论文部分内容阅读
XcodeGhost病毒像一枚炸弹，轰然炸掉了Applestore的绝对安全堡垒。给Xcode的开发者和众多的果粉敲响了警钟。一时间竞有那么多知名APP中枪，众人唏嘘苹果已不再安全！
这个XcodeGhost到底是何方神圣？近日，小云约谈了中云微迅IOS应用首席工程师姚亚坤，为大家揭秘XcodeGhost病毒令人可憎的真面目！
问：XcodeGhost源码病毒是如何产生的？
答：Xcode是苹果应用开发者所使用的唯一编译开发工具，这个开发工具可以在苹果的官网获得，但由于苹果官网下载的速度太慢，国内部分开发者常通过第三方平台下载。而这个Xcode被别有用心的人植入了远程控制模块，这就相当于打开了苹果编译器的一个“后门”。
当用户下载了这些感染病毒的APP之后，就会被它们偷偷读取手机的版本信息、设备名、软件包名、应用名、系统信息等，存在巨大的安全隐患！
问：XcodeGhost源码病毒是否有波及中云微迅所开发的应用？
答：完全没有。
我们的所有开发者都不允许在没有安全保证的第三方平台去下载这个Xcode编译器，因此我们为客户开发的所有适配IOS系统的应用，无论新老版本都不会感染到这个源码病毒。时间，对于开发者很重要，但在我眼里职业素养更重要！
问：不少苹果用户认为，苹果已不再安全，更有一些人忙着去给手机“越狱”，从专业的角度来看，这些做法有没有必要？
答：完全没有必要。
我们知道，Applestore里面的所有应用都是经过苹果官方的严格检测的。那这次事件为什么直指IOS的应用呢？首先病毒作者在Xcode中加植入了指定服务器的代码，苹果没有权限去检测这些。这个指定服务器地址，完全可以是商家自己的，对方的隐私苹果无权检测。
没有任何系统程序是没有漏洞的，只是被谁去发现、被谁利用的问题。但目前也没有到草木皆兵的地步。至于“越狱”，看个人喜好吧，我只能说“越狱”之后你的手机就失去了安全过滤功能。简单来讲就是，你再安装一款手机软件其读取前向用户申请的步骤没有了，如此来讲岂不是更加不安全了？
问：苹果手机是否需要安全软件？
答：我认为是不需要的。
安全软件对于苹果来讲形同虚设。你的iPhone或iPad只要不“越狱”，风险还是可控的，尽管这次苹果的安全审查未能检测到威胁。用户从官方市场下载应用，比安卓上混乱的应用市场还是要好很多。
另外需要提醒的是，并不是手机不中毒就是安全。目前大量安全事件并非手机端的病毒造成的，信息泄露、网络钓鱼、电信诈骗等几乎无处不在，提高安全意识才是防范风险的有效手段。而这些，显然不是仅仅依靠手机端的安全软件来解决。
问：如何快速识别被感染的这种源码病毒应用？该如何处理？
答：这个问题，只有专业的开发者通过检测它的源代码来辨别，普通用户是没办法进行识别的。目前苹果官方和国家互联网应急中心都公布了受影响的软件名单，为确保安全，用户要及时卸载那些受影响软件。留意APP的异常弹出信息，及时修改自己icloud和Applestore中的密码，不使用简单组合的密码等。另外，可关注产品团队对于安全版本的更新。
问：从开发者角度来看，应如何规避此类事件的发生？
答：这件事给所有程序员敲响警钟，要保证开发工具的安全！
程序员被黑客暗算这事儿常有发生，但无论如何，我们要坚持使用正版、未被非法篡改过的开发工具编写程序，避免用户被连累成为受害者。这是作为开发者需要高度重视的职业素养。
其次，编译、发布环境的安全值也得注意，编译服务器和自动发布服务器，应保持干净的环境，避免安装来源不明的可疑软件。
再者，应对自己的开发数据、传输层及存储数据进行加密，从自身的第一关做好对黑客攻击的防御。
问：XcodeGhost源码病毒是否会恶意窃取用户信息，有哪些潜在隐患？
答：安全隐患是显而易见的。
XcodeGhost病毒制造的漏洞很可能被恶意中间人所攻击，他们完全可以在受感染的iPhone中完成打开网页、发短信、打电话等常规手机行为，甚至还可代替产品服务器下发伪协议指令到手机，悲观一点说那时黑客将基本控制了你的手机并透明化了你的隐私！
不过好消息是，黑客已经宣布关闭了服务器，苹果也把感染的APP下架，但这绝不代表问题的终结。
问：关于网上9月19日凌晨自称XcodeGhost作者的声明，其可信度你怎么看？
答：愿信其真，但我想应该没有人敢去相信他！
我们可以检测到该服务器已经关闭。虽然他声明并没有进行过任何广告或者欺诈行为，但不代表没有被别人恶意篡用，用户隐私不会因此泄露。并且真正的作者还在逍遥法外，所以，建议大家还是先删掉那些中毒的APP！
小云总结：移动互联网安全之路任重而道远。此次习大大访美之行，也将网络安全问题作为两国互通的重要议题（详情可关注中云微迅公众号阅览上期文章）。网络安全是需要引起世界关注的国际问题。期待互联网的制约机制越来越完善，也奉劝开发者“洁身自好”！
危机里面往往蕴含机遇！小云在此小小预测一下：这次的XcodeGhost病毒事件会不会成为安全行业的新机遇呢？其实安全大战似乎刚刚开始……（编辑/南风）
这个XcodeGhost到底是何方神圣？近日，小云约谈了中云微迅IOS应用首席工程师姚亚坤，为大家揭秘XcodeGhost病毒令人可憎的真面目！
问：XcodeGhost源码病毒是如何产生的？
答：Xcode是苹果应用开发者所使用的唯一编译开发工具，这个开发工具可以在苹果的官网获得，但由于苹果官网下载的速度太慢，国内部分开发者常通过第三方平台下载。而这个Xcode被别有用心的人植入了远程控制模块，这就相当于打开了苹果编译器的一个“后门”。
当用户下载了这些感染病毒的APP之后，就会被它们偷偷读取手机的版本信息、设备名、软件包名、应用名、系统信息等，存在巨大的安全隐患！
问：XcodeGhost源码病毒是否有波及中云微迅所开发的应用？
答：完全没有。
我们的所有开发者都不允许在没有安全保证的第三方平台去下载这个Xcode编译器，因此我们为客户开发的所有适配IOS系统的应用，无论新老版本都不会感染到这个源码病毒。时间，对于开发者很重要，但在我眼里职业素养更重要！
问：不少苹果用户认为，苹果已不再安全，更有一些人忙着去给手机“越狱”，从专业的角度来看，这些做法有没有必要？
答：完全没有必要。
我们知道，Applestore里面的所有应用都是经过苹果官方的严格检测的。那这次事件为什么直指IOS的应用呢？首先病毒作者在Xcode中加植入了指定服务器的代码，苹果没有权限去检测这些。这个指定服务器地址，完全可以是商家自己的，对方的隐私苹果无权检测。
没有任何系统程序是没有漏洞的，只是被谁去发现、被谁利用的问题。但目前也没有到草木皆兵的地步。至于“越狱”，看个人喜好吧，我只能说“越狱”之后你的手机就失去了安全过滤功能。简单来讲就是，你再安装一款手机软件其读取前向用户申请的步骤没有了，如此来讲岂不是更加不安全了？
问：苹果手机是否需要安全软件？
答：我认为是不需要的。
安全软件对于苹果来讲形同虚设。你的iPhone或iPad只要不“越狱”，风险还是可控的，尽管这次苹果的安全审查未能检测到威胁。用户从官方市场下载应用，比安卓上混乱的应用市场还是要好很多。
另外需要提醒的是，并不是手机不中毒就是安全。目前大量安全事件并非手机端的病毒造成的，信息泄露、网络钓鱼、电信诈骗等几乎无处不在，提高安全意识才是防范风险的有效手段。而这些，显然不是仅仅依靠手机端的安全软件来解决。
问：如何快速识别被感染的这种源码病毒应用？该如何处理？
答：这个问题，只有专业的开发者通过检测它的源代码来辨别，普通用户是没办法进行识别的。目前苹果官方和国家互联网应急中心都公布了受影响的软件名单，为确保安全，用户要及时卸载那些受影响软件。留意APP的异常弹出信息，及时修改自己icloud和Applestore中的密码，不使用简单组合的密码等。另外，可关注产品团队对于安全版本的更新。
问：从开发者角度来看，应如何规避此类事件的发生？
答：这件事给所有程序员敲响警钟，要保证开发工具的安全！
程序员被黑客暗算这事儿常有发生，但无论如何，我们要坚持使用正版、未被非法篡改过的开发工具编写程序，避免用户被连累成为受害者。这是作为开发者需要高度重视的职业素养。
其次，编译、发布环境的安全值也得注意，编译服务器和自动发布服务器，应保持干净的环境，避免安装来源不明的可疑软件。
再者，应对自己的开发数据、传输层及存储数据进行加密，从自身的第一关做好对黑客攻击的防御。
问：XcodeGhost源码病毒是否会恶意窃取用户信息，有哪些潜在隐患？
答：安全隐患是显而易见的。
XcodeGhost病毒制造的漏洞很可能被恶意中间人所攻击，他们完全可以在受感染的iPhone中完成打开网页、发短信、打电话等常规手机行为，甚至还可代替产品服务器下发伪协议指令到手机，悲观一点说那时黑客将基本控制了你的手机并透明化了你的隐私！
不过好消息是，黑客已经宣布关闭了服务器，苹果也把感染的APP下架，但这绝不代表问题的终结。
问：关于网上9月19日凌晨自称XcodeGhost作者的声明，其可信度你怎么看？
答：愿信其真，但我想应该没有人敢去相信他！
我们可以检测到该服务器已经关闭。虽然他声明并没有进行过任何广告或者欺诈行为，但不代表没有被别人恶意篡用，用户隐私不会因此泄露。并且真正的作者还在逍遥法外，所以，建议大家还是先删掉那些中毒的APP！
小云总结：移动互联网安全之路任重而道远。此次习大大访美之行，也将网络安全问题作为两国互通的重要议题（详情可关注中云微迅公众号阅览上期文章）。网络安全是需要引起世界关注的国际问题。期待互联网的制约机制越来越完善，也奉劝开发者“洁身自好”！
危机里面往往蕴含机遇！小云在此小小预测一下：这次的XcodeGhost病毒事件会不会成为安全行业的新机遇呢？其实安全大战似乎刚刚开始……（编辑/南风）