警告流行的“热补丁”技术让iOS用户面临风险
相关标签： # 服务器# 研究# 数据# 恶意软件# 工具
苹果官方应用商店能够在您不知情的情况下从任何第三方服务器自动更新自身。
是的，这是有可能的，你最终可能会在iPhone或iPad上下载恶意软件。
与谷歌不同，苹果在创建和维护其官方应用商店的健康清洁生态系统方面做出了巨大努力。
尽管苹果的安全性和完整性审查流程和标准旨在保护iOS用户，但开发人员在为影响现有应用程序用户的严重漏洞或安全缺陷发布补丁时，发现该流程耗时且极其令人沮丧。
为了克服这个问题，苹果设计了一套解决方案，让iOS应用程序开发人员更容易直接向应用程序用户推出修补程序和更新，而无需经过苹果的审查程序。
听起来不错，但是这里是关键：
FireEye警告称，恶意应用程序开发人员可能会滥用这些解决方案，从而可能使他们有效规避官方应用商店审查流程提供的保护，并在受损设备上执行任意操作。
所讨论的框架是JSPatch– 一个小型JavaScript到Objective引擎，开发者可以将其集成到iOS应用程序中，只需在应用程序中添加几行代码，即可在iOS应用程序上应用修补程序。
JSPatch是如何工作的？
一旦JSPatch引擎加载到应用程序中，开发人员就可以将应用程序配置为始终加载托管在远程服务器上的JavaScript文件，该服务器由开发人员控制。
据研究人员称，由中国开发者开发的JSPatch应用程序商店中多达1220个iOS应用程序使用。尽管他们没有说出这些应用的名字，但研究人员声称他们已经通知了应用提供商。
因此，在需要对应用程序进行安全修复或更新时，开发人员可以只向服务器上托管的文件中添加一些JavaScript代码，以便在安装应用程序的所有设备中加载代码，而不必执行苹果冗长的更新程序。
如何利用JSPatch框架？
滥用该框架有两种方式：
- 如果开发商有恶意。
- 如果开发人员通过未加密的通道加载此框架中间人攻击.
如果应用开发者有恶意呢？
恶意开发者可以首先向苹果应用商店提交一个无害的JSPatch集成应用程序。
一旦它通过了苹果的检查，并在App Store上提供给用户下载，开发者就可以通过JSPatch轻松地向正在运行的应用程序发送恶意JavaScript代码，从而允许开发者在不被检测的情况下执行各种操作。
“JSPatch对iOS开发者来说是个福音，”FireEye的研究人员在一篇博客文章中说。“在正确的人手中，它可以被用来快速有效地部署补丁和代码更新。然而，在我们这样一个非乌托邦的世界里，我们需要假设坏的参与者会利用这项技术达到意想不到的目的。”
如果应用程序开发者通过未加密的通道加载JSPatch怎么办？
如果应用程序开发人员在没有任何恶意意图的情况下使用JSPatch，即使这样，用户的安全也会受到威胁。通过未加密（HTTP）通道加载JSPatch的开发人员可能会使客户端和服务器之间的通信不受保护。
这可能会让攻击者进行攻击中间人攻击拦截客户端和服务器连接并篡改发送到应用程序的JavaScript内容，以执行恶意操作，包括：
- 访问敏感信息，如媒体文件和粘贴板内容。
- 更改系统属性。
- 将任意公共框架加载到应用程序进程中。
这不是iOS用户第一次面临这样的问题。去年10月，应用商店中的数百个iOS应用被发现收集用户的私人数据，同时违反了苹果的安全和隐私准则。
这一发现发生在事故发生一个月后XcodeGhost恶意软件通过合法的iOS应用程序，通过假冒版本的苹果应用开发者工具包Xcode发布。以下是如何保护自己免受类似XCodeGhost的iOS缺陷。
如何保护自己？
保护自己不受此缺陷影响的建议是标准的：
只从官方应用商店下载你需要的、你知道的、你信任的应用。
当心那些要求大量权限且只授予必要权限的应用程序。
手动查看“所有内容”，以发现设备中的任何恶意内容。如果Rest希望改进其应用程序更新过程，使其更快，或者允许可能影响其大多数应用程序及其用户的潜在攻击向量，则由该公司决定。
特别声明：以上内容（图片及文字）均为互联网收集或者用户上传发布，本站仅提供信息存储服务！如有侵权或有涉及法律问题请联系我们。
举报
