专栏首页数据星河苹果远端装置管理服务DEP含有验证缺陷

苹果远端装置管理服务DEP含有验证缺陷

  安全业者DuoSecurity本周披露,苹果的装置注册计划(DeviceEnrollmentProgram,DEP)含有验证缺陷,将允许骇客以暴力破解法取得DEP装置的档案,或是在企业中的行动装置管理(MDM)服务器上注册任何装置。

  DEP为苹果替企业所打造的免费服务,可自动于企业的行动装置管理(MobileDeviceManagement)服务器上注册苹果装置,包括iOS、macOS或tvOS装置,简化企业于内部部署及配置苹果装置的流程。

  Duo资深安全研究人员JamesBarclay指出,他们发现要取得一个苹果装置的DEP档案只需要该装置的序号,该档案可揭露拥有该装置的企业资讯,因此,假设企业的MDM服务器在注册流程中没有要求额外的用户身分验证,那么骇客还能擅自注册自己的装置,进而接收企业的各种凭证、应用程式、Wi-Fi密码或V**配置等。

  这是因为在导入DEP时,于注册之前只要利用装置序号就能进行服务的验证,虽然苹果的MDM协定支援用户的身分验证,但并非强制要求,意味着有些企业可能只使用序号来保护装置注册。

  有鉴于装置序号并未被视为机密资讯,因此很容易在网络上找到,再加上序号通常有特定的架构,并不难猜测,允许骇客利用暴力破解来找出企业中的注册装置。

  Duo是在今年5月将此一缺陷提报给苹果,看起来苹果并未修补。Barclay强调,DEP对于要大量部署苹果装置的企业而言仍是个有价值的工具,就算含有验证缺陷仍然瑕不掩瑜;他建议苹果应加强装置的验证,限制输入错误的次数及所回覆的企业资讯,也建议任何采用DEP的企业应于MDM服务器上强制执行身分验证。

原文链接:https://www.bdgstore.com.cn/portal/article/index/id/145/cid/3.html

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 什么是Hyperledger?Linux如何围绕英特尔的区块链项目构建开放平台?

           访问区块链会议并关注区块链新闻时,不可避免地,您会遇到Linux基金会的Hyperledger。理解像比特币、以太坊这样的加密货币还算相对容易的,...

    数据星河
  • 可能是讲分布式系统最到位的一篇文章

      如果现在让你阐述一下什么是“分布式系统”,你脑子里第一下跳出来的是什么?我想,此时可以用苏东坡先生的一句诗,来形象地描述大家对分布式系统的认识:

    数据星河
  • 如何对第一个Vue.js组件进行单元测试 (下)

           让我们来写首个测试。我们首先需要使用shallowMount手动挂载我们的组件,并将其存储在我们将执行断言的变量中。我们还可以通过propsDat...

    数据星河
  • 字符串匹配:KMP算法

    KMP算法是一种改进的字符串匹配算法,由D.E.Knuth与J.H.Morris和V.R.Pratt同时发现,因此人们称它为克努特—莫里斯—普拉特算法。KMP算...

    海天一树
  • Vue实战系列—路由轻松设置vue-router(3)

    在web端路由(route)就是URL到函数的映射,vue的router就像一个容器,分配,处理每一个route到URL中。

    前端大彬哥
  • 基于中文知识图谱和机器翻译技术,搜狗搜索正式上线海外权威健康信息

    雷锋网按,据腾讯《一线》报道,4 月 25 日,搜狗搜索宣布正式上线海外权威健康信息,基于搜索技术积淀和机器翻译技术,整合了全球 700 余家权威健康网站的近千...

    AI研习社
  • RSA 证书加解密通信

    经常有需要使用安全传输的场景,犹其是在一些泛及资金安全的行业,对数据的传输犹为重视安全性。 一般常用的就是对前参的数据进行加密,再到后台进行解密。 接口和接口之...

    潇洒
  • Spark Core源码精读计划14 | Spark Web UI界面的实现

    《Spark Core源码精读计划3 | SparkContext辅助属性及后初始化》

    暴走大数据
  • Python标准库06 子进程 (subprocess包)

    这里的内容以Linux进程基础和Linux文本流为基础。subprocess包主要功能是执行外部的命令和程序。比如说,我需要使用wget下载文件。我在Pytho...

    Vamei
  • 谢成鸿:HTML5引擎将向全行业引擎领域发展

    由游戏日报、游品会联合长沙师范学院共同举办的“2015游戏行业未来峰会”于近日在湖南长沙成功举办。本届峰会的主题为“嬗变·未来”,聚焦游戏行业热点问题。在会上...

    Layabox Charley

扫码关注云+社区

领取腾讯云代金券