俄罗斯安全研究员Vladimir Katalov分析了苹果的iCloud与Find My Phone协议，发现它们缺少了双因素认证的保护，使用户在不知情的情况下，让其iCloud上的资料可从远端下载。

       上周四，在马来西亚吉隆坡，Hack In The Box安全会议举办了一场名为「破解和分析苹果的iCloud协议」的演讲，演讲者Vladimir Katalov透露，苹果的用户资讯和数据并非如苹果所述的那么隐密。



       Katalov的调查结果似乎也证实他的论调，苹果可以存取其声称无法存取的资料。



      恶意攻击者只需要Apple ID和密码，就能远程下载iCloud备份，而且不需连接至用户的行动装置。



       他表示，用户无法主动替iCloud备份资料进行加密。此外，iCloud上的数据资料是经过加密的，但加密钥匙却可在资料里发现，而苹果持有加密钥匙。



      Katalov发现除了所有安全链的问题外，苹果的iCloud资料被储存在微软和亚马逊服务器里。



      Katalov的演讲指出，因为苹果提供了完整的请求资讯到第三方储存供应商（亚马逊和微软），使苹果可以提供这些资料给执法单位。



       先前NSA PRISM计画造成了不小的风波，苹果于7月公开声明表示，苹果不会提供任何后门服务器给政府机构进行存取。



       若用户从iCloud下载备份资料，系统会回传信件通知用户，然而，当有人进入用户资料并且经由第三方远端下载后，用户并不会收到通知信件。

 

 

---

版权声明：

凡本网内容请注明来源：T媒体（http://www.cniteyes.com）”的所有原创作品，版权均属于易信视界（北京）信息科技有限公司所有，未经本网书面授权，不得转载、摘编或以其它方式使用上述作品。

本网书面授权使用作品的，应在授权范围内使用，并按双方协议注明作品来源。违反上述声明者，易信视界（北京）信息科技有限公司将追究其相关法律责任。