这次的漏洞被苹果堵上了，但它说明最安全的系统也不够安全，还是得自己有个好习惯
阿联酋知名民权活动家艾哈迈德·曼苏尔的 iPhone 6 收到一条短信，称有“阿联酋监狱虐囚的新秘密”，文末附有超链接。
如果他点下链接，这部 iPhone 便会被远程控制，发件人将能看到里面的所有短信、邮件、通话记录，并且可以追踪到屏幕上的每一次点击。甚至，他们可以监听手机周遭的声音，而曼苏尔的 iPhone 屏幕上什么都看不出来。
控制这部手机的，是以希腊神话中的“天马”（Pegasus）命名的黑客工具。
尽管整件事听上去和《谍影重重 5》里中情局发起的远程攻击类似，但这不是好莱坞编剧构想的电影情节，而是已经发生的事情。
本周五，苹果发出 iOS 9.3.5 系统更新，唯一目的便是为了防御“天马”的攻击。
类似电影情节的攻击
根据苹果公司的公告，iOS 9.3.5 修复了三个由公民实验室（Citizen Lab）和 Lookout 提交的安全威胁。前者是多伦多大学国际关系学院下属的技术实验室，后者是一家位于旧金山的移动安全公司，曾曝光过多个手机漏洞。
在苹果发布升级补丁后，Lookout 官方博客刊文介绍了“天马”对 iPhone 的攻击能力。
非常可怕。可怕之处在于，“天马”利用这组漏洞的攻击不仅效果惊人而且悄无声息。
用户只要点击了特定链接，“天马”可以完全不留痕迹地装进用户的 iPhone。链接来源没什么要求，可以是短信、邮件也可以是社交应用，只要打开它就会安装“天马”。
“天马”可以将 iPhone 中所有未经加密的资料上传到指定服务器、并且还可以记录屏幕点击，这样一来就算加密的信息也能拿到了——只要加密就需要输入密码，拿到密码就有一切。
更夸张的是，“天马”可以静默启用 iPhone 的摄像头、麦克风监视主人活动。
除了什么都能干以外，“天马”在反追踪方面也颇下功夫，在 4G 联网时它会放慢数据传输速度以避免过快消耗电力或流量。当手机连接 Wi-Fi 的时候则会加快数据偷取，让用户更难以察觉。
苹果 8 月中旬从 Lookout 和“公民实验室”收到了关于这一组漏洞的报告，在本周五推出安全补丁。
攻击败露是因为一个人权活动家的警觉
根据《纽约时报》的报道，阿联酋人权活动家艾哈迈德·曼苏尔（Ahmed Mansoor）的 iPhone 6 在 8 月 10 日的时候，收到了攻击短信。
曼苏尔是“阿联酋五杰”（UAE Five）之一，曾因呼吁民主化改革在 2011 年入狱。作为一个工程师背景的异见人士，曼苏尔收到陌生人发来的短信后没有点链接，而是转给了“公民实验室”。
随后“公民实验室”和合作伙伴 Lookout 一路挖掘到了“天马”的起源。
和电影里经常出现的黑客工具不同，“天马”不是什么天才少年黑客的作品，而是来自以色列科技公司 NSO Group Technologies。这套系统此前曾被曝光，但当时它所攻击的对象只是黑莓以及部分 Android 手机，不包括 iPhone。
NSO 开发出“天马”后，以平均 25000 美元攻击一个目标的价格向政府机构兜售。根据巴拿马地方报纸 La Prensa 去年调查政府非法监控丑闻时获得的信息，NSO 以 800 万美元的价格打包出售了针对 300 台设备的攻击。
但 NSO 公司声明称，曼苏尔手机被监控的情况公司并不知情。NSO 辩解说，他们的产品销售透明且合法，主要的目的适用于政府打击恐怖主义犯罪，间谍软件他们只卖给认可的政府组织。但 NSO 也说，至于软件卖出了具体要干什么，NSO 只是要求和建议，但并不负责。
2013 年，NSO 联合创始人 Omri Lavie 在接受《美国国防新闻周刊》的采访时称，他们能完全不被察觉地进入被监视对象的生活，不留痕迹。如今看来，所言非虚。
最安全的系统也不可能保证绝对安全
这次被攻破的 iOS 实际上几乎是普通消费者能买到的最安全的智能手机。
苹果除了互联网产品上常见的两步验证，还在旗下产品上启用了 two-factor 双重设备验证，引入硬件加密。
当你在其它地方登陆 Apple 账户的时候，双重设备验证会往你指定的硬件产品上发送验证码才能继续登陆。相比通过传统的两步验证，双重设备验证更加安全。
库克年初在用户隐私问题上公开反抗美国政府之后，进一步推进了全线产品的加密。
但此次被暴露出的 iOS 漏洞比美国政府“公开”希望获得的后门还要严重得多。
这是数字安全的现实，即便是业内最有钱的公司全力以赴，也不可能保证绝对安全。总是有人发现漏洞、公司再去补上。
这也是为什么美国主要科技公司在不留后门的事上为何如此步调一致——连想堵都堵不上，更别提刻意给人留一扇门了。
此次 iOS 的高危漏洞，如果曼苏尔欠一点警觉，或者攻击者准备得再周密一些，可能还会继续存在一段时间。
而用户更多的 Android 平台的漏洞就更多了，8 月份就有两个非常大的：Android 使用的 Linux 3.6 内核的一个漏洞可以让黑客通过网页访问嗅探用户的账号和密码，80% 的 Android 设备中招；另一个漏洞是高通芯片带来的，9 亿使用高通芯片的 Android 设备面临被黑客静默植入高权限木马的危险，而且修复补丁何时实装也遥遥无期。加拿大华人网 http://www.sinoca.com/
SinoCa.COM All Rights Reserved.