蘋果默認iPhone洩個資！

lfjadsflk

5591分

101樓

lfjadsflk

個人積分：5591分

文章編號：73590698

knift wrote:
同樣的APP權限造成的資訊外泄，在中國品牌手機上，就是手機不安全（那網友的結論是如此），在iPhone上就是APP有問題。
真的是張飛打岳飛，結論只能是iPhone好棒棒。...(恕刪)

其實是你見識太淺～

Apple iOS 打一開始就非常的嚴格控管第三方軟體可以取得的個資內容與個資類型
例如一款遊戲ＡＰＰ若無正當理由是不能呼叫使用者的電話簿資訊的
這是從iOS App製作階段權限就被限制的，再來還有Apple的審核機制做把關
最後就是iOS會依照App所需要的權限,強制App必須先徵得用戶的同意才能取得個資，
且取得個資的畫面ＵＩ與API只能透過Apple給的規範的
不允許自行製作
（例如：引誘用戶按某個按鍵,就在用戶不知道的情況下取得用戶個資,這在iOS App開發端是做不到的）

同樣的，無關的App卻要求特定權限的開放是會被Apple嚴格審查甚至直接不給App上架的
例如：非通訊類ＡＰＰ卻要求用戶電話簿的access權限...

還有,iOS App用戶端要求權限是會分類要求的
例如App1要求用戶的電話簿權限,麥克風權限,相簿權限,用戶所在地權限...,每個權限都必須獨立再次詢問用戶，用戶允許後App才能開啟權限(甚至連用戶所在地的權限還有細分成"僅在使用App中",或是"背景App下"也可以獲取用戶所在地,且用戶可以隨時更改App權限)
這種種規範下,第三方App想要偷偷要求用戶某個與App類型無關的權限，那是不可能的！

而Android？
App開發端有太多種無須用戶同意便在後台獲取個資的方法
Google的審查與規範也是遠比Apple要鬆

兩者安全性差異一目瞭然

FKTW

57分

102樓

FKTW

個人積分：57分

文章編號：73592909

沒想到哀鳳也會洩漏個資
真的是不知道還能相信什麼
FB會漏個資哀鳳也會
只能說科技越便利隱私也越來越被看光光

a3619453

374分

103樓

a3619453

個人積分：374分

文章編號：73595541

FKTW wrote:
沒想到哀鳳也會洩漏...(恕刪)

你完全被原PO牽著走

lfjadsflk

5591分

104樓

lfjadsflk

個人積分：5591分

文章編號：73595644

FKTW wrote:
真的是不知道還能相信什麼...(恕刪)

你被帶風向牽走了懂嗎?

lops

620分

105樓

lops

個人積分：620分

文章編號：73596806

lfjadsflk wrote:
其實是你見識太淺～Apple...(恕刪)

你所說的似乎與我的認知有所出入，你說的這些功能其實安卓也有，諸如storage/telephone/location/SD卡讀取寫入權限等等。甚至，你所說的說android第三方軟體能無須用戶同意就直接獲取個資，似乎不完全正確。在安卓上，當你使用軟體時，系統也會跳出你是否要給予某些權限。而並非你所謂的可以直接bypass獲得權限。當然，如果是指第三方軟體直接去販售自己database的客戶資料給其他對象，這是完全不同問題。

除此之外，這篇文章也早就說出第三方軟體在ios的設備上獲取不當的個資。
Apple的規範也不完全都是正確的，稍早，才有資安會議說出macOS的資安漏洞，引用部分內容:
"The issue, according to Wardle, is that Apple lets a handful of legacy applications (mostly older versions of current apps such as the popular VLC media player) continue to use "synthetic clicks," a feature that had let applications bypass Apple's latest security obstacles by mimicking an authorized user whose permission is needed to allow certain actions."
此外:
"MacOS is only verifying the apps by checking their digital signatures, and not by actually checking the code inside of those apps or making sure they don't load extra code after they start running. Yesterday, Wardle proved his concerns valid by injecting a malicious plugin into VLC, one that could perform synthetic clicks — fake user actions — that Apple typically blocks in apps.

Imagine a TSA security agent who only checks your ID and doesn't slide your luggage through the scanning tray. That's the issue here.

"The way they implemented this new security mechanism, it's 100 percent broken," Wardle told Wired. "I can bypass all of these new Mojave privacy measures."

實際上蘋果的安全性沒你想像中的那樣完善，其他系統也並非完全這樣的差。有效管制第三方軟體使用使用者訊息，是現在業界還在學習的課題。

lfjadsflk

5591分

106樓

lfjadsflk

個人積分：5591分

文章編號：73603666

lops wrote:
你所說的似乎與我的認知有所出入，你說的這些功能其實安卓也有，諸如storage/telephone/location/SD卡讀取寫入權限等等。甚至，你所說的說android第三方軟體能無須用戶同意就直接獲取個資，似乎不完全正確。在安卓上，當你使用軟體時，系統也會跳出你是否要給予某些權限。而並非你所謂的可以直接bypass獲得權限。當然，如果是指第三方軟體直接去販售自己database的客戶資料給其他對象，這是完全不同問題。...(恕刪)

iOS,Android兩家的歷史我都很清楚
iOS是有條件的越來越開放,Android OS則是越改版越限縮使用者與APP權限(最早期的Android是根本不設限)

你說的安全機制是最近幾版的安卓系統慢慢加上去的
但是絕大多數的安卓用戶並沒有升級到最新版(請自行Google目前Android各版本OS的市佔率...)
甚至許多機種根本也不支援升到最新版的ＯＳ...

再來，安卓是開放系統，手機廠商有能力也有權限更改ＯＳ的基礎
（例如中國版的安卓機，Amazon的手機系統其實都不是原生的安卓系統，甚至ＯＳ裡面預設的商城也不是Google Play...）
並不是Google今天增加了什麼新的安全機制，所有廠商就必須得照單全收的！
（更別提中國有明確的法規可以要求廠商協助中國政府獲取需要的個資...,你不會在中國看到類似蘋果為了用戶隱私跟FBI打官司的情況...）

所以安全性還是天差地遠
這是事實！

lfjadsflk

5591分

107樓

lfjadsflk

個人積分：5591分

文章編號：73603910

lops wrote:
實際上蘋果的安全性沒你想像中的那樣完善，其他系統也並非完全這樣的差。有效管制第三方軟體使用使用者訊息，是現在業界還在學習的課題。...(恕刪)

現實是：
業界大多數廠商都在跟蘋果學習如何打造高安全性的使用規範與安全機制！
Android最近幾版增加的App權限規範就是致敬iOS的～（Android陣營最大的學習對象就是iOS...）

lops

620分

108樓

lops

個人積分：620分

文章編號：73604533

lfjadsflk wrote:
iOS, Android...(恕刪)

有點不清楚你在說什麼。IOS是有條件越來越開放?Android是越來越限縮使用者跟APP權限?

不管是IOS跟Android的安全機制都是隨著版本不同，一步一步改進。不然每年IOS或是macOS被爆Security flaw的時候難道都假新聞?甚至不少問題是只有ios系統上獨有的漏洞。

安卓是開放系統，手機廠商有能力更改OS基礎?你要不要好好去讀差別?你知道手機廠商他們在OS上層做的是什麼嗎?更多的是在UI介面以及做軟體/library等版本管理。我不大確定你想要他們改OS哪邊的基礎?Kernel還是什麼...(如果真是如此，那android手機應該會變成很安全的選擇，因為同樣的方法在不同品牌/版本/型號可能會有不同的行為。而駭客變成需要很多時間來研究不同手機的攻擊方式)。此外，amazon fireOS也是android-based OS(Fire OS)。

學資安的第一件事情就是要清楚，世界上沒有所謂的無法駭入的東西，因為是人在寫code，這些難免都會有漏洞。今天的惡意軟體通常都是先針對市占率而作為開發的。(在這必須在說明一下OS的結構，GUI相對OS來說只是部分軟體，今天你把GUI拿走，整個系統還是完整可運作的OS。而不同廠商做的主要是GUI以及軟體/版本控管這一塊，跟Linux之於distro很相似)。另外並非商城不使用google play就不叫做android OS，最近不少有關華為系統的討論時，都有不少網友寫過了，你也可以去找相關文章(我不大能理解你指出這一點的用意是為和?是想要說google play商城比其他商城的資安比較好? 此外google play跟google要增加安全機制和android OS的關係是什麼?你是要指在google play做安全機制改善?還是說在android系統上做更新? 如果是系統更新，那為何要提google play?)。大多數的security問題都是橫跨多廠商的，他們是直接找OS的漏洞並利用。如果hacker今天要hack android的裝置，還必須找哪個廠商，哪個版本，研究後才能找出漏洞，換到其他裝置則無法，那是非常沒有效率也不符合經濟成本的事情，與其這樣還不如駭入其他系統。

絕大多數安卓用戶沒用最新版?所以你今天是要來討論android哪一版比較差?但iphone沒更新到最新版的不是也都一堆問題?
喔對了，也不是所有iphone都支援更新到最新的ios不是嗎?照你這麼說android的邏輯，那今天apple今天增加新的補件在ios上，如果使用者不更新，不照單全收，是不是其他人也能說ios的安全機制就是差?安全性就是比android差?(我覺得你的原文講法有邏輯上的漏洞)

Android就是致敬IOS?不大確定是哪部分，但若你有在留意相關新聞，可能會發現有些資安團隊找出新的漏洞時候，會利用類似的機制同時在不同平台(android, ios, linux等等)上測試，所以有時候新的安全機制，其實是因為這漏洞在同一時間被人發現，你才會看到不同平台在類似的時間點做出新的調整。你所說的新的規範，我不清楚他們要如何致敬IOS，畢竟IOS還是封閉系統，新增加的安全系統應該是無法看到，就算只講理念，也很難從中直接implement。他們更多時候增加的機制，是因為Linux有做類似的改版，而後android從中去加入這些新的功能。

題外話，"你不會在中國看到類似蘋果為了用戶隱私跟FBI打官司的情況..."，因為蘋果沒反抗:他們幫忙block VPN軟體(在china)，然後將iCloud data直接放在中國政府所有的server上。之前google跟中國政府的secret project被網友譴責(還沒完成)，沒想到蘋果做類似事情都能被忽略(already done)。這也太雙重標準了點，不是嗎?

lfjadsflk

5591分

109樓

lfjadsflk

個人積分：5591分

文章編號：73609011

lops wrote:
有點不清楚你在說什麼。IOS是有條件越來越開放?
...(恕刪)

有聽過沙盒系統嗎?

lops wrote:
Android是越來越限縮使用者跟APP權限?
...(恕刪)

這需要去看Android改版歷史,請自己補足這段歷史囉~

如果這樣你還聽不懂我在說什麼,
那只能說你根本不了解這兩個作業系統...

lops

620分

110樓

lops

個人積分：620分

文章編號：73609751

lfjadsflk wrote:
有聽過沙盒系統嗎?...(恕刪)

所以你是要說Linux上的沙盒系統跟ios的沙盒系統差異?然後ios越做越開放，但android越做越限制的意思?
查了一下利用UID分辨使用權限這件事情，是Linux系統很久就在使用的機制。說使用這機制越來越限制的意思是什麼?

原文:
"Generally, to break out of the Application Sandbox in a properly configured device, one must compromise the security of the Linux kernel. However, similar to other security features, individual protections enforcing the application sandbox are not invulnerable, so defense-in-depth is important to prevent single vulnerabilities from leading to compromise of the OS or other apps.

Android relies on a number of protections to enforce the application sandbox. These enforcements have been introduced over time and have significantly strengthened the original UID-based discretionary access control (DAC) sandbox. Previous Android releases included the following protections:

In Android 5.0, SELinux provided mandatory access control (MAC) separation between the system and apps. However, all third-party apps ran within the same SELinux context so inter-app isolation was primarily enforced by UID DAC.
In Android 6.0, the SELinux sandbox was extended to isolate apps across the per-physical-user boundary. In addition, Android also set safer defaults for application data: For apps with targetSdkVersion >= 24, default DAC permissions on an app's home dir changed from 751 to 700. This provided safer default for private app data (although apps may override these defaults).
In Android 8.0, all apps were set to run with a seccomp-bpf filter that limited the syscalls that apps were allowed to use, thus strengthening the app/kernel boundary.
In Android 9 all non-privileged apps with targetSdkVersion >= 28 must run in individual SELinux sandboxes, providing MAC on a per-app basis. This protection improves app separation, prevents overriding safe defaults, and (most significantly) prevents apps from making their data world accessible."

請這位很了解ios跟Android發展史的，先去了解怎麼分別amazon的系統跟其他系統"是不是使用Android OS"。還有說說其他廠商是如何自己修改OS，然後這些與android OS與資安的關聯在哪。我不大懂ios, android這兩個系統，但我還算了解一點Linux。不過看到你的言論，看起來你似乎還有很多要學。還是只是個雙重標準的果粉而已?畢竟你的言論似乎比我還要更不懂android跟IOS。自己去補足這部分知識應該不難。