原本不想發(fā)這篇文章的，想封存下來(lái)，但看到事件的發(fā)展走向越來(lái)越微妙，有兄弟夜不能寐，不能免俗，還是出來(lái)說(shuō)說(shuō)。
先來(lái)科普下這次事件的罪魁禍?zhǔn)祝篺ind my iPhone功能。
蘋果手機(jī)內(nèi)置了一個(gè)重要的安全功能叫 find my iPhone , 蘋果手機(jī)與Apple ID綁定開(kāi)啟該功能后，用戶可以通過(guò)Apple ID遠(yuǎn)程鎖定手機(jī)和摸出手機(jī)數(shù)據(jù)。
說(shuō)簡(jiǎn)單點(diǎn)，蘋果這個(gè)遠(yuǎn)程鎖機(jī)的安全功能需要知道兩個(gè)角色，一個(gè)是硬件，一個(gè)是人，蘋果怎么來(lái)分辨硬件和人呢？
1、設(shè)別硬件需要靠IMEI號(hào)，IMEI（移動(dòng)設(shè)備國(guó)際識(shí)別碼）是手機(jī)的唯一識(shí)別號(hào)碼。用手機(jī)撥號(hào)輸入*#06#，屏幕上會(huì)顯示IMEI，蘋果手機(jī)的背后打印著IMEI號(hào)。
2、設(shè)別人需要靠賬號(hào)，蘋果的賬號(hào)體系就是Apple ID，Apple ID默認(rèn)是用戶的一個(gè)郵箱，Apple ID本身也有很多安全保護(hù)措施，如找回密碼和兩步驗(yàn)證。
今年網(wǎng)易手機(jī)315策劃了一個(gè)專題“克隆IMEI碼引發(fā)的風(fēng)波”
建議大家細(xì)讀一下這個(gè)專題，我這里給大家簡(jiǎn)單解讀一下，IMEI號(hào)是可以被克隆的，也就是硬件的身份能夠被偽造，蘋果分不清楚你的iPhone是你iPhone。網(wǎng)易手機(jī)315專題得出的結(jié)論是：
“iPhone鎖定其他設(shè)備的原理是利用硬件漏洞，通過(guò)更換通訊CPU和更改基帶存儲(chǔ)器底層資料，修改閃存中的設(shè)備信息，使設(shè)備信息和要被鎖定的機(jī)器相同，且待被鎖設(shè)備iCloud查找iPhone未被啟用（蘋果安全機(jī)制嚴(yán)重漏洞），然后刷機(jī)、激活、鎖定！”
我再用半通俗半技術(shù)的話解讀下——
這個(gè)刷機(jī)需要一臺(tái)越獄的蘋果手機(jī)，越獄還不是關(guān)鍵，還需要能硬解，能夠改寫(xiě)硬件里的數(shù)據(jù)也就是改寫(xiě)IMEI號(hào)。
這個(gè)產(chǎn)業(yè)鏈一度盛行，經(jīng)常有人的iPhone莫名其妙地被鎖定，說(shuō)白了這里是蘋果安全機(jī)制的一個(gè)疏漏，沒(méi)辦法認(rèn)清楚硬件和人，硬件標(biāo)識(shí)可以偽造，綁定到一個(gè)惡意Apple ID上，這個(gè)Apple ID就可以在云端不分青紅皂白的鎖定這個(gè)IMEI號(hào)的設(shè)備。
所以，你的IMEI號(hào)泄露了，很有可能被這個(gè)產(chǎn)業(yè)鏈的人惡意利用鎖定你的手機(jī)。
講到這里，進(jìn)入正題，其實(shí)圍繞find my iPhone功能和漏洞，拋出了一個(gè)終極的哲學(xué)問(wèn)題，你怎么證明你是你！
現(xiàn)在硬件都不能證明硬件自己了，換成人怎么辦？大家無(wú)論使用Apple ID還是網(wǎng)易郵箱，最重要的要素就是密碼，即黑客知道了你的Apple ID密碼也能鎖定你的iPhone，Apple ID是一個(gè)郵箱，黑客無(wú)需攻破你的Apple ID，只要能攻破你這個(gè)Apple ID的郵箱。由于之前蘋果出過(guò)大規(guī)模的好萊塢明星iCloud艷照泄露事件，蘋果推出了新的安全機(jī)制，也就是兩步驗(yàn)證——
兩步驗(yàn)證的意思是密碼不再被信任，你有了密碼還需要短信和信任的硬件認(rèn)證，密碼已經(jīng)不能代表你了，還需要其他東西來(lái)證明你是你。
最近幾年爆出最影響深遠(yuǎn)的安全事件莫過(guò)于“拖庫(kù)”，國(guó)內(nèi)許多重要網(wǎng)站的用戶密碼都泄露了，像這次大規(guī)模蘋果手機(jī)被鎖的事一發(fā)生，神經(jīng)敏感的人肯定往“拖庫(kù)”上去想，是不是蘋果的密碼泄露了，是不是網(wǎng)易郵箱的密碼泄露了。
除了“拖庫(kù)”還有“撞庫(kù)”，是黑客通過(guò)網(wǎng)站的登錄接口進(jìn)行密碼的暴力破解，而這個(gè)暴力破解的密碼就是之前“拖庫(kù)”泄露的你的常用密碼。
“拖庫(kù)”和“撞庫(kù)”是兩個(gè)截然不同的安全事件了，“拖庫(kù)”可以認(rèn)為廠商的數(shù)據(jù)庫(kù)直接就淪陷了，可以被黑客直接拖走?！白矌?kù)”只能說(shuō)廠商的網(wǎng)站業(yè)務(wù)存在安全漏洞，用戶的賬號(hào)被人間接攻破。
這次事件，如果說(shuō)是“拖庫(kù)”那么就嚴(yán)重了，說(shuō)明廠商毫無(wú)安全可言，廠商的信譽(yù)將大損，如果說(shuō)是“撞庫(kù)”，那么問(wèn)題就被弱化了，無(wú)非是業(yè)務(wù)上出現(xiàn)了安全漏洞。
說(shuō)句公道話，無(wú)論是“拖庫(kù)”和“撞庫(kù)”，都得講究證據(jù)，如果沒(méi)有證據(jù)就說(shuō)網(wǎng)易被“拖庫(kù)”了，那明顯有炒作的嫌疑。如果真是“撞庫(kù)”，那么廠商也不想把問(wèn)題擴(kuò)大化，公關(guān)之詞也可以被理解。
說(shuō)句大道理，其實(shí)“拖庫(kù)”和“撞庫(kù)”于大眾而言沒(méi)有任何意義，這個(gè)時(shí)候廠商應(yīng)該想的是如何善后，為用戶真正解決問(wèn)題。個(gè)人還是比較認(rèn)可網(wǎng)易的業(yè)務(wù)安全的，但是這個(gè)關(guān)鍵時(shí)刻，廠商不應(yīng)行公關(guān)之詞，而是要宣傳加強(qiáng)自己的業(yè)務(wù)安全，是個(gè)非常好的機(jī)會(huì)來(lái)用事件推動(dòng)產(chǎn)品安全！
我想至今還有大部分用戶不知道網(wǎng)易密碼丟了，連密碼方式都忘了以后怎么要回來(lái)。這里提醒下，進(jìn)網(wǎng)易賬號(hào)修復(fù)支持中心可以直接申訴，這里面的流程雖然也有安全漏洞，但總比干看著好。
另外如果你的蘋果手機(jī)遇到鎖機(jī)情況無(wú)法解決，有購(gòu)物小票、發(fā)票等能證明手機(jī)是你的票據(jù)，就可以去蘋果售后官方解鎖，并且可以選擇報(bào)案，讓警方和蘋果搗毀這群不法分子?！?/p>
最后再說(shuō)句實(shí)話，這次事件大眾是受害者，廠商也是受害者，安全圈如果沒(méi)有證據(jù)，就不要再火上澆油加害受害者了，抱團(tuán)去挑戰(zhàn)這個(gè)萬(wàn)惡的黑色產(chǎn)業(yè)鏈才是正途。
聯(lián)系客服
