76款iOS人气应用被曝存漏洞 你用的安全吗_砍柴网

首页 > 科技快报 > 手机 >

76款iOS人气应用被曝存漏洞 你用的安全吗

2017-02-08 11:46

在经过对iOS App Store中的二进制代码进行扫描后，Will Strafach的verify.ly服务检测到商店中有76款人气应用面临着数据受拦截的风险。不管App Store的开发者是否启用App Transport Security安全功能，这种数据拦截都有可能会发生。几个月前，Experian和myFICO Mobile公司的iOS应用中也发现了同样的漏洞。

Strafach的verify.ly服务专用于扫描iOS App Store中的应用，查找漏洞，给开发者提供帮助，让他们知道应该如何强化自己的代码，保证其安全。该服务的扫描主要是为了发现漏洞的模式，更可怕的是有时候会发现这些漏洞不断地出现在各种应用之中。而这次的发现之所以这么令人担忧，不仅仅是因为发现的都是常用的应用，更因为这些应用已经被累计下载了1800万次，也就意味着目前有这么多用户都面临着风险。
根据Strafach的介绍，在一定的Wi-Fi范围之内，如果用户的设备当前正在使用，那么这种类型的攻击就有可能会发生。它完全有可能发生在公共场所，甚至有可能在你的家里，只要攻击者和你的距离足够近。攻击者可以使用定制硬件或者是一个稍微经过修改的移动电话即可发起攻击，需要的设备取决于范围以及功能。如果要举一个例子来说明这种攻击的话，那就是攻击者能够近距离读取你的信用卡数据。
受影响应用名单
Strafach在报告中已经将这些应用按照低风险和中高风险分类。其中低风险应用有33款：
ooVoo、VivaVideo、Snap Upload for Snapchat、Uconnect Access、Volify?、Uploader Free for Snapchat、Epic!?—?Unlimited Books for Kids、Mico?—?Chat， Meet New People、Safe Up for Snapchat、腾讯微云、Uploader for Snapchat、华为 Huawei HiLink (Mobile WiFi)、VICE News、Trading 212 Forex & Stocks、途牛旅游-订机票酒店火车票汽车票特价旅行、CashApp?、FreeMyApps、1000 Friends for Snapchat?、YeeCall Messenger-Free Video Call&Conference Call、InstaRepost?—?Repost Videos & Photos for Instagram Free Whiz App、Loops Live、Privat24、Private Browser?—?Anonymous VPN Proxy Browser、AMAN BANK、FirstBank PR Mobile Banking、vpn free?—?OvpnSpider for vpngate、Gift Saga?—?Free Gift Card & Cash Rewards、Vpn One Click Professional、Music tube?—?free imusic playlists from Youtube、AutoLotto： Powerball， MegaMillions Lottery Tickets、Foscam IP Camera Viewer by OWLR for Foscam IP Cams、ScanLife QR and Barcode Reader。
上述这些应用的数据被拦截的可能性比较低，Strafach在报告中指出有些应用是其中的用户名和用户密码会被拦截，而有些是操作系统版本号、分析信息、机型、Wi-Fi网络名称和Wi-Fi网络BSSID等会被拦截。
中高风险分别有24款和19款，不过目前还没有公布名单。他们表示会先与受影响的银行、医疗服务提供方以及其他敏感应用的开发者联系之后，在未来 60-90 天再逐渐公开。目前因为敏感性这份名单仅提供给部分相关人员。

如何防范和避免
App Transport Security(ATS)是苹果在iOS 9中引入的一项隐私保护功能，屏蔽明文HTTP资源加载，连接必须经过更安全的HTTPS。此前苹果宣布到2017年1月1日，App Store中的所有应用都必须启用App Transport Security安全功能，否则极有可能被拒!不过后来他们又延长了截止日期，目前还不知道最终日期是什么时候。
针对这次出现的问题，Will Strafach在报道中指出其实苹果方面也束手无策。如上文所介绍，苹果ATS也无法让用户避免这种风向。因为如果苹果想为了解决这个安全问题而去推翻这个功能的话，那么部分iOS应用会因此变得更加不安全，因为它们不能够在连接的过程中使用“证书锁定”(certificate pinning)，而且它们也无法获得信任，否则使用内部 PKI 的企业局域网连接可能会需要不可信的证书。因此这个风险只能够是由开发者来帮助用户解除，或者说将风险降到最低，开发者必须强化他们的应用的安全性。
用户也可以通过一些办法来保护自己的安全。正确配置VPN有助于缓解这个问题。如果用户不想使用VPN的话，那么Strafach建议用户关闭Wi-Fi连接，具体如下：如果你在公共场所的时候需要在自己的移动设备上执行某些敏感任务(比如你想打开银行用户，查看你的银行账户)，你就可以在执行这个任务之前，现在设置中关闭“Wi-Fi”的开关，从而避开上述风险。
即便是蜂窝网络其实也有风险，蜂窝拦截难度更高，需要一些非常昂贵的硬件设备，但是蜂窝拦截目标太大，很容易被发现，而且在某些国家这种拦截是非法的，因此攻击者一般不会尝试通过蜂窝网络去拦截用户的数据。
对于在苹果应用商店中发布应用的开发商，Will Strafach建议在提交应用给苹果审核之前，先使用verify.ly服务进行扫描，它可以发现应用中存在的漏洞以及其他问题。然后再提供一份易读的报告，介绍所有可能存在的问题，以保证你的客户数据安全。
另外Will Strafach也提醒开发者在插入与网络相关的代码，改变应用程序的行为时必须特别小心。很多与此相似的问题都是因为开发者从网络上复制代码的时候没有完全理解这些代码。
【来源：97973手游网】

共有评论0条

相关推荐
诉讼称领英iOS应用悄悄转移用户敏感信息
99％的苹果iOS应用会秘密收集用户数据
后台刷新功能有风险！大批iOS应用被曝发送用户数据
SQLite大漏洞！所有Chromium浏览器中招
微软登录系统存在漏洞：用户Office帐号受影响
Windows 10被曝漏洞：受害者电脑沦为“肉鸡”
赚了3.6万美金只因一个漏洞，靠“挖洞”真的能致富吗？
滴滴顺风车出事，打破了阿里高德的如意算盘？
美国iPhone用户集体状告苹果：A系列处理器存漏洞
被英特尔漏洞吓怕 云服务提供商考虑选择可替代芯片
七问英特尔芯片高危漏洞: 为何主流系统设备全中招
英特尔芯片漏洞背后的故事: 研究员曾不相信
苹果: 所有Mac和iOS设备都受英特尔芯片漏洞影响
英特尔CPU被曝存在安全漏洞 修复后的补丁将降低PC速度
新版iOS 11出现HomeKit漏洞, 苹果紧急修复
苹果HomeKit曝漏洞 黑客能控制你家的电器门锁
英特尔ME漏洞持续发酵: 多家厂商禁用相关技术
苹果新漏洞: macOS系统无需密码即可解锁电脑
macOS出现最大漏洞 无需密码就能解锁系统
安卓又现新漏洞 41%设备可通过Wi-Fi网络被攻击
百度或陷搜索漏洞危机：新闻搜索结果极不稳定
法德两国将封堵税收漏洞 苹果恐又将补交税款
Uber利用法律漏洞在英国避税 被指不公平竞争
OPPO R9系手机曝致命漏洞 指纹和密码瞬间失效
苹果企业账号遭滥用：iOS漏洞“留出”赌博应用通道
共享单车还没盈利，漏洞倒是滋生了灰色产业连
共享单车还没盈利，灰色产业链已经形成
漏洞百出！三星Tizen被指最烂代码
京东直赔出现漏洞：多个网店卖家被坑
Uber漏洞现已修复 免费打车的梦已碎
苹果用户该慌了！iCloud漏洞能恢复删了一年浏览记录
支付宝回应修改密码漏洞：仅在特定情况下才会实现
支付宝现重大漏洞：知晓熟人信息可篡改密码
iOS 10现重大漏洞：iphone手机密码如同虚设
谷歌公布Windows重大漏洞 引微软大不快
电信诈骗频频发生 监管漏洞成“帮凶”
iPhone 存高危漏洞秒变木马，幕后间谍公司惨遭曝光
科技晚报：高通CPU现漏洞影响全球，Facebook换算法打压标题党
苹果宣布：找系统漏洞 奖励20万美元！
苹果明码实价收购安全漏洞：最高开价200000美元
中石油加油站管理漏洞：买大米开出汽油发票
史上最严重移动端漏洞现身：可控制所有手机！
FCA发动黑客查找汽车软件漏洞 论功行赏
微软总算修复Windows存在20年的漏洞
微信支付存在三大漏洞，账户支付难防洗钱风险
亚马逊平台中国山寨品泛滥，存在诸多可怕漏洞
97%的App都有漏洞，平均每个App有87个漏洞
8500万台安卓手机感染病毒，幕后黑手是一家中国公司
优信二手车检测形同虚设：漏油、发动机被拆过
手机号遭克隆卡内15万元被转走 漏洞在哪里？
移动业务漏洞凸显 银行卡泄密规模200亿
iOS 9.3连出三个漏洞 苹果到底怎么了
iOS 9.3连出三个漏洞 苹果到底怎么了
在携程支付成功 为何酒店却无入住信息？
网易邮箱风波不停，多起问题引争议
宝马奔驰也中招，能被黑客远程控制
把你家汽车开到沟里，黑客是如何办到的？
Android没救了？新漏洞竟由OEM预装
Android手机指纹识别功能巨大漏洞被曝光
6亿部三星手机，可能因键盘漏洞受到影响
联想电脑被曝存在重大漏洞 黑客可绕开验证执行任意指令
iOS 8重大漏洞：iPhone连假Wi-Fi后恐瘫痪
30余省市社保系统漏洞背后 网络安全如何攻防？
阿里安全称发现安卓WiFi漏洞：黑客可远程攻击
一号专车软件或存漏洞：坐车18分钟收费710元 ，时速553公里超动车？
约1500项iOS应用存漏洞,可能会导致黑客截获用户的加密信息
报告：俄黑客组织利用Flash和Windows系统中漏洞获取其他国家政府的信息
有人巧妙利用谷歌地图产品的漏洞，炮制了斯诺登藏匿于美国白宫这宗“闹剧”
“云路由”存漏洞，黑客轻易可获取用户网银密码等隐私
专家声称发现了一个长期影响所有Windows版本的僵尸漏洞
Facebook将追踪未注册用户一事全推脱为有系统漏洞？
神州专车存漏洞：用“阿里小号”APP可逃款
滴滴打车被曝漏洞：专车到底靠不靠谱？
滴滴打车漏洞曝光：可轻易更改车牌号
滴滴打车被曝有漏洞 易遭黑车利用
程序员发现YouTube漏洞 可删除所有视频
天河一号超级计算机集群存漏洞:上百账号或泄露
14年程序安全漏洞研究报告：谷歌旗下chrome漏洞最多！
用户发现WP8.1浏览器存在重大漏洞，密码易泄露
细数那些坑了大家很久的路由器漏洞
OpenSSL漏洞频现，软件维护小组却依旧淡定
苹果证实：iOS 8.2更新已修复太极越狱漏洞
美国手工艺电商Etsy申请上市，为何受到“中国制造”的威胁？
搜狗浏览器不存在漏洞 某数字公司再败诉
中联通被曝漏洞 或致用户通话记录等信息泄露
网曝中国联通某系统漏洞可导致一系列信息泄漏风险
中联通被曝漏洞 或致用户通话记录等信息泄露
微信支付存在巨大漏洞 嘀嘀打车出现重复消费

<返回

<返回首页

Copyright CmsTop.com
2026年02月28日 15:42:32