苹果并不绝对安全iPhone可能泄露企业WiFi密码

2018-09-28 10:02:21 作者：财经库来源：网易财经

直播视讯科技讯 9月27日消息，许多企业都青睐苹果设备，其中一部分原因就是苹果公司的iPhone和Mac在安全方面有着出色的表现。就在上周，福布斯杂志透露民主党全国委员会（民主党全国委员会）正在放弃Android，转而使用iOS设备，因为人们担心在中期选举中出现黑客攻击行为。

但苹果设备并不完美。研究人员周四声称，他们发现了一种通过苹果的产品窃取商业Wi-Fi和应用密码的新方法。他们破解了苹果旨在帮助公司管理和保护iPhone和Mac的技术。

最近被思科以23.5亿美元收购的安全公司Duo Security的研究人员称，软件漏洞问题在于苹果的设备注册计划（DEP）的开放性。他们发现，通过在DEP系统中注册恶意设备，可以窃取Wi-Fi密码和更多内部商业机密。

利用Apple的开放性

虽然研究人员利用了苹果的注册技术，但iPhone制造商苹果确实支持在DEP上注册iPhone时的用户身份验证。但苹果并不绝对要求用户证明他们是谁。这取决于使用技术的公司对实名注册是否有要求。注册iPhone设备后，研究人员需要在独立的移动设备管理（MDM）服务器上注册在DEP上注册的iPhone，Mac或tvOS设备。这既可以保留在硬件内部，也可以保存在公司基于云的服务中。

当使用苹果技术的公司选择不要求身份验证时，黑客可能会找到尚未在公司的MDM服务器上设置的，真实设备的已注册DEP序列号。研究人员说，这可以通过员工的社会工程检索来获取，也可以检查人们经常发布序列号的MDM产品论坛。最传统的“暴力破解”方法也可行，计算机可以在DEP上搜索所有可能的数字，直到它击中正确的数字，这是效率最低的一种选择。

然后，攻击者可以使用所选的序列号在MDM服务器上注册他们的恶意设备，并作为合法用户出现在目标公司的网络上。据研究人员称，随后他们就可以检索受害者业务中的应用程序和Wi-Fi密码。

但是有一个重要的警告：攻击者必须抢在合法员工之前将他们的设备注册到公司的MDM服务器上。因为MDM服务器每个序列号只能注册一次。

但这可能性实际上还是很大的。本周晚些时候在布宜诺斯艾利斯举行的Ekoparty会议期间提出攻击技术的詹姆斯巴克莱（James Barclay）说，黑客可以简单地搜索过去90天内生产的所有设备的序列号。他告诉福布斯杂志：“你找到尚未注册的设备绝对是可行的。“

不要放弃MDM

巴克莱补充道：“总的来说，这并不意味着你不应该使用DEP或MDM。这些服务提供的好处超过了具有的风险。但苹果和客户可以采取措施来减少这种风险。”