密碼學家經過研究發現許多iOS加密措施未被使用

據約翰-霍普金斯大學的密碼學家稱,iOS並沒有盡可能多地利用內置的加密措施,從而出現了潛在的不必要的安全漏洞。利用蘋果和谷歌的公開文檔、關於繞過移動安全功能的執法報告以及他們自己的分析,密碼學家們評估了iOS和Android加密的穩健性。研究發現,雖然iOS上的加密基礎設施聽起來真的很好,但它基本上沒有被使用。

尤其是在iOS上,這種分層加密的基礎設施已經到位,聽起來真的很不錯,但研究人員當時看到它有多少未被使用時感到非常驚訝。當iPhone啟動時,所有存儲的數據都處於完全保護狀態,用戶必須在解密任何東西之前解鎖設備。雖然這樣做非常安全,但研究人員強調,一旦設備在重啟後首次解鎖,大量數據就會進入蘋果所謂的 “在首次用戶認證前受保護 “的狀態。

由於設備很少重啟,所以大部分數據在大部分時間都處於”在首次用戶認證前受保護 “的狀態,而不是 “完全保護”。這種不太安全狀態的好處是,解密密鑰存儲在快速訪問記憶體中,可以被應用程序迅速訪問。理論上,攻擊者可以找到並利用iOS系統中某些類型的安全漏洞來獲取快速訪問記憶體中的加密密鑰,使其能夠解密設備中的大量數據。相信這也是許多智能手機破解訪問工具的工作原理,比如取證訪問公司Grayshift的工具。

雖然攻擊者確實需要特定的操作系統漏洞才能獲取密鑰,而且蘋果和谷歌在發現這些漏洞時都會打上許多補丁,但通過將加密密鑰隱藏得更深,這可能是可以避免的。約翰-霍普金斯大學的密碼學家馬修-格林表示:”這真的讓我很震驚,因為我開始這個項目時,認為這些手機真的很好地保護了用戶數據,現在我從這個項目中走出來,認為幾乎沒有任何東西得到保護。那麼,既然這些手機實際提供的保護如此糟糕,我們為什麼需要一個執法後門呢?”

研究人員還直接與蘋果公司分享了他們的發現和一些技術建議。蘋果公司發言人對此進行了公開聲明:”蘋果設備設計有多層安全防護措施,以抵禦各種潛在的威脅,我們不斷努力為用戶數據增加新的保護措施。隨着客戶在設備上存儲的敏感信息量不斷增加,我們將繼續在硬件和軟件上開發更多的保護措施來保護他們的數據。”

該發言人還向Wired表示,蘋果安全工作主要集中在保護用戶免受黑客、小偷和想竊取個人信息犯罪分子的攻擊。他們還指出,研究人員強調的攻擊類型開發成本非常高,需要對目標設備進行物理訪問,並且只有在蘋果發布補丁之前才能發揮作用。蘋果還強調,其對iOS的目標是平衡安全性和便利性。

密碼學家經過研究發現許多iOS加密措施未被使用

來源:cnBeta