因为iOS7被破解。

    “苹果称从未发送过信息，也从未将信息复制到本地（存储）”他补充道，“但我并不确定。”

    至顶网询问Katalov，为什么在苹果特别声明没有发送Touch ID信息后，会有这种感觉。

    Katalov眼中闪烁着光芒，露出了男孩子般的微笑。他用浓重的俄式口音重复道“别相信任何人”。

    至顶网页联系了苹果，希望苹果公司发表一下意见，如果苹果给出任何回应，我们将做出更新。

第四十一届CIO班招生
国际CIO认证培训
首席数据官（CDO）认证培训

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。