近日，iOS中APP再出事故，蘋果公司緊急下架了App Store上超256款應(yīng)用。據(jù)蘋果官方透露，下架這些應(yīng)用是由于使用過名為有米(Youmi)的廣告SDK，其中存在安全漏洞。截至發(fā)稿，這些存在安全隱患的應(yīng)用總下載量已達(dá)100萬次。
圖1：iOS再曝安全事件
據(jù)網(wǎng)絡(luò)安全機構(gòu)SourceDNA的調(diào)查報告稱，App Store上256款應(yīng)用違反了蘋果相關(guān)隱私條例，存在暗中收集用戶郵件地址、裝機應(yīng)用、序列號以及其它私人信息等行為，而造成本次安全問題的根本原因，是由于這些應(yīng)用都使用了一款國內(nèi)移動廣告提供商——有米所提供的第三方廣告SDK。
360手機安全專家指出，雖然存在不安全因素的256款A(yù)PP已經(jīng)被蘋果緊急叫停下架，但目前為止，這些存在安全隱患的應(yīng)用總下載量已達(dá)100萬次。
圖2：讀取Apple ID的有米廣告代碼
360手機安全專家分析，存在安全漏洞的有米SDK存在以下行為：收集用戶安裝在手機上的應(yīng)用列表信息;在用戶運行舊版iOS時，收集手機設(shè)備的平臺序列號;在運行新版iOS時，收集手機設(shè)備的硬件組件及組件序列號;收集用戶的Apple ID郵箱地址。
據(jù)360手機安全專家介紹，蘋果公司一直禁止使用私有API，iOS 8中就禁止應(yīng)用讀取設(shè)備序列號，而有米通過枚舉電池系統(tǒng)等外部設(shè)備，突破了蘋果的限制，以硬件標(biāo)識符的方式搜集發(fā)送這些序列號。此次也是第一次有人成功繞過了蘋果的應(yīng)用審核機制。
圖3:256款A(yù)PP遭蘋果下架
360手機安全專家了解到，此次被下架的256款應(yīng)用，均使用了有米來展示廣告，而有米則借此收集用戶信息。并且，這些數(shù)據(jù)收集行為已持續(xù)大概一年之久，比較初從收集App列表開始，直至發(fā)展到現(xiàn)在的版本。
對此，蘋果方面發(fā)表聲明稱：
“我們發(fā)現(xiàn)一批App涉嫌使用私人API收集用戶個人信息，包括郵件地址、設(shè)備認(rèn)證信息以及路由數(shù)據(jù)，而這些App都使用了有米開發(fā)的第三方廣告SDK。此行為違反了我們的安全和隱私準(zhǔn)則，因而凡使用有米SDK的App均將做下架處理，新App如果使用了該SDK也將遭到拒絕。
目前，我們正和開發(fā)者緊密聯(lián)系，以幫助他們升級到安全的版本，早日回歸App Store?！?/p>
360手機安全專家稱，此次涉事應(yīng)用不乏中國版麥當(dāng)勞APP這類常用應(yīng)用，這也是繼XcodeGhost事件后，iOS平臺又一重大安全事件。
本文推薦蘋果App?Store下架256款應(yīng)用?360安全專家分析漏洞僅代表作者觀點，不代表本網(wǎng)站立場。本站對作者上傳的所有內(nèi)容將盡可能審核來源及出處，但對內(nèi)容不作任何保證或承諾。請讀者僅作參考并自行核實其真實性及合法性。如您發(fā)現(xiàn)圖文視頻內(nèi)容來源標(biāo)注有誤或侵犯了您的權(quán)益請告知，本站將及時予以修改或刪除。
