文章目录
  1. 1. 引言
  2. 2. Xcode 的安全
  3. 3. 第三方库的安全
  4. 4. Safari 保存密码的问题
  5. 5. 为什么 iOS 系统比 Android 还不安全 ?
    1. 5.1. iOS 的系统漏洞更多
    2. 5.2. iOS 的系统版本和机型非常集中
    3. 5.3. iOS 系统更容易让人放松警惕
    4. 5.4. Sandbox 真的就是绝对安全吗
  6. 6. 总结

引言

10 月 15 日晚上,我参加了 MDCC( http://mdcc.csdn.net/ )大会晚上的英雄宴,宴会上见到了 XcodeGhost 的研究者,阿里巴巴资深安全工程师蒸米。

蒸米是最早在乌云上公开 XcodeGhost 的工作原理的人。在后续 XcodeGhost 的服务器关闭后,蒸米也介绍了通过 DNS 污染来接管 XcodeGhost 木马的技术。让大家对于 iOS 平台的安全有了新的认识。

之前我和蒸米在微博上多次私信交流,这次当面见到真人非常开心。蒸米是一个性格开朗阳光的人,看起来非常年轻,一问之下才知道他 26 岁就提前博士毕业了,毕业之后一直在阿里从事安全方面的工作。

以下是我们讨论的一些总结。

Xcode 的安全

这次 XcodeGhost 事件之后,让大家把安全的焦点集中在了编译器上。估计大家不会还从迅雷或网盘下载 Xcode 了吧?但是这样就安全了吗?

蒸米在交流中提到,其实仅仅这样 Xcode 也是不安全的。为什么呢?因为我们在 Mac 上总要安装软件吧?有很多 Mac 下的软件并不通过 Mac AppStore 销售,而是以安装包的形式来独立发布。而安装这类 APP 时,常常需要用户输入登陆密码来获得更改系统内容的权限。这个时候,如果是一个恶意软件,偷偷修改了你本地的 Xcode,比如安装一个恶意的插件,你如何防?有些人习惯从一些非法网站去下载盗版的 Mac 软件,这个时候,你的 Xcode 安全也暴露在风险之中。

第三方库的安全

这个是我自己的一个脑洞大开的想法,由于某些原因,国外的 Cocoapods 源很慢,所以常常有一些人宣称自己基于国内的服务,建立了镜像源。如果想做一点恶意行为的话,这些人完全是可以修改一些常用的第三方库(例如 AFNetworking),把 XcodeGhost 的代码植入进去。如果真的有人做了,你还能信任这些国内的镜像源吗?

Safari 保存密码的问题

蒸米在和我交流中,也提到了对于 Safari 保存密码的安全性问题。就蒸米当场给我的演示可以看出,在设置里面的 Safari -> 密码一栏,经过 Touch ID 验证,就可以将你的所有登录过的帐号密码查询到。而在 iPhone 5 一类没有 Touch ID 的 iOS 设备中,这些密码是被 4 位的锁屏密码保护,这个保护是极其弱的。如果你网上 google 一下,就可以找到专门暴力破解 4 位锁屏密码的工具。

看着蒸米当场的演示,真是把我吓了一大跳。同学们,你们有没有 Touch ID 的 iOS 设备吗?哪一天它要是丢了,你知道意味着你 Safari 所有登录密码可能被盗吗?

为什么 iOS 系统比 Android 还不安全 ?

蒸米在交流中一直强调他的观点,他认为 iOS 系统比 Android 还不安全。这一点让我非常不解,我当即指出:iOS 程序有 sandbox 限制,无法随意做高危险的事情,比如 Android 深受其害的扣费短信一条,iOS 程序很难做到自动发送。因为首先 iOS 程序很难在后台自动启动,另外,自动发送短信也是被系统禁止的。

但是蒸米解释让我觉得也很有道理,他的理由主要有以下几点:

iOS 的系统漏洞更多

iOS 的系统漏洞其实比 Android 更多,Android 因为是开源的系统,所以相关的漏洞更容易被发现和修复,而 iOS 是封闭的系统,它的漏洞只能指望苹果自己的工程师来修复。

就在我和蒸米交流的当天(10 月 15 日),国内的盘古团队宣布完成了 iOS 9 的越狱。而这距离 iOS 9 正式发布(9 月 17 日)才刚刚满一个月。蒸米说,其实越狱团队早就完成越狱的技术工作了,只不过需要完成越狱相关的产品以及等一个比较合适的时间点发布。所以,很有可能在 iOS 9 还在 Beta 版的时候,相关的漏洞就已经收集到了。

相对来说,Android 的最新版其实相当安全。不过 Android 的问题是 ROM 更新太慢,由于大多数 ROM 都经过了厂商的定制,使得大多数人无法及时更新到最新的操作系统,这个问题极大地降低了 Android 的安全性。

iOS 的系统版本和机型非常集中

iOS 的系统版本非常集中,一般都是最新发布的 2 个大版本。另外 iPhone 机型也非常少,每年固定出一款。这使得黑客可以针对单一系统或机型挖掘出来的漏洞,得到极其方便地扩散和影响。

还记得早年 iOS 系统上面发面的 PDF 漏洞吗?用户只需要访问一个指定网址,就可以完成越狱过程。如果在未来有一个黑客找到一个类似这样的高级漏洞,那么受影响的很可能是所有的 iOS 用户。

相对来说,Android 的机型分散反但成了它的优势,我们自己开发小猿搜题 App 时,就那么几个界面都适配得要吐血,黑客的恶意程序难保不在一些机型上出现适配问题。除了硬件,Android 的 ROM 也是被修改得千差万别,所以黑客很难有精力把它的恶意程序做到完美适配。

iOS 系统更容易让人放松警惕

我们尝试过用 IDA 逆向国内的 iOS App,发现国内的包括腾讯,阿里,百度,网易等,都没有对自己的 iOS App 源码进行混淆。而在 Andorid 端的,不但 50% 的 App 都经过了加壳和代码混淆,而且还有不少这方面的创业公司出现。这次在 MDCC 大会展台中就出现了多家做 Android 安全的公司。

我在交流中问蒸米,我们逆向了支付宝和淘宝的 iOS 客户端,发现代码都没有混淆,为什么呢?蒸米说,我们混淆了支付宝核心支付相关的代码,另外的代码混淆的推进,不是我一个人能做到的,需要等时机成熟。

我想这就是现状,大家对于 iOS 系统更多的时候是放心的,所以反倒容易翻船。就像我上面提到的 Safari 密码保护的问题,有多少人注意到它可能带来的安全问题呢?

XcodeGhost 是不是也是大家对 Mac OS 系统的一种放松警惕的行为?一些朋友在网上下载盗版的 Mac App 是不是一种放松警惕的行为?这些最终都可能成为黑客攻击的关键点。

提一个开放性的问题:如果你逆向了微信 iOS 客户端,你可以做哪些攻击?

Sandbox 真的就是绝对安全吗

我在反驳蒸米时,提到了系统的 Sandbox 对于 App 的各种限制。蒸米指出,其实有好多方法来突破 Sandbox,比如调用系统的私有 Api(不要问我如何绕过苹果审核),又比如借助一些 iOS 的漏洞。

完美的越狱对漏洞的要求比较高,因为它需要保证即使系统重启,越狱状态也同样能保持。而如果你的目的如果不是完美越狱,而是干一些坏事的话,对漏洞的要求就不是那么高了。

你知道吗?中国的越狱团队还会向苹果上报漏洞,蒸米说这是为了 Reputation,一般是把手里多得觉得不太好用的漏洞报出去,你就可以想像这个封闭系统的质量了。

总结

我最后问蒸米,是不是可以这样说:「iOS 和 Android 就是俩落难兄弟,都觉得对方弱,其实都差不多,全身都是洞,都不安全?」。蒸米说是的,毕竟开发者不是安全工程师,安全工程师们也不会开发,所以漏洞是在所难免的。

那这个事情就无解了吗?我想很可能是的,我们能做的,就是尽量提高安全意识,尽量小心,毕竟黑客也是会考虑性价比,挑软柿子欺负。最后蒸米向我推荐了 fireeye 的攻击检测网址,上面可以看到全球正在发生的黑客攻击行为 https://www.fireeye.com/cyber-map/threat-map.html ,我想这可能就是现实吧。