苹果iOS 8安全性

上周，苹果依照惯例在全球开发者大会上发布了最新版手机操作系统。总部位于加州库比蒂诺的苹果公司此次推出的iOS 8号称是”全球最先进的手机操作系统”。这一说法显然颇有争议，但新平台确实有一些设计周密的安全隐私功能，此外还对应用开发环境进行了重大改革。 新系统中对安全隐私的改进最大，即随机生成介质访问控制（MAC）地址，但很可能这也是用户最容易忽视的。MAC地址是一种唯一标识，广泛用于跟踪Wi-Fi网络上的设备和用户行为。据称，用户连到公用Wi-Fi网络并与其进行交互时，零售商和其他各方可通过跟踪MAC地址来更多地了解用户的行为。 但问题是，很多用户对此跟踪完全不知情，这也意味着用户可能根本就不同意被跟踪，至少在传统意义上是这样。 在iOS 8中，无线网络扫描苹果的i系列设备时，这些设备将生成随机MAC地址。这样零售商就无法跟踪商店内客户的活动和其他行为。随机生成MAC地址对于许多根本没意识到被跟踪的苹果迷来说，是隐私保护方面的巨大进步。 随机生成MAC地址是对于许多根本没意识到被跟踪的#苹果迷来说，是#隐私保护方面的巨大进步。 另一个很不错的安全隐私改进是，支持用户将DuckDuckGo作为Safari浏览器中的默认搜索引擎。DuckDuckGo是一种替代搜索引擎，它不会根据搜索查询收集用户信息或其他任何相关信息。而且，DuckDuckGo会尽可能确保用户通过加密的HTTPS连接与网站进行交互。搜索DuckDuckGo从某种意义上来说系统性更强，因为查询不会根据感知到的用户关注内容进行定制，而这是其他引擎的通用做法。 当然，本发行版中还包罗了各种更华丽且实用的功能。照片将在所有连接设备上共享，用户能够轻松将语音添加为短信（我想这是电话应该具有的功能），此外，苹果还高调推出了更简洁的全新通知界面。显然，在各设备之间实现照片共享未来可能会出现各种隐私和安全问题，但就目前来看，还没有什么明显的安全问题。 然而，一些与家庭共享功能一并提供的新键盘功能，更深层次的iCloud集成，以及新平台明显的雄心壮志，要吸引更多的应用开发，这些都会对安全隐私产生重大影响。 苹果称，新的软件开发者工具包（SDK）是App Store发布以来最大的一个开发工具包，应用编程接口（API）超过4000个。如果我们对苹果的新闻稿解读无误的话，这些举措和新的应用编程语言很可能会使App Store更为开放，环境类似Google Play（但苹果的预审查政策仍生效）。一方面，这意味着会有更多应用发布到App Store；另一方面，这也意味着面临着更多威胁，当然这并不一定会对用户构成威胁，具体取决于苹果如何在已改变的环境中应对安全性。 新的开发者工具包中，我们将密切关注的一个工具包的”HeathKit”。此工具包支持开发人员构建运动健身应用，以更适合用于彼此交流，分享从健身计划到血压水平等各种用户信息。近年来，市面上运动健身类应用层出不穷，数量激增。但上个月，美国联邦贸易委员会发布的一份报告中警告说，运动健身类应用在获取和共享用户信息方面”胃口”过大，这引起了我们的关注。为不同应用提供彼此共享这些数据的能力（即便用户允许应用这样做，因为授予权限实际上被视为同意这样做）只会加剧这一问题。但平心而论，如果发布一些个人数据能促使用户加强锻炼，那么这可能是一种理智的取舍。 HomeKit是另一个相关API。它使开发人员有能力构建与现代化住宅不断增多的连接和”智能化”进行交互的应用。如果您定期阅读《卡巴斯基中文博客》，那么一定会知道住宅自动化系统安全性差强人意。苹果称，此工具包在安全性上已全部进行配对（这可能意味着通过某种方式使用了加密）和配置。但在打入开放市场之前，很难说安全性到底怎么样。 如果新的App Store像安卓一样对企业开放，那么我们可能会看到更多恶意应用纷涌而入。 总之，新版本看起来确实是对苹果现有开发环境的彻底革新，这着实让人兴奋不已。因为这意味着会有更新、更有创意的应用出现，包括第三方键盘、窗口小部件等等。但同时也让人略感担忧，因为与创新随之而来的是更多攻击接口和更棘手的攻击。如上所述，如果新的App Store像安卓一样对企业开放，那么我们可能会看到更多恶意应用纷涌而入。 如果要从本质上了解这种新的应用开发业务将以何种方式影响安全性，尤其是相对于安卓系统，请参阅Andrew Cunninghamrs在Ars Technica博客上发布的文章中的第二页，此文对此问题进行了详细阐述。 除了我们讨论过的内容外，使用新键盘时，”将根据过往的对话内容和书写风格，显示后续可能会输入的字词或短语供您选择。”此外，”iOS 8还考虑到了用户可能在短信中使用的书写网络较随意，而在邮件中则可能使用更正式的语言”，”还根据交流对象调整显示的预测内容，因为与伴侣对话时所选的字词肯定要比和老板对话中使用的更随意。”总之，这些功能意味着苹果将收集更多用户信息，这必然会影响到隐私性，不管这样做能带来多大程度的便利。iCloud提高了文件存储容量，用户可以在一个位置存储更多敏感信息，这也相应要求用户熟悉并启用该服务提供的安全功能。但同时，也意味着需要采取更多方法来备份和保护用户敏感数据。 通过新的”家庭共享”功能，用户有能力将自己的设备与设为其家庭成员的其他用户完全同步。此功能的优点是加强了家长控制，但风险也显而易见，它为新的潜在攻击开辟了一条新的途径 － 类似于最近报告中所报告的黑客利用iCloud访问锁定手机。我们将拭目以待黑客是否可能暗中将自己设为家庭成员，从而监视用户行为，窃取设备数据。

上周，苹果依照惯例在全球开发者大会上发布了最新版手机操作系统。总部位于加州库比蒂诺的苹果公司此次推出的iOS 8号称是”全球最先进的手机操作系统”。这一说法显然颇有争议，但新平台确实有一些设计周密的安全隐私功能，此外还对应用开发环境进行了重大改革。

新系统中对安全隐私的改进最大，即随机生成介质访问控制（MAC）地址，但很可能这也是用户最容易忽视的。MAC地址是一种唯一标识，广泛用于跟踪Wi-Fi网络上的设备和用户行为。据称，用户连到公用Wi-Fi网络并与其进行交互时，零售商和其他各方可通过跟踪MAC地址来更多地了解用户的行为。

但问题是，很多用户对此跟踪完全不知情，这也意味着用户可能根本就不同意被跟踪，至少在传统意义上是这样。

在iOS 8中，无线网络扫描苹果的i系列设备时，这些设备将生成随机MAC地址。这样零售商就无法跟踪商店内客户的活动和其他行为。随机生成MAC地址对于许多根本没意识到被跟踪的苹果迷来说，是隐私保护方面的巨大进步。

随机生成MAC地址是对于许多根本没意识到被跟踪的#苹果迷来说，是#隐私保护方面的巨大进步。

另一个很不错的安全隐私改进是，支持用户将DuckDuckGo作为Safari浏览器中的默认搜索引擎。DuckDuckGo是一种替代搜索引擎，它不会根据搜索查询收集用户信息或其他任何相关信息。而且，DuckDuckGo会尽可能确保用户通过加密的HTTPS连接与网站进行交互。搜索DuckDuckGo从某种意义上来说系统性更强，因为查询不会根据感知到的用户关注内容进行定制，而这是其他引擎的通用做法。

当然，本发行版中还包罗了各种更华丽且实用的功能。照片将在所有连接设备上共享，用户能够轻松将语音添加为短信（我想这是电话应该具有的功能），此外，苹果还高调推出了更简洁的全新通知界面。显然，在各设备之间实现照片共享未来可能会出现各种隐私和安全问题，但就目前来看，还没有什么明显的安全问题。

然而，一些与家庭共享功能一并提供的新键盘功能，更深层次的iCloud集成，以及新平台明显的雄心壮志，要吸引更多的应用开发，这些都会对安全隐私产生重大影响。

苹果称，新的软件开发者工具包（SDK）是App Store发布以来最大的一个开发工具包，应用编程接口（API）超过4000个。如果我们对苹果的新闻稿解读无误的话，这些举措和新的应用编程语言很可能会使App Store更为开放，环境类似Google Play（但苹果的预审查政策仍生效）。一方面，这意味着会有更多应用发布到App Store；另一方面，这也意味着面临着更多威胁，当然这并不一定会对用户构成威胁，具体取决于苹果如何在已改变的环境中应对安全性。

新的开发者工具包中，我们将密切关注的一个工具包的”HeathKit”。此工具包支持开发人员构建运动健身应用，以更适合用于彼此交流，分享从健身计划到血压水平等各种用户信息。近年来，市面上运动健身类应用层出不穷，数量激增。但上个月，美国联邦贸易委员会发布的一份报告中警告说，运动健身类应用在获取和共享用户信息方面”胃口”过大，这引起了我们的关注。为不同应用提供彼此共享这些数据的能力（即便用户允许应用这样做，因为授予权限实际上被视为同意这样做）只会加剧这一问题。但平心而论，如果发布一些个人数据能促使用户加强锻炼，那么这可能是一种理智的取舍。

HomeKit是另一个相关API。它使开发人员有能力构建与现代化住宅不断增多的连接和”智能化”进行交互的应用。如果您定期阅读《卡巴斯基中文博客》，那么一定会知道住宅自动化系统安全性差强人意。苹果称，此工具包在安全性上已全部进行配对（这可能意味着通过某种方式使用了加密）和配置。但在打入开放市场之前，很难说安全性到底怎么样。

如果新的App Store像安卓一样对企业开放，那么我们可能会看到更多恶意应用纷涌而入。

总之，新版本看起来确实是对苹果现有开发环境的彻底革新，这着实让人兴奋不已。因为这意味着会有更新、更有创意的应用出现，包括第三方键盘、窗口小部件等等。但同时也让人略感担忧，因为与创新随之而来的是更多攻击接口和更棘手的攻击。如上所述，如果新的App Store像安卓一样对企业开放，那么我们可能会看到更多恶意应用纷涌而入。

如果要从本质上了解这种新的应用开发业务将以何种方式影响安全性，尤其是相对于安卓系统，请参阅Andrew Cunninghamrs在Ars Technica博客上发布的文章中的第二页，此文对此问题进行了详细阐述。

除了我们讨论过的内容外，使用新键盘时，”将根据过往的对话内容和书写风格，显示后续可能会输入的字词或短语供您选择。”此外，”iOS 8还考虑到了用户可能在短信中使用的书写网络较随意，而在邮件中则可能使用更正式的语言”，”还根据交流对象调整显示的预测内容，因为与伴侣对话时所选的字词肯定要比和老板对话中使用的更随意。”总之，这些功能意味着苹果将收集更多用户信息，这必然会影响到隐私性，不管这样做能带来多大程度的便利。iCloud提高了文件存储容量，用户可以在一个位置存储更多敏感信息，这也相应要求用户熟悉并启用该服务提供的安全功能。但同时，也意味着需要采取更多方法来备份和保护用户敏感数据。

通过新的”家庭共享”功能，用户有能力将自己的设备与设为其家庭成员的其他用户完全同步。此功能的优点是加强了家长控制，但风险也显而易见，它为新的潜在攻击开辟了一条新的途径 － 类似于最近报告中所报告的黑客利用iCloud访问锁定手机。我们将拭目以待黑客是否可能暗中将自己设为家庭成员，从而监视用户行为，窃取设备数据。

Chrome插件加密所有离开浏览器的数据

Google最新发布的一份报告显示，在全球的Gmail流量中，超过30%在发件人向收件人发送邮件过程中的某一时刻处于无加密状态。为修复这一漏洞，Google开发出了一项工具，它能够为安装端对端插件的任何用户对所有离开Chrome浏览器的数据进行加密，这一工具不久将公布于众。 你可能会对此存有疑惑，因为Gmail始终通过一个安全的加密HTTPS连接传输数据，这即表示100%的出站流量被进行了加密。但事实的真相却并非如此，HTTPS仅仅是对从计算机发出通过浏览器进入Google服务的数据进行了加密。 可能你还有印象，就在几个月之前，Google并没有对服务器和数据中心之间的链接进行加密。这一漏洞据说被美国国家安全局所利用以进行监控，现在终于被修复了。这一漏洞激起用户的愤怒，而Google所做的回应则是对这些链接进行加密。 .@Google的最新工具将能对所有离开# Chrome浏览器的数据进行加密。#加密 现在，如果你使用Gmail发送邮件，则邮件从电脑中发出通过浏览器传送至Google服务器的整个过程中，始终处于加密状态。一旦你的数据远离Google的控制范围，则是否加密则完全取决于拥有你数据的供应商。如果你的邮件是从一个Gmail邮箱发送至另一个Gmail邮箱，则邮件将始终处于加密状态，而这些数据也将在传送过程中显示加密。但不幸的是，有些公司并不是像Google一样如此重视隐私与安全问题。 简而言之，公司表示从Gmail发出的邮件的69%被加密，而传入Gmail的邮件被加密的仅为48%。在美洲国家这一比例尤其高，1万封邮件中仅有不到1封能够被AOL解码，这是非常了不起的数据。另一方面，AT&T则能够对半数的此类邮件进行解密。而Comcast则完全没有对来自Google的邮件进行加密。另一边，Facebook和亚马逊几乎对所有他们发送至Gmail的邮件进行了加密，而邮件营销服务商Constant Contact则截然相反，对所有传送至Gmail的邮件，几乎不采取任何加密措施。 开发这一全新端对端工具的目的旨在为日常用户提供简单易操作的加密工具。使用这一工具后，用户可确保其数据在邮件传送过程中始终处于加密状态。当然与此相类似的工具大量存在于目前市场中。然而，其中的大部分都过于复杂且难以使用。 “尽管像PGP和GnuPG这样的端对端加密工具早已推出市场，但却需具备大量的技术专知与实践操作方能灵活使用，”Google安全与隐私部产品经理Stephan Somogyi这样写道。”为了让这些工具使用起来更简便，我们即将发布针对全新Chrome插件的代码（使用OpenPGP），作为一项公开的标准能够支持目前众多的加密工具。” 简单地说，加密数据工具能够显示已加密数据在Google的Gmail服务器的流入、流出量，此外还包括了一些信息，比如哪些供应商在Gmail邮件通过它们的服务器时对数据进行加密。 “使用安全传输层协议进行加密，能够防止不法分子在邮件传送过程中对你讯息的窥视。” “使用安全传输层协议进行加密，能够防止不法分子在邮件传输过程中对你讯息的窥视。”Google解释道。”TLS协议无论是对进站还是出站邮件流量，都能够进行加密并安全送达。同时还有助于防止邮件在两个邮件服务器之间传送时被窃取—始终保持邮件在两家邮件供应商之间传送时的私密性。” 然而，他们又做了进一步的解释，只有在发件人和收件人所使用邮件供应商同时支持TLS的情况下，你的通讯信息才会被加密，但问题是并不是每一家供应商都能支持TLS。 “TLS目前成为了安全邮件的标准。尽管这并不是一个十全十美的解决方案，但如果每个人都使用TLS的话，那窥探别人邮件的难度和成本将大大加大。” 在理想的世界中，每一家邮件服务供应商在从邮件发出到邮件接收的整个过程中对用户讯息进行加密—或者用一句我们的行话来说，那就是”端对端”。

提示
注册