蘋果推出的Lockdown模式,能讓你的iPhone擁有總統級的安全性
杜沅儐 / 何渝婷編譯
2022-07-08 16:35

(取自蘋果官網)

以往,監控一個人,往往需要佈置許多竊聽設備,並且還需要一些影像來斷定個人習慣和行動規律。

而如今,只要利用駭客侵入你的手機即可,它幾乎蘊含了我們的個人喜好、習慣、作息規律,甚至還有一些健康數據。

當然,這些都是很多間諜電影之中的情節,距離我們的生活還很遠。

但對於世界上的特殊職業,像是政客、調查記者以及公司高管,卻時常遭受著被駭客攻擊等數位威脅。

他們可能只是世界上極少數的人群,在統計學中極易被忽略,但當他們的手機被惡意軟體利用後,可能會波及相當大的範圍。

為了這可能不到1%的人群打造一整套嚴苛的安全舉措,對於大型科技公司來說,可能並不會傾注過多的資源。

依稀還記得在歐巴馬任職期間,美國政要集體配備的是訂製的黑莓手機。而隨著黑莓逐漸退市,iOS、Android設備便成為唯二的選擇,美國國安局也會針對相應的產品做出加密或者限制功能等舉措,避免智慧型設備被相應的駭客攻擊和竊聽。

只是,如此的做法並非是面向所有具有被網路攻擊風險的用戶,「漏洞」仍在。

蘋果Lockdown模式,秋季就來

一直標榜注重隱私和數據保護的蘋果,在今天伴隨著iOS 16測試版,上線了一個Lockdown(鎖定)模式,旨在使所有的蘋果設備避免來自極端的數位威脅。

同時,Lockdown模式會伴隨著iOS 16、iPadOS 16、macOS Ventura的正式版,推送給世界上所有的蘋果設備。

如此做,自然也包含了急需Lockdown模式保護容易遭受數位威脅的少數用戶。

蘋果官網最後也為Lockdown模式的保護功能,做出官方的定義。

基本上圍繞著資訊、網路、蘋果服務、配件等方面展開,後續蘋果會繼續傾注資源在Lockdown模式之中,持續增加防護措施。

另外,蘋果也在Apple Security Bounty計劃中設立新類別,獎勵發現Lockdown模式之中的漏洞,以及提出強化措施的白客,並翻倍了相應獎金,達到了產業封頂的200萬美元。

除了獎勵自己的安全項目,蘋果也捐款1000萬美元,贈與Dignity and Justice Fund(尊嚴與公正基金),用於支持調查、揭露、預防具高度針對性網路攻擊的機構。

在推出這個功能之後,蘋果收到了幾乎一致的讚許,不止是蘋果,Google、Meta等科技公司,都遭受了來自一些駭客組織的數位威脅,雖然都有所謂的舉措。

但蘋果的態度並非是遮遮掩掩,而是坦率的承認自己的少部分設備正在遭受駭客組織的攻擊,也承認Lockdown會帶來普通功能的缺失。

另外,Lockdown模式十分簡單,就如同設置鬧鐘一般,一個開關即可,不分高危或者普通人群,只要有需求即可使用,不用額外設置。

以及,Lockdown模式也是向普通用戶普及安全性的舉措,而非是像電影里粗暴直接的關掉或者毀壞手機。

對於Lockdown模式的上線,蘋果安全工程和架構主管Ivan Krstić,在一份對外聲明中表示:「Lockdown是一項突破性功能,反映了我們堅定不移地致力於保護用戶免受最罕見、最複雜的攻擊。」

而這些複雜罕見的網路攻擊,並非只存在電影中,現實中就存在著 NSO Group、Candiru、Cytrox等間諜軟體製造商。

間諜就在我們身邊

可能與我們想像中的不同,入侵手機並不簡單,也不是靠著一人之力便能夠輕鬆完成。

提供服務的NSO集團、Candiru這些更像是一個軟體製造商,他們花費大量資金和資源,利用漏洞推出軟體,並再接受需求攻擊。

往小了說,有些像甲方、乙方;往大了說,就是奔赴戰場的私人承包商。

其中名頭較大的NSO針對iOS、Android系統開發出了Pegasus等工具,可以通過電話號碼鎖定入侵目標。

他們會向目標手機發送一條訊息,無論用戶點擊與否都會發動「零點擊(Zero-Click)」攻擊,從而控制設備成為收集和回傳敏感資訊的工具。

根據《彭博社》此前的報導,過去幾年美國政府的員工因為被惡意攻擊,而收到了蘋果的通知。

共同收到蘋果通知的還有另外150個國家和地區的用戶,波及面相當廣泛,人數也正在不斷成長。

蘋果隨後也針對Pegesus發表了一個軟體更新,並起訴了NSO集團,稱NSO推出的Pegasus間諜軟體嚴重侵害了蘋果用戶的隱私。

其實不光是蘋果,微軟、Google也慘遭NSO的入侵。最近,Pegasus已經進入美國貿易黑名單,阻止Pegasus的濫用。

而如今Lockdown模式的上線,無疑也是繼續限制Pegasus繼續擴張。

可以預見的是在蘋果Lockdown模式上線之後,Google、微軟以及 Meta都會採取相類似的舉動。

入侵與反入侵的博弈

NSO集團開發Pegasus的原本目的是為了反恐,它的客戶初定為全球的政府機構。

蘋果軟體高級副總裁Craig Federighi表示,NSO並沒有受到監管,同樣也沒有有效的問責機制,卻能在複雜監控技術上花費數百萬美元,從而開發出Pegasus這種「臭名昭著」的軟體。

根據《紐約時報》在2016年的報導,NSO可以根據用戶的需求訂製Pegasus軟體,並入侵到目標的手機上,這個套餐需要至少50萬美元。

同時,NSO也推出了大訂單折扣等套餐,還提供類似包年的維護費用等等。彼時,NSO就已經有了一整套完整的獲利鏈條。

NSO聲稱客戶多是國家和地區,但本身並沒有所謂的審核,真實性存疑。

另外,在接受Calcalist採訪時,NSO集團的CEO Shalev Hulio表示,NSO每年大概有45個客戶,共約有100個Pegasus目標。

他並強調,NSO如果發現客戶沒有按照預期使用Pegasus,NSO會切斷他們二者之間的訪問,但沒有第三方監管機構,如此的說詞仍舊存疑。

同時,從洩露的宣傳材料中,NSO不認為Pegasus會因為iOS、Android系統的升級帶來影響,因為其本身也在利用更多的漏洞來升級Pegasus的能力。

Pegasus的目標越發廣泛,頻率也在提高,且普通的軟體更新修復漏洞已經無法封堵的情況之下,蘋果向所有用戶推出了Lockdown模式,這就像是一個博弈的過程。

而蘋果也沒有止步於現有的Lockdown模式,後續依然會繼續增加功能,封堵漏洞。

NSO開發的Pegasus使用成本極高,接近百萬美元的成本顯然不會被大規模的運用在普通用戶上,蘋果推出針對極小眾的Lockdown模式,可以說是保護每一個用戶的數據,也可以說是科技向善理念的一種表達。

如果再大點,蘋果在以自己的影響力,以一個簡單有效的方式,推動安全產業的發展。

本文為愛范兒授權刊登,原文標題為「蘋果剛剛出的這個新模式,能讓你的 iPhone 擁有總統級的安全性