标签: 苹果

盘古团队演示 iOS 14 越狱:发现 Secure Enclave 存“不可修复”漏洞

日前召开的 Mosec 2020 大会上,国内越狱团队盘古发现了苹果 Secure Enclave 安全协处理器上的一个“永久性”的漏洞。这可能会让 iPhone、iPad、Mac、Apple Watch 和其他苹果设备处于危险当中。 Secure Enclave 安全协处理器几乎是苹果产品的标准配置,它能为苹果设备提供额外的安全保护,使用随机密钥对数据进行加密,只有 Secure Enclave 才能访问。这些密钥对你的设备来说是独一无二的,而且它们绝不会与 iCloud 同步。 除了加密你的文件之外,Secure Enclave 还负责存储管理敏感数据的密钥,如密码、Apple Pay 使用的信用卡,甚至是你的生物特征识别以启用 Touch ID 和 Face ID。这使得黑客更难在没有密码的情况下获取你的个人数据。 需要注意的是,虽然 Secure Enclave 芯片内置在设备中,但它的工作原理与系统的其他部分完全分离。这确保了应用程序不会访问你的私人密钥, 因为他们只能发送请求解密特定的数据,如你的指纹,通过 Secure Enclave 解锁应用程序。即使你的设备已经越狱,可以完全访问系统的内部文件,但所有由 Secure Enclave 管理的东西仍然受到保护。 目前采用 Secure Enclave 芯片的设备包括 iPhone 5s 及更高版本 iPad(第 5 代)及更高版本 iPad Air(第一代)及更高版本 iPad mini 2 及更高版本 iPad Pro 带有 T1 或 T2 芯片的 Mac 计算机 Apple TV HD(第 4 代)及更高版本 Apple Watch Series 1 和更高版本 HomePod 事实上,这并非是首次披露 Secure Enclave 相关的漏洞。2017年,一群黑客能够解密 Secure Enclave 固件,以探索该组件的工作原理。然而,他们无法获得私钥的访问权限,因此用户并没有任何风险。 不过现在,来自中国的盘古团队在苹果的 Secure Enclave 芯片上发现了一个“不可修补”的漏洞,可能导致私人安全密钥的加密被破解。这意味着这个漏洞存在于硬件中,因此苹果无法通过软件更新的方式进行安全升级。 目前盘古团队并没有进一步说明该漏洞的细节,但如果能够完全访问 Security Enclave ,意味着攻击者可以获得密码、信用卡等信息。目前我们唯一知道的是,Secure Enclave的这个漏洞会影响到A7和A11 Bionic之间的所有苹果产品。 尽管苹果已经修复了A12和A13 Bionic芯片的这一安全漏洞,但仍有数百万运行A11 Bionic或更老芯片的苹果设备可能受到这一漏洞的影响。     (稿源:cnBeta,封面源自网络。)

澳大利亚黑客在 Twitter 上发布苹果员工机密信息后被判缓刑

一名澳大利亚男子因从苹果公司的服务器中提取员工资料并在Twitter上发布,被判处5000澳元的罚款和18个月的观察期。据Bega地区新闻报道,24岁的Abe Crannaford周三在伊甸园当地法院出庭接受宣判,此前他在2月份对两项未经授权访问或修改受限数据的罪名表示认罪。 在2017年中和2018年初,Crannaford从这家总部位于美国的大型企业中提取了仅针对员工的受限信息。2018年1月,Crannaford在其Twitter账号上发布员工信息,并据称在GitHub上提供了该公司固件的链接,让这起黑客事件达到了高潮。 裁判官道格-迪克对他处以5000美元的罚款,然而他并没有对Crannaford进行判刑,而是给予他18个月的观察期,如果在观察期内违反了相关规定,将导致额外的5000美元罚款。 Crannaford的辩护律师Ines Chiumento辩称,苹果公司通过其赏金计划奖励寻找漏洞和bug的黑客,在某种意义上 促进了黑客的发展。检察官承认苹果公司存在悬赏计划,但称Crannaford多次入侵网站,并与他人共享受限数据,苹果公司的悬赏的概念与Crannaford的行为背道而驰。     (稿源:cnBeta,封面源自网络。)

苹果为 ID 验证漏洞 支付十万美元赏金

近日,苹果最近向印度漏洞研究人员Bhavuk Jain支付了100,000美元赏金,奖励其发现影响“ 使用Apple登录 ”系统的严重漏洞。该漏洞是Bhavuk上个月向苹果安全团队报告,目前苹果现在已修复此漏洞。这个已修补的漏洞,可以使远程攻击者绕过身份验证,接管使用“使用Apple登录”选项注册的第三方服务和应用程序上的帐户。 去年,苹果公司在WWDC会议启动了“苹果ID ”登录第三方的保护隐私机制,该机制允许用户使用苹果ID注册第三方应用程序帐户,并且无需透露实际电子邮件地址。 Bhavuk Jain 在向媒体表示,他发现的漏洞存在于Apple在启动过程中,与苹果服务器认证过程中。 对于那些不了解实际情况的用户,在服务器上通过“使用Apple登录”进行用户身份验证时,可以生成JSON Web令牌(JWT),其中就包含第三方应用程序发来确认登录用户身份的机密信息。 Bhavuk发现,尽管Apple会要求用户在发起请求之前,登录Apple帐户,但是并没有验证是否是同一个人在身份验证服务器请求JSON Web令牌(JWT)。 所以,该机制中缺少的验证问题,可能允许攻击者获取属于受害者的单独Apple ID,从而诱骗Apple服务器生成有效的JWT,最终导致受害者的身份信息被其他人从第三方获取。 Bhavuk表示:“我发现可以向JWT请求来自Apple的任何电子邮件ID,并且使用Apple公钥验证获取的令牌签名后,就可以登录。这意味攻击者可以通过链接获取任何Email ID 并通过访问权限伪造JWT,进而访问受害者帐户。” 即使在第三方服务中隐藏电子邮件ID,该漏洞仍然有效,并且黑客可以利用该漏洞利用受害者的Apple ID来注册新帐户。 Bhavuk还补充说:“此漏洞的影响非常严重,因为它可能导致整个帐户被黑客接管。” 现在许多开发人员已将Sign In与Apple集成在一起,因为这种方式可以帮助其他社交工具减少获客成本。开发人员表示,尽管该漏洞存在于Apple代码端,但是用户“使用Apple登录”的服务和应用程序中并不受到影响,而且苹果公司现在已修复此漏洞。在发放奖金之后,苹果公司正在公司的服务器进行调查,从而确定过去因为该漏洞被影响和破坏的帐户。 需要注意的是,除了这次漏洞,本月早些时候德国达姆施塔特大学的研究人员检查了 MagicPairing 协议中,还发现了iOS、macOS 和它们之间的十个公开漏洞,这些漏洞至今尚未得到解决。     (稿源:雷锋网,封面源自网络。)

苹果正在更新大量 iOS 应用:很可能跟近期出现的一个漏洞有关

据外媒报道,在过去的几个小时时间里,一些MacRumors的读者报告称,他们的iOS设备的App Store出现了几十个甚至上百个正在更新的应用,其中包括用户最近更新的应用。对此,苹果并非提供任何关于会出现这种情况的原因,但一些用户怀疑可能跟最近的“此应用不再与你共享”漏洞有关。 据悉,该漏洞将阻止一些用户启动某些程序,除非他们卸载或删除之后再重新安装才行。 这有可能是过期证书或其他与应用共享的相关证书出现了问题,为了修复这个问题,苹果不得不重新发布这些更新从而使得每个受影响的应用中都能有一个有效的证书。     (稿源:cnBeta,封面源自网络。)

苹果蓝牙保护框架 MagicPairing 被爆出 10 个 0day 漏洞未修复

近日,来自德国达姆施塔特大学的研究人员检查了 MagicPairing 协议,发现它的三种实现方式 iOS、macOS 和 RTKIT——在它们之间存在十个公开的缺陷,这些缺陷至今尚未得到解决。 苹果蓝牙保护框架:MagicPairing 协议 MagicPairing 是苹果的一种专有协议,它能够提供无缝的配对功能,例如在用户的 Airpods 和他们所有的苹果设备之间是通过通过苹果的云服务 iCloud 同步键来实现的。MagicPair 协议的最终目标是派生一个蓝牙链路密钥 (LK) ,用于单个设备和 Airpods 之间。为每个连接创建一个新的 LK ,这意味着可以有效地缩短此 LK 的生存期。 当一个新的或重置的一对 Airpods 最初与苹果设备属于 iCloud 帐户,安全简单配对(SSP)被使用,所有后续连接到 iCloud 帐户的 Airpod 和设备将使用作为配对机制的 Magicpair 协议。MagicPair 包含多个键和派生函数。它依赖于综合初始化向量( SIV )模式下的高级加密标准( AES )进行认证加密。 Magic Pairing 的一般逻辑是可以集成到任何基于的物联网生态系统中,从而增加对整个安全社区的相关性。 尽管 MagicPairing 协议克服了蓝牙设备配对的两个缺点:即可扩展性差和易崩溃安全模型缺陷。(如果永久密钥 Link Layer 或 Long-Term Key 受陷则会崩溃。) 但研究人员使用名为 ToothPicker 的代码执行无线模糊测试和进程内模糊测试后发现了 8 个 MagicPairing 和 2 个 L2CAP 漏洞,它们可导致崩溃、CPU 过载且配对设备关联取消。据外媒报道,这些信息是在2019 年 10 月 30 日至 2020 年 3 月 13 日期间披露的,目前尚未确定。 “由于 MagicPair 用于配对和加密前,因此它提供了庞大的零点击无线攻击面。我们发现所有的有不同实施都有不同的问题,包括锁定攻击和可导致百分之百 CPU 负载的拒绝服务。我们在开展通用的无线测试和 iOS 进程内模糊测试时发现了这些问题。” 10 个 0day 漏洞一直未修复,苹果未予置评 那么,这些漏洞本身的威胁来自哪里呢? 首先是蓝牙堆栈本身的安全性。 苹果的每个堆栈都是针对单个设备类型的,并且支持一个特性子集。因此,它们支持的协议有重复的实现。虽然这种情况有助于逆转这些协议,但它增加了苹果公司的维护成本。从安全的角度来看,这会导致在这些堆栈中出现双向安全问题。 例如,RTKit 是一个单独的资源约束嵌入设备框架。用于苹果 AirPods 1、2和 Pro,Siri Remote 2,Apple Pencil 2 和 Smart Keyboard Folio 中,虽然这种分离用来减少功能是有意义的,但 iOS 和 MacOS 也有各自的蓝牙堆栈,由于它们是封闭的,而且只有很少的公开文档。但它在速度上是有限的,不提供覆盖。相比之下,iOS 进程中的模糊处理程序速度更快,不受连接重置的限制,但需要大量的平台专用接口调整。 也就是说,这三个蓝牙堆栈在实际实施中所面临的的攻击和 bug 也会不同。 其次是,零点击无线攻击面大。 Magicpairing 的无线攻击面相当大。首先,它是在配对和加密之前使用的。通过逻辑链路控制和适配协议( L2CAP )提供的 MagicPairing Providesa 连接,用于蓝牙内部的各种数据传输;第二, 通过对 IOS、MacOS、RTKit 的实现,进一步扩大了 MagicPair 攻击面。 最后是代码居然有拼写错误问题。 研究人员发现,苹果在 iOS 和 macOS 中的 MagicPairing 实现的日志信息和 macOS Bluetooth 守护进程 bluetoothd 函数名称中存在大量拼写错误。例如,棘轮和 upload 这两个单词在不同的时间被拼成了 diff。但研究人员认为,由于这些误读随堆栈的不同而不同,每个栈可能是由不同的开发人员实现的。虽然拼写错误和实现中的缺陷之间并不直接相关,但这让人认为代码并未仔细审查,开发工作很可能是外包完成的。 但总的来说,这些漏洞虽然存在,也并未修复,但影响不大。苹果也对此问题未予置评。     (稿源:cnBeta,封面源自网络。)

谷歌披露影响苹果全平台的 Image I/O 零点击漏洞

周二的时候,谷歌公布其在苹果公司的图像 I/O 中发现了当前已被修复的一些 bug 。对于该公司的平台来说,Image I/O 对其多媒体处理框架有着至关重要的意义。ZDNet 报道称,谷歌旗下 Project Zero 团队在周二概述了该漏洞的诸多细节。若被别有用心者利用,或导致用户遭遇“零点击”攻击。 据悉,Image I/O 随 iOS、macOS、watchOS 和 tvOS 一起向应用开发者提供。因此谷歌曝光的这一缺陷,几乎影响苹果的每一个主要平台。 问题可追溯到围绕图像格式解析器的一些老生常谈的问题,这些特殊的框架很适合被黑客利用。通过编造畸形的媒体文件,便可在目标系统上运行无需用户干预的“零点击”代码。 谷歌 Project Zero 补充道,他们分析了 Image I/O 的“模糊处理”过程,以观察该框架是如何响应错误的图像文件格式的。之所以选择这项技术,是因为苹果限制了对该工具大部分源代码的访问。 结果是,谷歌研究人员成功地找到了 Image I/O 中的六个漏洞、以及 OpenEXR 中的另外八个漏洞,后者正是苹果向第三方公开的“高动态范围(HDR)图像文件格式”的框架。 谷歌 Project Zero 安全研究人员 Samuel Groß 写道:“经过足够的努力,以及由于自动重启服务而授予的利用尝试,我们发现某些漏洞可被利用开执行‘零点击’的远程代码”。 鉴于这是一种基于多媒体攻击的另一种流行途径,其建议苹果在操作系统库和 Messenger 应用中实施连续的“模糊测试”和“减少受攻击面”,后者包括以安全性的名义而减少对某些文件格式的兼容政策。 最后需要指出的是,苹果已经在 1 月和 4 月推出的安全补丁中,修复了与 Image I/O 有关的六个漏洞。   (稿源:cnBeta,封面源自网络。)

苹果公司:无证据表明黑客可利用邮件漏洞进行攻击

据外媒报道,苹果公司表示,目前没有任何证据表明网络攻击者可以利用iPhone和iPad邮件(Mail)应用程序中的新漏洞进行黑客攻击。此次发现漏洞的Mail应用在全球可能有超过10亿用户。 苹果公司正在反驳网络安全公司ZecOps的说法。ZecOps称,苹果的软件缺陷为黑客潜入iPhone及其他iOS设备中提供了可能,且这一漏洞已经存在了一年之久。苹果公司发起了一项调查,并在一份声明中表示,Mail问题本身并不足以让网络攻击者绕过苹果内置的安全机制。同时,苹果公司补充说,它将很快发布一个补丁。 苹果公司表示:“我们已经彻底调查了研究人员的报告,并根据所提供的信息得出结论,这些问题不会对我们的用户构成直接的风险。研究人员在Mail中发现了三个问题,但仅凭这些漏洞并不足以让黑客绕过iPhone和iPad的安全保护,目前我们还没有发现任何证据表明它们可以被用来攻击苹果用户的隐私。” 总部位于旧金山的ZecOps上周五对苹果的否认做出了回应,重申它发现的漏洞确实被“一些组织”利用了。ZecOps公司在一份声明中对苹果的新补丁表示了感谢,同时宣称将在补丁发布之后“更新更多信息”。 上周三,ZecOps发布了关于漏洞的报告。报告称,当iPhone或iPad在Mail应用程序上打开一封经过特别设计的电子邮件时,网络攻击者就可以利用这些漏洞。ZecOps公司在报告中称,这一漏洞已经被“一个高级威胁的运营商”用于实施攻击了。ZecOps公司表示,遭到网络攻击的用户中有“来自北美财富500强企业的个人”、“日本一家航空公司的高管”以及“欧洲的一名记者”。 据ZecOps称,网络攻击者可能从2018年1月就开始利用这些漏洞了。ZecOps预测,当苹果发布beta版更新时,这些漏洞会被公开披露,而网络攻击者“很可能会利用这段时间,在补丁发布之前攻击尽可能多的设备”。   (稿源:新浪科技,封面源自网络。)

苹果、谷歌就接触者追踪隐私问题与德国和法国“对峙”

据外媒AppleInsider报道,目前,苹果和谷歌正在与德国和法国官员就iOS系统的安全技术问题以及如何存储接触者追踪数据的问题展开“对峙”。这两家科技巨头在4月10日宣布了一项联合倡议,将开发一个跨平台、系统级的接触者追踪框架–这种方法可以追踪并可能缓解COVID-19的传播。全球各国都在探索类似的技术,但欧洲的几个国家正在与苹果和谷歌就如何去做这件事产生分歧。 据路透社报道,由于苹果和谷歌周五拒绝了法国和德国的要求,要求他们支持自己国家的努力,或者放宽这两家科技公司正在构建的严格的隐私限制,因此,关于接触者追踪隐私问题的紧张对峙在周五升级。 这场对峙是由两大因素引发的。其一,苹果的iOS软件有一个安全功能,禁止通过蓝牙发送数据的应用在后台使用短程通信协议。如果不具备在后台运行的能力,接触者追踪应用就会受到严重阻碍,因为用户将被要求保持应用打开和手机解锁。4月早些时候,法国官员曾敦促苹果在iOS中放弃这一限制,让自己的联系人追踪应用能够正常运行。 能够在后台使用蓝牙追踪智能手机用户是否与COVID-19检测呈阳性的人接触过,是苹果和谷歌的接触者追踪系统的核心功能之一,该系统将成为公共卫生机构可以用来构建自己的应用程序的框架。但苹果和谷歌要求开发者以分散的方式处理数据,在收到COVID-19检测呈阳性之前,任何信息都不能离开用户的设备。这两家公司似乎都不愿意在这些协议上动摇。 “这些隐私原则不会改变,”苹果公司全球隐私总监Gary Davis说。”它们是基本的隐私原则,是实现这一目标所需要的。” 这就是导致对峙的另一个因素。法国和德国,以及英国的国家卫生局显然选择了集中式的接触者追踪解决方案,将用户数据存储在中央服务器上。因为这样一来,他们将无法使用苹果和谷歌的API,这让这些应用又回到了后台蓝牙的问题上。如果没有这个关键功能,数字接触者追踪措施的效果就会受到严重怀疑。而欧洲当局则对此表示不满。一位法国官员表示,欧盟国家 “完全被谷歌和苹果所挟持”。 苹果和谷歌周五宣布了有关其接触者追踪努力的细化技术细节,实际上,该计划将于4月28日提前推出。   (稿源:cnBeta,封面源自网络。)

2020Q1网络钓鱼报告:苹果用户是诈骗者最热衷的目标

根据安全公司Check Point Research公布的最新季度《品牌网络钓鱼报告》,苹果依然是网络钓鱼诈骗者最惯用的品牌,而去年第四季度的排名是第七位。Check表示:“部分原因是新款Apple Watch的预期发布,诈骗者利用在线预热发起了数次钓鱼攻击”。 和去年第三/四季度相比,针对移动平台的网络钓鱼已经成为第二大常见攻击媒介。Check Point推测这可能是由于人们现在比以往任何时刻都依赖通过智能手机来获取信息,而新冠疫情的影响让更多人困在家中。 报告中指出,网络钓鱼在2020年第一季度的钓鱼攻击类型中占比达到59%,主要针对以下品牌的消费者: Apple Netflix PayPal eBay 移动网络钓鱼攻击,主要针对以下品牌 Netflix Apple WhatsApp Chase 为了避免自己成为受害者,报告建议采取以下步骤: ● 确认您使用的是真实网站或正在从真实网站订购。一种方法是不单击电子邮件中的促销链接,而是通过谷歌搜索零售商并直接从Google结果页中单击链接。 ● 另外,提防特别优惠。有一些常识可以知道,最新款iPhone的80%折扣并不是一个可靠或值得信赖的机会。 ● 最后,请尝试留意电子邮件或网站以及不熟悉的电子邮件发件人的拼写错误。   (稿源:cnBeta,封面源自网络。)

苹果 Safari 浏览器将全面封杀超过 13 个月的长效 HTTPS 证书

Safari将在今年晚些时候不再接受新的长效HTTPS证书,也就是自其创建之日起过13个月有效期的新证书。这意味着使用在截止时间点之后发出的长寿命SSL/TLS证书的网站将在苹果系统的浏览器中引发隐私错误。 苹果在证书颁发机构浏览器论坛(CA / Browser)会议上宣布了该政策。从2020年9月1日开始,任何有效期超过398天的新网站证书都不会受到Safari浏览器的信任,而是会被拒绝。而在截止日期之前颁发的较旧证书不受此规则的影响。 通过在Safari中实施该策略,苹果将会通过扩展在所有iOS和macOS设备上实施该策略。这将对网站管理员和开发人员造成一定影响,他们需要调整接下来的证书运营策略,确保其证书满足苹果的要求,否则可能会影响超过10亿台设备和计算机上的页面访问。 PKI和SSL管理公司Sectigo的高级研究员蒂姆·卡兰(Tim Callan)参加了本周在斯洛伐克举行的会议,他证实了这一消息:“本周,苹果在第49届CA/浏览器论坛宣布,他们的产品将否决在9月1日或之后发行的期限超过398天的证书的有效性。9月1日之前颁发的证书将具有与今天的证书相同的可接受期限,即825天,从而无需对这些证书采取任何措施。” 苹果,谷歌和CA/Browser的其他成员已经考虑了缩短证书有效期的问题,该政策有其优点和缺点。 此举的目的是通过确保开发人员使用具有最新加密标准的证书来提高网站的安全性,并减少可能被盗用并重新用于网络钓鱼和恶意驱动程序攻击的旧的、被忽略的证书的数量,短期证书将确保人们在大约一年内迁移到更安全的证书。 缩短证书的使用寿命确实存在一些缺点,通过增加证书替换的频率,苹果和其他公司也使得使用加密证书的网站所有者和企业的管理周期变得更加复杂。不过,“公司可以依靠自动化来协助证书的部署,更新和生命周期管理,以减少人员开销和随着证书更换频率的增加而出现错误的风险。”例如,Let’s Encrypt发行了免费的HTTPS证书,这些证书通常会在90天后过期,并提供了自动续订的工具,如今它们已在整个Web上使用。   (稿源:cnBeta,封面源自网络。)