蘋果系統被曝3大“後門” 專家呼籲公職人員禁用蘋果手機
斯諾登事件已經讓全球民眾對美國政府和各大商業公司的的秘密監控個人隱私的行為極為敏感，而在很多國內學者來説，國家機關的信息安全也格外值得擔憂。知名科技評論人方興東就在今天的《環球時報》撰文，呼籲公職人員禁用蘋果手機，換用國產手機。這一文章的背景是，蘋果iOS操作系統上週再曝重大安全隱患，國外黑客披露該系統3大“後門”，稱這些後門可以讓美國國家安全局和黑客在用户不知情的情況下，通過WiFi秘密竊取電話、短信記錄等多達44種用户信息。蘋果官方昨天對此作出回應，承認系統存在“安全漏洞”，但辯稱這些程序是隻開放給開發維護人員的“診斷服務”。
黑客：6億台iPhone和iPad存在後門
據科技博客網站appleinsider報道,知名iOS黑客喬納森·扎德爾斯基(Jonathan Zdziarski)披露蘋果的iOS系統存在若干後門,在特定的情況下可以獲取到用户的個人隱私信息。
扎德爾斯基着重指出了三個隱患較大的後門程序,用户的電話本、郵件、地理位置、網絡流量、Facebook隱私等信息均存在泄密的風險。這些程序會在用户不知情,或者無需用户同意的情況下工作,而蘋果公司此前從未對此做出過説明。
喬納森·扎德爾斯基曾經是iOS越獄團隊的一員,也出版過多部有關iOS開發的書籍。上週末,扎德爾斯基在Hope X黑客大會上公佈了自己的發現,對三個後門可能泄密的後台程序作了詳細説明。
iOS黑客喬納森·扎德爾斯基
他首先對“com.apple.mobile.file_relay”程序提出了質疑。該程序最早出現在iOS 2中,在後來的版本中不斷得到擴充。他説,這一服務完全繞開了iOS的備份加密功能,能泄露“大量情報”,其中包括用户的地址簿、CoreLocation日誌、剪貼板、日程表、語音郵件、地理位置,以及用户在Twitter、iCloud的數據等。
另外兩個後門程序“com.apple.pcapd”和“com.apple.mobile.house_arrest”可以被程序開發和維修人員合法調用,但也可能被政府的檢點甚至前戀人利用。比如**Pcapd程序就可以通過無線監控設備的所有網絡進出流量,而且在非開發和維修模式下也可以實現這一點。**而House_arrest程序,則可以從Twitter和Facebook等應用程序上覆制隱私文件。
扎德爾斯基披露的這三個後門存在於6億台iPhone和iPad的操作系統內,通過這些後門可以獲取到大量的用户個人信息,然後可以將這些信息傳輸到在手機信任列表裏的設備,例如不少用户會將iPhone用數據線連接到電腦,而這些電腦就是“可信任設備”。儘管這些後門只有通過這些可信任設備來進入,一定程度上降低了信息泄露的可能性,但手段高超的攻擊者依然可以通過這一信任機制來獲取到這些信息。
蘋果之前從來沒有對公眾提及這些iOS服務。扎德爾斯基表示,這些服務在獲取用户個人信息時不會通知用户,也不需要獲得用户的許可,更無法被用户關閉。對於iPhone用户來説，他們不知道究竟有多少台“授信”電腦可以進入到自己的設備中，或者如何阻止這些連接。
“我找不到比‘後門’更好的詞彙來描述這些程序,我很樂意聽聽蘋果公司對此如何解釋。”扎德爾斯基還暗示,美國國家安全局可能使用蘋果的後門方便地訪問iPhone和iPad。此前的稜鏡門中,斯諾登就揭示了美國國家安全局(NSA)曾在iPhone,Android和黑莓手機使用後門。
專家：公職人員應禁用蘋果手機
博客中國創始人、浙江傳媒學院互聯網與社會研究中心主任方興東今天在《環球時報》發表評論文章，就蘋果“後門”風波談到，我國公職人員應禁用蘋果手機，換用國產手機。
知名科技評論人方興東
以下為全文：
蘋果公司終於承認，該公司員工可以通過一項未曾公開的技術獲取iPhone用户的短信、通訊錄和照片等個人數據。這起事件引發的安全問題非同小可，目前還在進一步發酵。
近幾年，圍繞蘋果iPhone安全問題的爭議從來沒平息過，但也從未給蘋果釀成大麻煩。這次事件從行業規範和法律角度，都存在嚴重問題。蘋果是不是依舊能輕描淡寫，還得拭目以待。
智能手機安全問題遠比我們過去長期關注的傳統個人電腦更嚴重。iPhone和iPad等移動智能設備所涉及的信息量不但比個人電腦更全面、豐富，而且由於具備動態性、實時性和全息性，而更有多層次的價值。比如，通過竊聽工具“DropoutJeep”，用户隱私和數據毫不設防，美國國家安全局可以獲取短信、通話、通訊錄、語音郵件、手機位置信息、手機錄音等幾乎所有形式的內容。
當然，由於普通用户對隱私問題的警惕性不高，加上很多潛在的隱私問題用户一般也難以察覺。蘋果可獲取用户隱私的消息恐怕很難引發民眾大量關注。但是，對於已經將網絡安全提升到國家戰略高度的中國來説，無論在用户的隱私保護上，還是國家信息安全保護上。iPhone的安全問題都不能再像過去那樣“民不告官不究”。
政府不能再坐視不管，應該讓蘋果給予最充分的説明和解釋，並且讓有公信力的第三方評估嚴重程度，找到妥善的解決辦法。政府重視才能根本改變蘋果輕描淡寫的迴避政策，真正為“沉默的大多數”用户的利益着想。
**可以要求黨政軍以及重要關鍵基礎設施的人員，禁止使用蘋果。**因為蘋果手機是硬件、軟件和雲服務等完全一體化的封閉系統，外部企業和安全廠商無法插手，對於潛在的安全問題只有蘋果單方面的説辭，很難進行公開透明的有效評估和改進完善。其次，公職人員換用國產手機，而國產手機目前基本使用谷歌的安卓系統。安卓相對開放，提供大量源代碼，所以可以通過實施二次開發、安全“加固”等措施，一定程度上提升安全性。
最終，推進中國自主可控的國產手機操作系統，才是長治久安的對策。這方面政府一定要制定戰略，出台大力度的支持政策。但是，必須吸取過去十多年國產操作系統的慘痛教訓，避免重蹈覆轍。必須市場化運行，通過創新的模式，讓有戰略高度，有產業理想，也具有互聯網基因的國內公司，脱穎而出。
蘋果在中國不僅僅關係到中美兩國的貿易與政治，而且關係到一個錯綜複雜的巨大利益場，任何針對蘋果政策的風吹草動，都將引發多方面的效應。但是，在如此重大的安全隱患面前，考驗的將是整個國家對網絡安全的重視程度和戰略決心！
蘋果回應：這些是診斷功能
昨天，美國蘋果公司承認，該公司員工可以通過一項未曾公開的技術獲取iPhone用户的短信、通訊錄和照片等個人數據。但蘋果同時聲稱，該功能僅向企業的IT部門、開發者和蘋果維修人員提供所需信息，在獲取這些受限制的診斷數據之前，需要用户授權並解鎖設備。
蘋果也公佈了這三個後門的一些詳情。
1. com.apple.mobile.pcapd
pcapd支持將iOS設備上獲取的診斷數據包傳輸到一台可信任設備上。這項服務可用户檢測和診斷iOS設備上的應用和企業VPN連接。
2. com.apple.mobile.file_relay
file_relay支持從設備內有限制地複製診斷信息,這一服務獨立於用户生成的備份之外,無法接觸到用户設備上所有的數據,同時由iOS數據保護措施所限制。蘋果工程部在內部設備上使用file_relay來驗證用户設置,AppleCare在用户的許可前提下也會使用這一服務從用户的設備上手機相關的診斷數據。
3. com.apple.mobile.house_arrest
iTunes調用house_arrest進行iOS設備與應用之間的文檔發送和接收,Xcode也會調用這一服務,在一個應用的開發過程中幫助傳輸測試數據。
蘋果的這份聲明中還表示:正如扎德爾斯基發現的那樣,第三方確實可以通過Wifi訪問一台可信任設備,從而調用這些程序。但蘋果方面既沒有確認也沒有否認最關鍵的一個問題:這些程序是否會在用户不知情,或者無需用户同意的情況下工作。
蘋果還特別強調,file_relay能調用的只是很有限的一些數據,但扎德爾斯基回應説,該服務能夠獲取到iPhone的44種數據源,其中包括電話記錄、短信記錄、語音郵件、GPS數據等一些極度私密的信息。大部分情況下這些個人信息和診斷數據可以沒有任何交集。
蘋果曾多次因安全遭質疑
實際上，蘋果公司已不止一次因類似問題遭到指責。2011年，韓國2.76萬用户就曾對蘋果總部、蘋果韓國分公司發起訴訟，稱其通過手機周邊的無線網絡收集用户位置信息。最後，因違反韓國《位置信息保護法》，蘋果公司被處以300萬韓元罰款。
2013年，斯諾登披露，蘋果手機故意設計電池拔不出，因此即使關機也照樣定位發情報，可以調閲手機裏面的信息。
本月初，央視對蘋果手機可蒐集記錄用户位置的功能提出質疑，認為蘋果手機詳細記錄了用户位置和移動軌跡，並記錄在未加密數據庫中。該功能不僅記錄用户常去的地點名稱，還詳細記錄用户在這個地點停留的時刻及次數。