上周維基解密的一場解密,讓智能手機市場的兩大巨頭iOS和Android系統成為關注的焦點,也讓很多用戶開始擔心手中設備的安全。不過我們要說的,黑客攻擊移動設備的辦法很多,但是你想像中的那種辦法其實難度挺高的,並不常用。在遇到這種類型的攻擊之前,你更有可能被釣魚攻擊。
很多人到了咖啡廳或是店家,會使用它們所提供的免費WiFi,但是有的駭客會偽裝成一樣的名稱「魚目混珠」,讓你免帳號登入藉此竊取資料,資安專家說通常這種免帳號的WiFi最危險,一旦email帳號密碼被竊取,用同樣email登入的支付功能、銀行刷卡功能,可能也會因此被盜用。資安公司顧問簡勝財:「我們建議是不要使用,這種沒有密碼保護的無線網路,接著在第二點我們建議說,不要在傳出過程中傳送一些比較機密或是重要的資料。」使用VPN全程加密,駭客就算竊取資料也解不開,下載WiFi安全監測APP,有疑慮的連線裝置就會跳出「警示」,想避免手機資料被盜,少用來路不明的免費WiFi是不二法門。VPN軟體的出現解決了這一問題,當你網上衝浪時,使用VPN登入就能保護你的資訊安全。在你所發送的資訊上加上VPN的安全密鈅來確保你的資訊安全,不會隨意被別人查看。特別是各種使用客戶端進行支付時,特別需要注意資訊的安全。FlyVPN專注VPN網路安全6年多時間,以確保用戶信息安全為宗旨。下載FlyVPN,立即體驗 FlyVPN免費VPN試用帳號,馬上開啟你的網路護盾!
iOS FlyVPN: https://goo.gl/KzH2If
Android FlyVPN: https://goo.gl/7x3MYI
黑客對移動設備的攻擊一般有四種方法:
通過操作系統的安全漏洞利用或者硬件漏洞對設備進行全面控制
在用戶未察覺的情況下執行某些任務的惡意軟件
中間人攻擊攔截網絡流量
通過社會工程手段有針對性攻擊
可能有些人擔心自己的設備會被黑客全面控制,可是實際上一般用戶更可能會遇到的是後面這三種情況:社會工程手段、中間人攻擊和惡意軟件。
“非法侵入”移動設備意味著什麼
任何軟件都存在漏洞,操作系統也一樣。 iOS系統和Android系統中都有漏洞,利用這些漏洞攻擊者可以完全控制設備。這基本上也是越獄(jailbreak)和破解系統獲取根權限(root)的一個目的:一般情況下用戶在設備上不能做的事情,在越獄或者獲取根權限之後都可以做了。越獄是繞過了蘋果的限制,獲取根權限則讓安卓用戶獲得與設備管理員賬戶相連接的特權。
不過大部分越獄和獲取根權限方法都要求對設備有物理訪問權限,而蘋果和谷歌常常很快就會封堵越獄和獲取根權限的漏洞。此前曝光的Vault 7 越獄和獲取根權限工具顯然只對舊版iOS和Android有用,蘋果和谷歌也都發表聲明表示,他們已經修復了這些漏洞。
設備操作系統升級到最新版的重要性就體現在這裡了。當然如果你的設備太舊了沒法支持最新操作系統的話,你也無需太過擔心,因為這些越獄和獲取根權限都要求對設備有物理訪問權限。
物理攻擊和遠程攻擊
如果攻擊者對你的設備有物理訪問權限,那就玩完啦!他可以對你設備進行任何操作。密碼鎖定設備,內容加密,這些只是影響到攻擊者突破的速度,設備一旦被解鎖,那攻擊者就如入了“無人之境”。如果攻擊者利用任何物理方法去越獄或者獲取根權限設備,那麼他就可以完全控制設備,各種安全防範措施對於他來說都不是難題。
攻擊者一般不會選擇遠程獲取根權限或者越獄設備,特別是對iOS設備。比如NSO集團為各國政府提供的間諜軟件套裝Pegasus(可戲稱為天馬流星拳)。 Pegasus是一套高度定制化和自動化的間諜軟件,其內置三叉戟(3個iOS零日漏洞組合),可以有效刺破iOS的安全機制,抵達內核,完全控製手機,然後竊取其中數據。但是這3個iOS零日漏洞卻不容易找到,這也是為什麼當年Zerodium會懸賞百萬尋找iOS中可用於遠程越獄的漏洞。針對硬件缺陷的漏洞利用就更少見了。其他更容易的攻擊辦法其實攻擊移動設備的方法還很多,只是這些方法成功的可能性會有所不同。其實網絡釣魚式攻擊可能才是唯一可靠的攻擊方法,這種攻擊是針對用戶個人的,而不是針對應用或者設備的。
雖然惡意軟件也能夠在未獲得用戶授權的情況下執行某些任務,比如錄音對話、截屏用戶當前操作、追踪用戶位置、複製文件到遠程服務等。但用戶要是都從官方渠道獲取應用的話,那麼他們很少會遇到這種問題。
蘋果和谷歌在杜絕惡意應用進入應用商店方面都下了很多功夫。 Android用戶可以設定不允許安裝未從官方渠道下載的應用。 iOS用戶則沒有得選,只能通過App Store來安裝應用。惡意軟件並不是完全沒有辦法進入官方應用商店,只是它們很快就會被蘋果或者谷歌發現,然後會馬上被刪除掉。
很多人到了咖啡廳或是店家,會使用它們所提供的免費WiFi,但是有的駭客會偽裝成一樣的名稱「魚目混珠」,讓你免帳號登入藉此竊取資料,資安專家說通常這種免帳號的WiFi最危險,一旦email帳號密碼被竊取,用同樣email登入的支付功能、銀行刷卡功能,可能也會因此被盜用。資安公司顧問簡勝財:「我們建議是不要使用,這種沒有密碼保護的無線網路,接著在第二點我們建議說,不要在傳出過程中傳送一些比較機密或是重要的資料。」使用VPN全程加密,駭客就算竊取資料也解不開,下載WiFi安全監測APP,有疑慮的連線裝置就會跳出「警示」,想避免手機資料被盜,少用來路不明的免費WiFi是不二法門。VPN軟體的出現解決了這一問題,當你網上衝浪時,使用VPN登入就能保護你的資訊安全。在你所發送的資訊上加上VPN的安全密鈅來確保你的資訊安全,不會隨意被別人查看。特別是各種使用客戶端進行支付時,特別需要注意資訊的安全。FlyVPN專注VPN網路安全6年多時間,以確保用戶信息安全為宗旨。下載FlyVPN,立即體驗 FlyVPN免費VPN試用帳號,馬上開啟你的網路護盾!
iOS FlyVPN: https://goo.gl/KzH2If
Android FlyVPN: https://goo.gl/7x3MYI
黑客對移動設備的攻擊一般有四種方法:
通過操作系統的安全漏洞利用或者硬件漏洞對設備進行全面控制
在用戶未察覺的情況下執行某些任務的惡意軟件
中間人攻擊攔截網絡流量
通過社會工程手段有針對性攻擊
可能有些人擔心自己的設備會被黑客全面控制,可是實際上一般用戶更可能會遇到的是後面這三種情況:社會工程手段、中間人攻擊和惡意軟件。
“非法侵入”移動設備意味著什麼
任何軟件都存在漏洞,操作系統也一樣。 iOS系統和Android系統中都有漏洞,利用這些漏洞攻擊者可以完全控制設備。這基本上也是越獄(jailbreak)和破解系統獲取根權限(root)的一個目的:一般情況下用戶在設備上不能做的事情,在越獄或者獲取根權限之後都可以做了。越獄是繞過了蘋果的限制,獲取根權限則讓安卓用戶獲得與設備管理員賬戶相連接的特權。
不過大部分越獄和獲取根權限方法都要求對設備有物理訪問權限,而蘋果和谷歌常常很快就會封堵越獄和獲取根權限的漏洞。此前曝光的Vault 7 越獄和獲取根權限工具顯然只對舊版iOS和Android有用,蘋果和谷歌也都發表聲明表示,他們已經修復了這些漏洞。
設備操作系統升級到最新版的重要性就體現在這裡了。當然如果你的設備太舊了沒法支持最新操作系統的話,你也無需太過擔心,因為這些越獄和獲取根權限都要求對設備有物理訪問權限。
物理攻擊和遠程攻擊
如果攻擊者對你的設備有物理訪問權限,那就玩完啦!他可以對你設備進行任何操作。密碼鎖定設備,內容加密,這些只是影響到攻擊者突破的速度,設備一旦被解鎖,那攻擊者就如入了“無人之境”。如果攻擊者利用任何物理方法去越獄或者獲取根權限設備,那麼他就可以完全控制設備,各種安全防範措施對於他來說都不是難題。
攻擊者一般不會選擇遠程獲取根權限或者越獄設備,特別是對iOS設備。比如NSO集團為各國政府提供的間諜軟件套裝Pegasus(可戲稱為天馬流星拳)。 Pegasus是一套高度定制化和自動化的間諜軟件,其內置三叉戟(3個iOS零日漏洞組合),可以有效刺破iOS的安全機制,抵達內核,完全控製手機,然後竊取其中數據。但是這3個iOS零日漏洞卻不容易找到,這也是為什麼當年Zerodium會懸賞百萬尋找iOS中可用於遠程越獄的漏洞。針對硬件缺陷的漏洞利用就更少見了。其他更容易的攻擊辦法其實攻擊移動設備的方法還很多,只是這些方法成功的可能性會有所不同。其實網絡釣魚式攻擊可能才是唯一可靠的攻擊方法,這種攻擊是針對用戶個人的,而不是針對應用或者設備的。
雖然惡意軟件也能夠在未獲得用戶授權的情況下執行某些任務,比如錄音對話、截屏用戶當前操作、追踪用戶位置、複製文件到遠程服務等。但用戶要是都從官方渠道獲取應用的話,那麼他們很少會遇到這種問題。
蘋果和谷歌在杜絕惡意應用進入應用商店方面都下了很多功夫。 Android用戶可以設定不允許安裝未從官方渠道下載的應用。 iOS用戶則沒有得選,只能通過App Store來安裝應用。惡意軟件並不是完全沒有辦法進入官方應用商店,只是它們很快就會被蘋果或者谷歌發現,然後會馬上被刪除掉。