從 Apple 對惡意程式防護軟體採取嚴厲措施,看 iOS 安全問題

 

據報,Apple 為了避免目前已發行六個多月的 iOS 8 (該公司宣稱為 iOS 有史以來最重大的一個版本) 給使用者一種含有可攻擊漏洞的印象,目前正在對 iOS App Store 上的病毒/惡意程式防護軟體採取嚴厲措施。

[延伸閱讀:iOS 8 最新安全功能 (The New Security Features of iOS 8)]

最近,一個知名的 iOS 電子郵件及雲端掃瞄 App 遭到 App Store 下架,使得原先希望自己轉寄給非 iOS 用戶的檔案不含惡意程式的該軟體使用者因而受到影響。Apple 的理由是,該軟體在 App Store 上的說明有誤導之嫌,可能讓客戶以為 iOS 8 產品含有漏洞。該軟體的代表指出 Apple 可能計劃將 iOS App Store 上的防毒和惡意程式防護軟體類別完全剔除。

我們目前仍未見到任何成功攻擊 iOS 8 平台的威脅,但這並不代表能夠假設該平台未來不會遭到攻擊或出現漏洞。基於下列理由,iOS 裝置用戶應該隨時保持警戒:

  • 封閉的生態體系不是應用程式安全的保證

去年,有數百萬的 iOS 用戶遭到 Masque 和 Wirelurker 的攻擊,不論越獄或無越獄的裝置都無法倖免。值得注意的是,Masque 和 Wirelurker 是透過企業內配發機制 (provisioning) 來攻擊無越獄的 iOS 裝置繼續閱讀

iPhone 6 謠言滿天飛,網路釣魚信件伺機蠢動

經驗告訴我們跟Apple有關的詐騙往往會隨著Apple新品上市謠言的出現而成長(請參考:網路釣客也愛啃蘋果!成千上百釣魚網站伺機竊取Apple ID)。隨著 iPhone 6 預期推出時間點愈來愈靠近,一些謠言也助長了騙局順水推舟。

一些負責Apple的記者回報說,他們收到偽造的「the wait is over(等待已經結束)」iPhone 6上市通知郵件。趨勢科技也收到了幾封,以下是樣本 之一:

圖一、垃圾郵件樣本

 

沒有追蹤 Apple 謠言或 iPhone 發表時程的使用者可能會被這電子郵件所騙,因為它的內文並不會跟真正的 Apple 通知有太多差別。然而,有兩個值得注意的地方:一個是七月並不符合最近幾次的 Apple 發表日程(iPhone5 和 5S 都是在九月發表),而且電子郵件中的設計也跟最近 Apple 謠言網站所發表的樣本機不符。

隨著 iPhone6(或許還有 iWatch)發表日期的接近,我們預期會看到更多的詐騙和利用這些(謠言中)Apple 產品為誘餌的攻擊。呼籲使用者要小心這些「通知」電子郵件,因為它們充斥著網路釣魚(Phishing)或其他威脅。

趨勢科技已經封鎖這起攻擊所用的垃圾郵件,也封鎖對所有相關威脅網站的存取。

 

@原文出處:iPhone 6 Rumors Spur Scams作者:Johnliz Ortiz(垃圾郵件研究工程師)

 

 

趨勢科技PC-cillin 2014雲端版 獨家【Facebook隱私權監測】,手機‬、平板、電腦全方衛!即刻免費下載

免費下載 防毒軟體 PC-cillin 試用版下載

 

UDID入門:了解Apple的資料外洩狀況

當前一陣子出現了一百萬筆Apple UDID被駭客激進份子竊取的消息傳出後,使用者驚慌失措:什麼是UDID?個人識別身份資訊要怎麼經由UDID洩漏?我該如何保護我的個人識別資訊?

 什麼是UDID?

 UDID本身只是一段冗長的字串,是所有iPhone、iPad和iPod Touch的唯一序號,由長長的一串數字和字母所組成。因此,它對駭客來說幾乎是無用的,也不會影響到使用者的隱私或安全。直到最近讓開發者可以在未經使用者許可下自由的收集,使得開發者和他們的合作廣告網路可以追踪安裝應用程式的族群並監控使用狀況,提供針對性廣告或提升使用者體驗。

 個人識別資訊要如何跟UDID連結?

 在收集UDID時,許多蘋果開發者會將匿名UDID字串代碼儲存在資料庫中,還加上了開發者同樣從應用程式擷取來的裝置擁有者的個人識別資訊。這也是為何應用程式開發者 – BlueToad可以去建立一個龐大的UDID和個人資料(如使用者姓名、個人郵件地址和電話號碼)的資料庫,原本被駭客錯誤的認為是來自「FBI外洩」的資料。一旦結合這些額外的個人資訊, UDID就可以提供網路犯罪份子一個寶庫用來進行個人詐欺、網路詐騙等活動,或用來幫忙破解其他更有價值的使用者帳號。

 我該如何在這類型風險下保護自己?

 壞消息是,沒有辦法知道誰存取過你的UDID,也沒有辦法防止它落入壞人之手。在這由iOS開發者、發行商、廣告網路和其他第三方團體所組成的Apple複雜生態環境中,你的UDID可能已經被分享給太多外部團體了,特別是如果你超喜歡玩應用程式的話。這件事本身並沒有太大問題,真正的問題是開發者所建立的資料庫會綁定這個產品的唯一識別碼和你的個人資料。你可以在出現警告時試著限制授權給開發者的資訊,安裝應用程式前先讀一讀那幾行小字,仔細檢查每個應用程式所要求的權限。但是,在許多狀況下,資訊已經存在那裡了,如果黑客知道要去哪找,最終就是會落入壞人之手。

 好消息是,Apple嚴格的應用程式商店審核小組已經開始拒絕新的應用程式去要求UDID,而且昨天所介紹的新iOS 6作業系統也會用一套新的API來取代UDID,這也是Apple朝向完全不使用這組數字的不久將來所踏出的第一步。

 對於那些已經受到影響或是關心UDID使用的人,主要問題是UDID依然存在,這個龐大資料庫的資訊還握在第三方開發者手上。就這一點而言,唯一可以讓你變換代碼並且重新開始的方法只有買支新手機,然後在選擇要分享哪些資訊給應用程式時更加小心。

@原文出處:UDID Primer: Breaking down Apple’s leaky situation作者:Erica Benton

◎延伸閱讀

⭕️ AI 防詐防毒

趨勢科技PC-cillin雲端版 運用最新 AI 防毒防詐技術,全面保護您的身分隱私,讓您享受上網安心點。

不只防毒也防詐騙 ✓手機✓電腦✓平板,跨平台防護3到位➔ 》即刻免費下載試用



獨家 AI 隱私權分析技術 讓您的個資,由你自己掌握
✅社群帳號盜用警示 在災害擴大前,搶先一步做好防範
✅全球個資外洩追蹤 24小時為您監測守護
✅跨平台密碼安全管理讓 您安心儲存所有網路帳密

IG 趨勢科技不只是網路安全守護者,還提供各種實用3C冷知識追蹤我們的IG 帳號看更多讓你數位生活更便利、更安全的貼文

⭕️獨家!每週精選最火紅的詐騙與資安新聞,讓您隨時掌握資安警訊 不想成為下一個受害者嗎?立即訂閱,搶先一步防範

FB IG Youtube LINE 官網

Apple:這是Java的原罪

  早在2010年十月,Apple就宣布他們將會放棄對Java的支援。這並不會影響到Oracle去直接支援這個Unix系統平台,就跟它會支援其他的Unix作業系統一樣。因為OSX對Java更新的遲緩讓它面臨了clickjacking點擊劫持和其他惡意活動的威脅。Apple最後終於負起責任去更新了Java 6 Update 33。在那之後,Java 6的另一個變更會影響兩個不同地區的時區變化。但Apple似乎不大可能去進一步的更新OSX的Java 6。

  

 在2012年8月14日,Oracle釋出Java 7 Update 6給Mac上的Lion和Mountain Lion作業系統。Oracle對OSX的直接支援終止了Apple Java更新遲緩所受到的指責。Java的未來及相關的安全性現在顯然是握在Oracle的手上。在Oracle釋出OSX Java 7 Update 6更新版本的兩個禮拜內,一個漏洞被發現會影響Windows,而OSX和Linux上也都有相同的漏洞。這個漏洞會影響FireFox、IE 9和Safari 6。Oracle一向會及時的提供Java漏洞修補程式,也終於在近日推出更新版本修補此一漏洞,詳細資訊請參考下列網址: https://blogs.oracle.com/security/entry/security_alert_for_cve_20121

 Mac Java的背景知識

 Java是Sun在1990年代初期所開發的。這個編程環境是用來幫助跨越各種不同的作業系統,從大型主機到嵌入式裝置的作業系統。Java甚至被當成是微軟在1996年所推出的ActiveX的替代控制作法,以延伸微軟COM和OLE跟作業系統的通訊。在2000年。Windows用ActiveX來取代JavaScript作為自己瀏覽器的API。這個外掛API是為Netscape所開發。JavaScript並不是Java,但Netscape認為Java代表分散式作業系統的客戶端/伺服器解決方案。微軟Internet Explorer 5.5的ActiveX將作業系統的應用程式帶到網路上,微軟希望他們的應用程式可以在網路上被廣泛採用,以增加Windows的影響力。

 微軟對於將ActiveX擴展到他們瀏覽器的這項作法的說詞是為了要加強安全性。這時正好微軟也取消Windows Internet Name Service(WINS),而用DNS來提供名稱階層架構,也就是今天認證的基礎。ActiveX看起來是WINS的替代策略,讓微軟可以用來主宰網際網路。但是卻讓網路犯罪份子在網路上利用ActiveX來控制Windows應用程式。ActiveX並沒有讓Windows成為網際網路上的主導者,同時ActiveX也沒有提高安全性。

  在2005年,Android利用Java建立Java執行環境(JRE)。Sun在2006年11月將Java的原始碼用GPL v2開放出去。但是唯一的例外就是不包括行動應用程式。所以Google開發自己的Java虛擬機器(JVM)技術,稱為Dalvik,以避開編程介面的限制。並且將JRE的堆疊模式轉變成Java虛擬機器(JVM)的暫存器型態。

 接著,Sun在2010年被Oracle所收購。Apple並沒有替Java提供移除安裝程式,使用Java的程式可能不會取消檢查Apple的Java控制面板來直接使用Java。而許多這樣的程式也不會去注意到Oracle Java 7 Update 6的控制面板,更不會接受可用的Java 7環境位置。這些Java的問題需要一點時間來解決,但是Apple已經清楚的表達了他們的意思,不會再自動安裝Java,也不會支援Java 7。

 

Apple應用程式的規則

 在Mac App Store審核指南規則2.24指出:

 「應用程式使用不適用或需額外安裝的技術(例如Java、Rosetta)將會被拒絕」

 控制應用程式的更新,可被允許的元資料和捷徑、禁止未經使用者同意就自動啟動和禁止下載其他應用程式或修改 – 所有的這一切都是為了提高安全性的目標。但是如果還是允許Java的話,執行這些安全措施並不實際,也會讓網路犯罪份子更加容易攻擊成功。

   繼續閱讀