A-A+

苹果HomeKit漏洞早在十月被发现,却花了6周时间才修复

2017年12月20日 资讯 暂无评论 阅读 602 次

一直强调安全、隐私保护的苹果,在前段时间被曝出其iOS 11系统存在HomeKit的安全漏洞,可以被不法黑客进行攻击从而控制用户的智能家居设备,比如直接打开智能门锁,随后苹果通过服务器和系统更新修复了这个问题。这样的事情发生在苹果身上是难以置信的,近日这个漏洞的发现者,一为名叫Khaos Tian的开发者,特别发文讲述这起事件的来龙去脉。

Khaos Tian在Medium的专栏中发文表示,苹果的HomeKit主要由iOS上控制软件和一个通讯协议组成,这次安全漏洞主要是出现在控制软件中。iOS和watchOS上有两个bug会允许非授权用户发现HomeKit的唯一识别码,用于控制智能家居设备,HomeKit在处理请求时并不会检查发出遥控信息的用户,这使得任何人都可以通过遥控来获得对智能设备的使用权。

HomeKit didn’t check the sender of remote message before processing the request, which ended up allowing potentially anyone to remotely control HomeKit accessories in the home.

这位开发者特别提到,他在10月份发现这个问题的第二天(10月28日),便报告给了苹果的产品安全团队,苹果有作了回复,也确实在后面数周对该问题进行了跟踪排查,期间Tian多次电邮希望协助苹果解决问题,但都没有收到回复,Tian便以为苹果已经可以修复漏洞。意外的是,苹果反而在随后的iOS 11.2系统更新中弄出了更多漏洞,使得HomeKit更容易受到攻击和操纵。

因此在对苹果这种笨拙、散漫和缺乏沟通的行为感到不满后,Tian选择把事情爆料给9to5Mac,让大家知道了有这件危险的事情。这样迫于公众压力下,苹果的软件工程师在48小时内便作了临时的修复,主要是通过在服务器端关闭了HomeKit允许用户发送共享控制的功能。

即便这样,苹果也是在Tian报告该漏洞后6个星期,才作出了有效的反应,而真正的bug修复则是在本月14日的iOS 11.2.1系统更新上。这样的安全漏洞修复工作效率,显然是让人对苹果感到失望的,特别这是一家近万亿美元市值、常常讲安全性的科技公司,实在不该有。

给我留言