标签: 苹果

全美警局已普遍拥有破解 iPhone 的能力

来自 Motherboard 的报道称,目前全美范围内的当地警署以及联邦机构都可以很轻易的获取到解锁 iPhone 的专用工具,绕过加密手段轻松解锁嫌疑人的 iPhone,即使设备更新至最新版的操作系统也没有问题。尽管执法机关在公开场表示仍在寻找破解安装最新的 iOS 系统的较新的 iPhone 的方法,但这显然不是事实。 约翰霍普金斯信息安全学院的助理教授和密码专家 Matthew Green 向 Motherboard 透露,目前看来,即使州或者当地警署也能在各种情况下访问这些数据。这与 FBI 表示的无法访问这些 iPhone 的说法大相径庭。 执法机关使用的是一种被称作 GrayKey 的解密工具,据称可以在数小时内解锁 4 位 iPhone 密码,不过 6 位密码可能需要花上两三天时间。GrayKey 是由一家称作 Grayshift 的初创公司开发的,其创始人 Braden Thomas 是前苹果安全工程师,据称其在苹果五个专利中都有署名。 稿源:cnBeta,封面源自网络;

华尔街日报:Facebook隐私丑闻把苹果谷歌一块拖下水

近日,《华尔街日报》科技专栏作家克里斯托弗·米姆斯( Christopher Mims )周日撰文称,在用户隐私保护上,美国科技巨头过去几乎处于自由放任的监管环境中,自律意识淡薄,但是一切即将改变。虽然现在只有 Facebook 数据泄露丑闻被曝光,但是苹果、谷歌、亚马逊的“底子也不干净”,也会被一同纳入监管。 文章内容如下: 我们终于认识到了一个现实:我们不仅仅是 Facebook、谷歌等公司的“产品”。正如一位硅谷投资者所言,我们还是他们增长的助推剂。 至少,从我们的个人数据来讲是这样的。每周,我们似乎都能在美国和欧洲听到关于我们信息被盗、被泄露和利用的最新报道。同时,人们不断呼吁政府加强监管和消费者保护。 我们认识不够的是,苹果、亚马逊公司同时会受到多大程度的影响,不管是正面影响还是负面影响,因为他们必须与付费用户保持直接联系。(另一科技巨头微软公司在智能机革命过程中并未发挥重大影响力,也没有实现与其他公司类似的增长,但是也必须遵守未来出台的监管规定)。 过去 10 年,营收和市值的爆炸式增长足以令这四家公司傲视全球经济。但是,他们身处的自由放任的监管环境似乎真的即将结束。 Facebook 是导火索 Facebook 是造成科技巨头面临更严格监管的导火索:在政治圈里,公众人物的表态和近期调查显示,美国人突然对 Facebook 的“权力”感到更加担心。就在 6 个月前,这种担心还有些杞人忧天,但是现在却成了现实。密苏里州总检察长正要求 Facebook 披露哪些政治活动通过付费方式获得了用户个人数据,以及用户是否知道个人信息被分享。 在欧洲,严格的数据保护规定《通用数据保护条例》(GDPR)将在今年 5 月 25 日生效。《通用数据保护条例》加入了“有效而且具有劝诫作用”的罚款。根据违例程度的不同,包括不当处理个人数据,让儿童使用非适龄服务或查看不宜内容等,最高罚款可达到一家公司全球营收的 4%。按照 2017 年营收计算,Facebook 可能面临 16 亿美元罚款。 Facebook CEO 马克·扎克伯格( Mark Zuckerberg )近期表示,他的公司正在努力把《通用数据保护条例》适用范围扩大到每一名用户身上。他还表示,Facebook 等公司的自律必不可少,并支持对发布政治广告的互联网公司进行检查。在这一点上,Facebook 此前就已经承诺过。 苹果谷歌亚马逊受波及 谷歌的广告模式对数据的需求程度与 Facebook 不相上下,只是不收集我们的搜索历史和位置。谷歌旗下 YouTube 平台能够追踪用户的媒体喜好。自 2012 年以来,谷歌从其所有产品中收集我们的数据。 在与监管部门打交道上,谷歌更有经验。2013 年,谷歌与美国联邦贸易委员会就竞争争议达成和解。几个月来,谷歌一直在宣传他们在遵守《通用数据保护条例》上付出的努力。不过,和Facebook不同的是,谷歌并不打算把类似于《通用数据保护条例》的规定应用到所有国家,所以类似规定应该不会很快在美国实施。 亚马逊已经在运营一项年营收达到 28 亿美元的广告业务,通过收集数据投放目标广告。鉴于亚马逊的零售和广告生态系统几乎能够自给自足,所以它不必像对手那样对其许多行为展开大幅调整。不过,《通用数据保护条例》对亚马逊造成的负担目前还不清楚,这需要用户以及他们律师的检验。 “长期以来,亚马逊一直坚守在隐私和数据安全上的承诺。当《通用数据保护条例》生效后,我们致力于遵守它的规定,”亚马逊发言人称。 《通用数据保护条例》很可能会在短期内加强苹果在隐私保护上的声望。“苹果会发现,《通用数据保护条例》与他们的价值观十分契合,”Facebook 早期投资人罗杰·迈克内米(Roger McNamee)表示。 苹果 CEO蒂姆·库克(Tim Cook)称,他们从来不会在用户隐私上犯下和 Facebook 一样的错误。但是,库克的信心掩饰了一个事实:现在,绝大多数用户通过移动设备访问 Facebook。如果没有 iPhone 和其他 Android 手机,Facebook 甚至都不会存在。 苹果还为开发者获取有利可图的个人信息创造了机会。例如,iPhone 和 Android 手机的权限设置模糊,这就意味着我们距离让陌生人出售我们的位置数据只有一次点击。 尽管苹果在 App Store 中实施了隐私规定,要求开发者在获得不同寻常的丰富信息时需要获得用户的同意,但是它并不要求每一位开发者按照相同的严格标准保护隐私。 现在,Facebook 可能是被报道最多的公司,但是从长期来看,苹果、谷歌以及亚马逊很可能也会面临理直气壮的监管部门的审查。监管部门不仅会为企业如何处理用户数据制定新规,还会对直接收集数据的设备进行监管。 稿源:cnBeta、凤凰网科技,封面源自网络;

苹果计划 2020 年在 Mac 上使用自家处理器

据彭博报道,苹果计划 2020 年开始在 Mac 上使用自己的处理器,取代英特尔的产品。受此消息影响,英特尔股价盘中大跌 9.2%,创下两年来盘中最大跌幅。英特尔收盘价报 48.91 美元,跌幅缩小为 6.07%,市值为 2283.6 亿美元。 彭博援引知情人士称,该计划的代号为 Kalamata,目前还处于早期阶段。这是一个更大计划的一部分,即让苹果的各种产品 Mac、iPhone、iPad 等无缝连接在一起。 对此消息苹果不予置评,英特尔则表示不评论有关客户的猜测。 对于两家来说,这都是一个很重要的变化。 从英特尔的角度来说,PC 处理器上英特尔最核心的业务之一,而苹果是英特尔的大客户。据彭博的供应链分析,苹果为英特尔提供了大约 5% 的年营收。如果苹果的计划落地,相当于砍掉了英特尔一笔稳定的收入。 虽然按照出货量计算,在主流 PC 制造商里苹果排在后面,但是按照收入算的话,苹果则排在第三位,凸显了苹果产品的高端地位。 彭博并援引了 Stifel 分析师 Kevin Cassidy 的看法,他认为苹果此举并不会对英特尔的营收造成太大影响,因为来自苹果的收入只占一小部分,据估计 2017 年苹果业务占英特尔总收入的比例约为 4%,利润不到 1%。因此,英特尔股价大跌属于市场反应过度。但这可能形成一个对英特尔不利的趋势,即大客户们开始设计自己的组件,弃用英特尔的产品。 而从苹果的角度来说,如果 Mac 使用苹果自己的处理器,就可以按照自己的时间表发布新品,不必受限于英特尔的排期。目前,iPhone、iPad、Apple Watch 和 Apple TV都在使用苹果设计的核心处理器。 另外,这一转变将使得苹果成为为唯一的使用自己处理器的大型 PC 制造商,惠普、戴尔、联想、华硕等公司都在使用英特尔的处理器。而这一转变将使苹果可以更快地为其产品推出新功能,从而在竞争中增添更多筹码。 通过使用自己的处理器,苹果将能够更紧密地整合新的硬件和软件,从而可能产生更好的电池使用系统——类似于使用苹果芯片的 iPad。 虽然硬件上苹果的计划从 2020 年开始,但是软件的变革将在此之前开始。苹果为 iPhone 和 iPad 配备了定制芯片,使用 iOS 系统,而搭载英特尔芯片的 Mac 则运行在 MacOS 系统上。 彭博此前报道称,为了让 Mac 更像 iPhone,苹果公司正在研发一款新的软件平台,名为 Marzipan,最早将于今年发布,用户可以在 Mac 电脑上运行 iPhone 和 iPad 应用程序。 Mac 此前还采用过基于 AMR 协处理器的系统,这个系统在某些特定功能上类似于 iOS,比如安全方面。最新的 MacBook Pro 和 iMac Pro 包括了这款处理器。据知情人士透露,苹果计划在明年推出的新版 Mac Pro 和今年计划推出的 Mac Laptop 都将采用该处理器。 稿源:凤凰网科技,封面源自网络;

扎克伯格再次就数据泄露事件发声:解决问题需要数年

据《每日邮报》北京时间 4 月 3 日报道,据马克·扎克伯格( Mark Zuckerberg )称,Facebook 需要“数年时间”才能解决这次滥用用户数据暴露出来的问题。在接受新闻网站 Vox 采访时,扎克伯格对公司的商业模式进行了辩护,并还击了苹果 CEO 蒂姆·库克( Tim Cook )上周对 Facebook 的批评。 扎克伯格还表示,Facebook 的问题之一是它过于“理想主义”,专注于把人们联系在一起的积极影响。 扎克伯格说,他没有花足够的时间考虑使用这些工具的一些负面影响,“我认为现在人们在恰当地关注部分风险和不足之处。我认为我们将全面调查、解决存在的问题,但这需要数年时间。我当然希望我能够在 3 到 6 个月内解决所有问题。但我认为,现实情况是,即使只解决部分问题,就需要更长的时间“。 扎克伯格还反驳了库克对 Facebook 商业模式的批评。库克上周称,Facebook 的商业模式就是收集用户资料,然后卖给广告客户获利。 但扎克伯格声称,Facebook 的商业模式是向人们提供免费服务、不像苹果那样卖天价产品的唯一方式,“我们想让全世界的所有人联系在一起,但许多人无力承担所需的费用。与大量媒体一样,通过广告创收的模式是唯一合理的模式”。 自 3 月 16 日—— Facebook 承认用户数据被不恰当地泄露给剑桥分析公司——以来,Facebook 股价累计下跌了 13%,市值蒸发逾 700 亿美元。扎克伯格个人财富蒸发逾 100 亿美元,只剩下约 600 亿美元。 稿源:cnBeta、凤凰网科技,封面源自网络;

macOS High Sierra 以明文存储外部 APFS 驱动密码

根据 Mac 取证专家 Sarah Edwards 的报告,新版 macOS High Sierra 再次出现 APFS(苹果文件系统)漏洞,以明文形式记录 APFS 格式化外部驱动器的密码,并将此信息存储在非易失性(磁盘上)日志文件中。 攻击者可以利用这个漏洞轻易获取加密 APFS 外部驱动(如 USB 驱动器、便携式硬盘驱动器驱动和其他外部存储介质)的密码。这个漏洞违反了所有已经确立的 Apple 开发和安全规则,根据这些规则,应用程序和实用程序应该使用 Keychain 应用程序来存储有价值的信息,并且应该明确避免以明文形式存储密码。 目前,macOS High Sierra 的 10.13 版本到 10.13.3 版本都受影响。苹果尚未发布补丁。 稿源:freebuf,封面源自网络;

1.5 亿用户数据被泄露 Under Armour:不涉及敏感信息

本周四,美国著名运动装备品牌 Under Armour 称有 1.5 亿 MyFitnessPal 用户数据在上个月被泄露了,MyFitnessPal 是一款 Under Armour 旗下的食物和营养主题应用。此次关于用户数据泄露的声明使得该公司的股票价格下跌了 2.4%。 据该公司称,此次数据泄露事件影响到的用户数据包括用户名、邮箱地址、和加密的密码。 Under Armour 表示,该数据泄露事件并没有涉及到用户的社会安全号码(Social Security numbers)、驾驶证号、和银行卡号等隐私信息。 该运动装备制造商称,是在 3 月 25 日才发现的此次数据泄露事件,并从那时就开始通知受影响用户。 Under Armour 正在和一家数据安全公司一起协作调查此次事件,有关监管部门也参与到了其中。 MyFitnessPal 是一款在苹果和谷歌应用商店中很受欢迎的应用,允许用户跟踪每天消耗的卡路里、设置运动目标、集成来自其他运动设备的数据,还可以分享运动成果到类似 Facebook 这样的社交平台上。 稿源:cnBeta、新浪科技,封面源自网络;

苹果:将通过软件更新修复 Siri 读取锁屏隐藏信息的 Bug

近日爆出 iOS 11 存在 Siri 可以读取第三方 App 锁屏隐藏信息的 Bug,今天早些时候苹果已经确认此事并将通过软件更新进行修复。苹果在声明中表示,已经意识到问题的存在并将通过一次软件更新将其修复。如果按照目前状况分析,这次更新很可能指的就是 iOS 11.3,不过也有可能苹果会通过一次小幅更新来尽快解决此事,比如 iOS 11.2.7。 之前巴西一家网站曝光了 Siri 的这个泄露隐私的问题,Siri 并不会朗读苹果自家信息应用的锁屏隐藏消息,但会朗读第三方的,比如 Facebook Messenger、WhatsApp 和 Gmail。由于 Siri 并不区分用户的声音,所以任何人都可以通过 Siri 来窥探机主的隐私信息。 值得一提的是,虽然 Siri 无法读取信息应用的锁屏隐藏信息,但可以读取邮件应用的主题。 稿源:cnBeta、MacX,封面源自网络;

苹果公司解决 WebKit 框架中的 HSTS 用户跟踪问题

苹果公司为 WebKit 框架添加了新的保护措施,以防止可能滥用 HTTP 严格传输安全(HSTS)安全标准来跟踪用户。HSTS 提供了一种机制,通过这种机制,网站只能通过安全连接和直接浏览器访问安全版本所在的位置来声明自己。 基本上,当用户尝试连接到网站的不安全版本时,HSTS 强制浏览器转到网站的 HTTPS 版本。 由于 HSTS 告诉网络浏览器在被重定向到安全位置时记住并且将来自动去那里,可以创建一个“超级 cookie”,并且它可以被跨站点跟踪器读取。攻击者可以利用用户的  HSTS 缓存在设备上存储一位信息。 通过注册大量域并强制从受控子域中加载资源,攻击者“可以创建足够大的比特向量来唯一地表示每个站点访问者。” 在 HSTS 规范中描述了这个问题:“对于那些控制一个或多个 HSTS 主机的人来说,将信息编码成他们控制的域名是可能的,并且使得这些 UA 缓存这些信息当然是在注意 HSTS 的过程中 主办。 这些信息可以由其他主机通过巧妙构建和加载的网络资源来检索,导致 UA 发送查询到(变体)编码的域名。“ 缓解这种跟踪攻击并不容易,因为它需要平衡安全和隐私目标。 但是,由于 HSTS 的隐私风险仅作为理论追踪向量呈现,但尚未提供实际恶意滥用协议的证据,因此浏览器将遵守网站提供的所有 HSTS 指令。 苹果最近意识到这种理论攻击已经开始针对 Safari 用户进行部署。 这促使这家科技巨头开创了一个既保护安全网络流量又减少跟踪的解决方案。由于 HSTS 漏洞需要创建一个初始跟踪标识符并读取它,苹果建议对攻击双方进行缓解。 一方面,苹果公司修改了网络堆栈,只允许为加载的主机名或顶级域 + 1 设置 HSTS 状态。因此,跟踪器不能再有效地在大量不同的位上设置 HSTS,但需要单独 访问跟踪标识符中具有活动位的每个域。 WebKit 还限制了可以链接在一起的重定向数量,从而限制了可以设置的位数。另一方面,当动态 HSTS 导致一个不安全的第三方子资源从被阻塞的 cookie 升级到认证连接的域中加载时,苹果还修改了 WebKit 以忽略 HSTS 升级请求(并使用原始 URL)。 在内部回归测试,公共种子和最终的公共软件发布期间收集的遥测数据表明,上述两种缓解成功地阻止了 HSTS 超级 cookie 的创建和阅读,同时又不会使第一方内容的安全目标退步。 我们相信他们符合最佳实践,并保持 HSTS 提供的重要安全保护。 稿源:东方安全,封面源自网络;

英特尔八代至强和酷睿处理器将彻底解决熔断和幽灵漏洞

英特尔 CEO Brian Krzanich 今天宣布,下一代至强 Scalable(Cascade Lake)处理器和第八代英特尔酷睿处理器将采用全新设计的组件,并解决了 “Meltdown”(熔断)和 “Spectre”(幽灵)漏洞。“Spectre”(幽灵)变种 1 仍然需要通过软件解决。英特尔的下一代处理器将通过硬件设计的变化解决 “Spectre”(幽灵)变种 2 和 “Meltdown”(熔断)变种 3。 下一代至强 Scalable(Cascade Lake)处理器和第八代英特尔酷睿处理器将于2018年下半年面向厂商出货。除了硬件变化,英特尔还表示,将会对过去5年终所有的产品推出软件微代码更新,并建议所有顾客将系统升级到最新版本。 苹果在今年1月初开始解决“Meltdown”(熔断)和 “Spectre”(幽灵)漏洞,并发布了 iOS 11.2、macOS 10.13.2 和 tvOS 11.2 等升级修复熔断漏洞。iOS 11.2.2 和 macOS High Sierra 10.13.2 补充更新修复幽灵漏洞。 稿源:cnBeta,封面源自网络;

苹果警告消费者要警惕新一轮的 App Store 钓鱼邮件

据外媒 BGR 报道,在访问不熟悉的网站或从无法识别的来源打开电子邮件时,通常是再小心也不为过,但有时很难分辨真假。例如,最近几周,App Store 用户的收件箱中出现了令人信服的新型网络钓鱼骗局,虽然它不是特别具有创新性,但它显然已经成为一个苹果觉得有必要警告其客户的问题。 9to5Mac 在周二分享了其中一个钓鱼电子邮件的副本,该副本显示为用户实际没有注册的服务的订阅确认。在电子邮件中,用户会收到警告,他们已经注册了 YouTube Red 的 30 天免费试用版,并且一旦试用期结束,他们将被收取 144.99 美元/月的费用。 这个骗局的关键是让用户点击链接取消订阅(他们从未真正注册过)。一旦他们点击,他们会被要求提供一系列敏感信息,从 Apple ID 到信用卡详情。 为了应对此类网络钓鱼尝试,苹果公司在其网站上发布了一个页面,解释如何识别来自假冒的 App Store 或 iTunes Store 电子邮件。以下是用户在看到苹果发送的电子邮件时需要注意的事项: 如果您收到一封关于 App Store 或 iTunes Store 购买的电子邮件,并且您不确定它是否属实,那么您可以查找一些可帮助确认该消息是否来自苹果的信息。 从 App Store、iTunes Store、iBooks Store 或 Apple Music 购买的正版购物收据包含您当前的帐单邮寄地址,这些骗子不太可能拥有。您还可以查看您的 App Store、iTunes Store、iBooks Store 或 Apple Music 购买记录。 有关您的 App Store、iTunes Store、iBooks Store 或 Apple Music 购买的电子邮件绝不会要求您通过电子邮件提供此类信息: 社会安全号码 母亲的娘家姓 完整的信用卡号码 信用卡 CCV 码 稿源:cnBeta,封面源自网络;