神刀安全网

为什么第三方机构愿意帮助 FBI 破解那部 iPhone?

本文 只能在《好奇心日报》发布,即使我们允许了也不许转载*

旧金山电 — 在 第三方向联邦调查局表示 可以破解 iPhone 之后,很多在安全领域工作的人都说,第三方机构没有站在 苹果 这一边也并不奇怪。

虽然苹果公司在对用户通讯内容加密、保护用户隐私方面做了很多工作和公关,但是安全领域的专家仍然认为,这家公司在防止黑客入侵系统方面做的比很多竞争对手都要少。同时,当黑客找到苹果系统的代码漏洞时,他们也没有什么动力将这些问题反馈给苹果公司以使其得以修复。

Google、微软、Facebook、Twitter、Mozilla 等科技公司都会向反馈它们产品和系统漏洞的外部黑客支付费用。Uber 也从本周二开始了一项 漏洞追踪悬赏计划 。而 Google 公司自 2010 年开始执行漏洞追踪悬赏计划以来,已经向外部黑客支付了超过 600 万美元的奖金,而且公司上周 将最高奖金提升了一倍 ,目前高达 10 万美元,用于奖励能够破解 Chromebook 的人。

苹果公司在过去几年的安全性一直相对较高,也开诚布公地表示安全问题是一场永无止境的猫鼠游戏,公司并不愿意借助金钱手段来抢着为利用代码漏洞的行为买单。

公司目前除了给黑客一个“黄金之星”(gold star)的奖励之外,没有任何其它奖赏。如果一个黑客向公司上报了某个产品的严重漏洞,他们可以在公司网站上看到自己的名字被列出来——但这也就是全部了。这与黑客们能从其它途径获得的回报相去甚远,如果他们将一个苹果的漏洞卖到热闹的地下黑市,会有无数公司和政府机构愿意给他们支付优厚的报酬。

美国联邦政府周一披露,一位不具名的第三方机构(而不是苹果公司)找到了他们,称可以 帮助破解那台备受争议的 iPhone 。这一消息凸显了一点:苹果这个大公司处理漏洞追踪问题的方法,与整个科技产业的其他公司相去甚远。

不过安全专家——尤其是与类似的漏洞追踪计划有利害关系的专家说,苹果公司目前也只能做到这样,尤其在当下,追踪漏洞和修复漏洞的传统做法已经有了变化。

就在本周,约翰霍普金斯大学(Johns Hopkins University)的研究人员发现了一项纰漏,可以被黑客用于破解附加在苹果 iMessage 系统中的图片和视频。研究人员将问题反馈给了苹果公司,以期修复。

“尤其是在赌注已经垒到现在这么高的情况下,如果苹果公司想继续在当下的社会里竞争,他们就得改变方法,”HackerOne 公司的首席策略师凯蒂·穆索利斯(Katie Moussouris)说。目前,雅虎、 Dropbox 以及 Uber 的漏洞追踪悬赏计划都是它们付费给 HackerOne 来代为运营的。

直到周二,这家主动找到 联邦调查局 、并称其有办法破解去年加州圣博纳蒂诺大规模枪击案中一名枪手的 iPhone 的机构身份仍然未知。这个第三方机构的出现叫停了——至少是暂时叫停了苹果公司和联邦政府之间关于是否该降低 iPhone 安全性以协助司法部门破案的争议。

美国司法部拒绝透露这个第三方个人或机构的名称,也拒绝陈述其提出的破解设备的方法。可能有多种原因导致这个第三方没有去找苹果公司。

过去,微软系统也曾经是那些满肚子坏主意的黑客们频繁攻击的目标,主要原因就是微软产品广受欢迎。但微软开始同黑客社区密切合作之后,其安全性也提升了。

随着苹果电脑和手机在市场上占有越来越大的份额,同时消费者也越来越多地将个人信息授权给 iPhone ,苹果产品已经成为罪犯与间谍更有价值的攻击目标。

一位苹果公司的女发言人提到,公司负责软件工程的高级副总裁克雷格·费德里希(Craig Federighi)在一篇评论中写道:“安全是一场没有尽头的比赛——你只可能暂时领先,但绝不会有决定性的胜利。”

费德里希说:“我们的团队不辞劳苦地工作,就是为了在试图窥探我们用户信息的恶意攻击到来之前,先人一步,即便我们已经尽了最大努力,但仍然不存在百分百的安全。”

和其他科技公司相比,苹果公司在安全社区的存在感一直都没那么强。它并没有做什么漏洞悬赏项目,而是依靠大规模的测试项目和自己安全的团队来发现漏洞,其部分原因就在于它不愿意一直进行为漏洞付钱的账务军备竞赛。这一信息来自三位苹果公司现员工和前员工,他们要求匿名,因为他们并没有权利公开谈论安全相关事项。

苹果公司已经说了,它将努力发现更多和这个第三方展示给执法部门的软硬件漏洞相关的信息。一位资深高管在周二和记者进行的电话会议上说,如果政府发现这个办法没用、仍然试图强迫苹果公司协助解锁这部手机,苹果公司将会就这次测试的内容提出疑问,以尽可能保证自身产品安全。

如果第三方机构的这个办法不奏效,政府可能会撤销要求苹果公司弱化其安全功能的法院令,但它依然会对其过去破解手机的方法守口如瓶。这样一来,苹果公司就无法得知政府是如何破解自己的软件或硬件的。

随着时间的推移,特别是随着苹果公司的移动设备变得越来越普及,利用其代码的需求也变得越来越强,已经形成了一个地下生态系统,其中的中间人和承包商都愿意高价获得这些代码。

出售苹果公司移动设备的漏洞一般能拿到 100 万美元。华盛顿有一家名叫 Zerodium 的咨询公司,专门向政府和公司出售此类漏洞,去年 9 月,它悬赏 100 万美元让人们提交苹果公司 iOS 9 移动操作系统的漏洞——这也正是圣博纳蒂诺那位枪手的 iPhone 使用的系统。11 月,Zerodium 说一支由匿名黑客组成的团队已经成功地领走了这笔奖金。

Zerodium 的创始人肖基·贝克拉尔(Chaouki Bekrar)说,他的公司并不是政府周一提交给法院的材料中提到的那家外部机构。但贝克拉尔也说,虽然 Zerodium 此前也曾协助过联邦调查局,但他不会透露相关信息。

BugCrowd 是旧金山一家帮助客户管理漏洞悬赏计划的公司,其创始人凯西·埃利斯(Casey Ellis)说:“对于每一家像 Zerodium 这样的公司来说,它都要面对 1000 家和自己一样的组织,而这些组织更加不会宣扬自己在做的事情,而且它们愿意给发现漏洞的研究人员一笔钱,让他们保守秘密。”

美国政府和苹果公司就破解圣博纳蒂诺枪手用过的 iPhone 一事引发了 激烈斗争 ,此事可能已经在无意间促进了针对苹果公司代码漏洞的黑市。云安全公司 Duo Security 首席技术官乔恩·欧伯海德(Jon Oberheide)说,在联邦调查局利用一纸法院令推动苹果公司协助破解手机、而且还公开说它一直无法破解 iPhone 的情况下,黑客们意识到,如果他们能完成这项任务,他们就能随意要价了。

一些安全研究人员说,苹果公司给的奖金没有能比得上黑市的赏金的。苹果公司已经等了太久,而漏洞黑市的回报也已经极为诱人,所以可能苹果公司再做任何漏洞悬赏计划,似乎都已经太晚了。

前美国国家安全局分析师、负责派遣黑客为客户查找漏洞的公司 Synack 的联合创始人杰伊·卡普兰(Jay Kaplan)说:“苹果公司可以接纳安全研究人员,也可以尝试资助那些能让它的操作系统变得更安全的项目,但它永远无法和黑市上背地里进行着的那些事情相抗衡。”

翻译:熊猫译社 刘昉 葛仲君

题图版权:Andrew Burton/《纽约时报》

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 为什么第三方机构愿意帮助 FBI 破解那部 iPhone?

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址
分享按钮