少年黑客入侵苹果下载 1TB 数据,被判处缓刑 8 个月

许多企业都青睐苹果设备,其中一部分原因就是苹果公司的iPhone和Mac在安全方面有着出色的表现。 就在上周,福布斯杂志透露民主党全国委员会(民主党全国委员会)正在放弃Android,转而使用iOS设备,因为人们担心在中期选举中出现黑客攻击行为。

但苹果设备并不完美。 研究人员周四声称,他们发现了一种通过苹果的产品窃取商业Wi-Fi和应用密码的新方法。 他们破解了苹果旨在帮助公司管理和保护iPhone和Mac的技术。

最近被思科以23.5亿美元收购的安全公司Duo Security的研究人员称,软件漏洞问题在于苹果的设备注册计划(DEP)的开放性。 他们发现,通过在DEP系统中注册恶意设备,可以窃取Wi-Fi密码和更多内部商业机密。

利用Apple的开放性

虽然研究人员利用了苹果的注册技术,但iPhone制造商苹果确实支持在DEP上注册iPhone时的用户身份验证。 但苹果并不绝对要求用户证明他们是谁。 这取决于使用技术的公司对实名注册是否有要求。 注册iPhone设备后,研究人员需要在独立的移动设备管理(MDM)服务器上注册在DEP上注册的iPhone,Mac或tvOS设备。 这既可以保留在硬件内部,也可以保存在公司基于云的服务中。

当使用苹果技术的公司选择不要求身份验证时,黑客可能会找到尚未在公司的MDM服务器上设置的,真实设备的已注册DEP序列号。 研究人员说,这可以通过员工的社会工程检索来获取,也可以检查人们经常发布序列号的MDM产品论坛。 最传统的“暴力破解”方法也可行,计算机可以在DEP上搜索所有可能的数字,直到它击中正确的数字,这是效率最低的一种选择。

然后,攻击者可以使用所选的序列号在MDM服务器上注册他们的恶意设备,并作为合法用户出现在目标公司的网络上。 据研究人员称,随后他们就可以检索受害者业务中的应用程序和Wi-Fi密码。

但是有一个重要的警告:攻击者必须抢在合法员工之前将他们的设备注册到公司的MDM服务器上。 因为MDM服务器每个序列号只能注册一次。

但这可能性实际上还是很大的。 本周晚些时候在布宜诺斯艾利斯举行的Ekoparty会议期间提出攻击技术的詹姆斯巴克莱(James Barclay)说,黑客可以简单地搜索过去90天内生产的所有设备的序列号。 他告诉福布斯杂志:“你找到尚未注册的设备绝对是可行的。“

不要放弃MDM

巴克莱补充道:“总的来说,这并不意味着你不应该使用DEP或MDM。这些服务提供的好处超过了具有的风险。但苹果和客户可以采取措施来减少这种风险。”

在一篇论文中,研究人员表示,在最新的苹果iPhone和Mac设备上,苹果可以在设备芯片上使用加密技术,在注册DEP时唯一识别该设备。 他们补充说,苹果也可以采用更强大,强制性的身份验证。

巴克莱说,袭击方法是在5月向苹果报道的。 苹果没有透露是否会因研究成果而进行任何更新。 该公司在给福布斯的电子邮件中指出,这些攻击没有利用苹果产品中的任何漏洞。 发言人表示,苹果关于注册设备的说明手册是建议开启身份验证的,许多MDM提供商建议或要求采取此类安全措施。

但巴克莱认为,苹果公司将进行更新以防止此类攻击。 “我不能代表他们计划做什么,但我相信会做出一些改变。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏知晓程序

用户凭啥要用小程序?我用 FOGG 模型分析了一下

因为「优化」注定层出不穷,也导致其注定昙花一现。那么小程序是「app」形态的「优化」,还是一个和「app」完全不同的形态,是一种「颠覆」呢?

7600
来自专栏DevOps时代的专栏

业务安全与 DevSecOps 的最佳实践

36320
来自专栏我是攻城师

无论是云计算SaaS,PaaS还是IaaS,拼的都是运维!

70140
来自专栏ThoughtWorks

成都活动 : 第17届「BQMeetUp - Wiremock实战」报名进行中

Hi 好久不见成都的测试君们!在测试过程中,如果后端依赖曾让你崩溃万分、如果由于后端依赖不稳定的问题曾让你苦不堪言,那么我们新一期的线下测试技术交流活动非常适合...

14020
来自专栏IT大咖说

与传统相比,混合云如何实现更便利的部署

内容来源:2017 年 12 月 22 日,Infortrend 大中华区总经理杨文仁在“2017IDC产业大会”进行《混合云应用与数据中心》演讲分享。IT 大...

24240
来自专栏互联网数据官iCDO

恶意评论快照删除与投诉渠道

互联网数据官(iCDO)原创作者 郑智超 各位好,目前的互联网营销涉及方方面面,但是在竞争营销环境下,不免会出现恶意竞争的情况,恶评例如: 医美行业:我的鼻子让...

43760
来自专栏SAP最佳业务实践

SAP最佳业务实践:含变式配置按订单生产(147)-1业务概览

1、业务情景概览 用途 本业务流程适用于采用变式配置进行生产制造的公司: 优点 1、产品的变式配置改进了在销售,工程和生产部门之间的信息传递。变式配置帮...

42140
来自专栏灯塔大数据

数据的阴暗面:什么是暗数据?为什么暗数据很重要?

? 最近引起热议的术语暗数据,确切的说,就是来自于大数据的阴暗面。尽管暗数据这个名字听起来不吉利(让人联想到一个少年哥特乐队会取的绰号),但是或许更加的准确。...

39050
来自专栏BestSDK

10种方式,让你的编程灵感不断

1、与其他程序员聊天 这是最好的灵感来源,因为,他们会有一些你想不到的点子。即使是一些程序员朋友、一个编程小组或甚至是一个会议都行。将所有这些想法混合起来肯定会...

30250
来自专栏SDNLAB

ECOMP和Open-O正式合并为ONAP

Linux基金会旗下两大开源MANO工作组Open-O和ECOMP日前宣布正式合并成为一个组织,开放网络自动化平台(ONAP)。 ? 新的开放网络自动化平台(O...

40280

扫码关注云+社区

领取腾讯云代金券