蘋果公司最近開始通知部分移動應(yīng)用開發(fā)人員，稱其違反了蘋果的使用條款，主要是因為這些開發(fā)人員通過Rollout.io或者JSPatch框架使用熱修復(fù)。
在寫給開發(fā)人員的電子郵件中，蘋果公司表示：“您的應(yīng)用、擴(kuò)展和/或鏈接框架似乎包含不合規(guī)代碼，這些代碼可在App Review批準(zhǔn)后更改應(yīng)用的行為或功能，這不符合Apple Developer Program License Agreement和App Store Review Guideline 2.5.2。”
2.5.2規(guī)定：“應(yīng)用程序包應(yīng)該為自包含，不得在指定容器區(qū)域外讀取或?qū)懭霐?shù)據(jù)，也不得下載、安裝或執(zhí)行代碼，包括其他iOS、WatchOS、MacOS或TvOS應(yīng)用。”
熱修復(fù)是對最終用戶透明的遠(yuǎn)程更新過程，在大多數(shù)情況下，這對開發(fā)人員和最終用戶是很好的方法，例如當(dāng)移動應(yīng)用漏洞需要緊急修復(fù)時。然而，Apple App Store這樣的應(yīng)用生態(tài)系統(tǒng)并不喜歡熱修復(fù)，因為應(yīng)用可在蘋果的App Store審查后更改應(yīng)用行為或功能。這可能導(dǎo)致惡意開發(fā)人員或中間人攻擊者根據(jù)需要注入或更改代碼，從而避開蘋果的監(jiān)督。
基于筆者對惡意代碼的了解，再加上想要利用系統(tǒng)安全和隱私漏洞的攻擊者和政府機(jī)構(gòu)的數(shù)量，筆者認(rèn)為這并不能責(zé)怪蘋果公司。隨著App Store的安全性不斷受到審查，允許開發(fā)人員使用熱修復(fù)可能會破壞蘋果正試圖為確保用戶最佳利益而在進(jìn)行的工作。
當(dāng)蘋果允許這種類型的修復(fù)時，可能沒有考慮惡意開發(fā)者濫用的情況。鑒于移動應(yīng)用用戶的總數(shù)，這只影響著相對較少的開發(fā)人員，但這是蘋果為最大限度減少總體風(fēng)險作出的業(yè)務(wù)決策。
那么，這個改變對你的企業(yè)環(huán)境會有什么影響?從最終用戶的角度來看，所有曾經(jīng)進(jìn)行熱修復(fù)的iOS應(yīng)用都比以前更安全，因為現(xiàn)在更新必須由蘋果重新審查(漏洞更新必須通過App Store審查過程，但開發(fā)人員可對嚴(yán)重漏洞申請所謂的快速審查)。
不過，筆者并不認(rèn)為蘋果公司可以確保他們可通過這個流程找到每個應(yīng)用中的每個漏洞。通過消除熱修復(fù)，筆者認(rèn)為他們將不得比進(jìn)行更多安全檢查來追蹤移動應(yīng)用漏洞。然而，考慮到我們?nèi)匀幻媾R的所有基本計算機(jī)和信息漏洞，與熱修復(fù)相關(guān)的任何漏洞利用都可以不再考慮。
在企業(yè)安全方面，需要考慮以下幾個方面：
1. 在您的移動應(yīng)用開發(fā)生命周期已經(jīng)構(gòu)建或者需要構(gòu)建的安全級別。移動應(yīng)用屬于您的傳統(tǒng)軟件開發(fā)生命周期控制嗎?誰定義標(biāo)準(zhǔn)和威脅建模?
2. 適用于您環(huán)境中使用的移動應(yīng)用的審查級別，特別是用于核心業(yè)務(wù)目的的移動應(yīng)用。它們有風(fēng)險嗎?是否使用Checkmarx和NowSecure等供應(yīng)商的工具測試安全漏洞?
3. 在BYOD和移動應(yīng)用使用方面用戶允許做出的決定。這種影子IT如何影響著攻擊面或者提高業(yè)務(wù)風(fēng)險級別?
4. 您的環(huán)境中移動和移動應(yīng)用監(jiān)控和警報數(shù)量。您能否檢測到受攻擊的應(yīng)用或者惡意網(wǎng)絡(luò)流量?一旦發(fā)現(xiàn)，您的計劃是什么?
5. 您的整個網(wǎng)絡(luò)安全架構(gòu)，包括虛擬局域網(wǎng)、訪客無線網(wǎng)絡(luò)和云服務(wù)。如果易受攻擊的移動應(yīng)用被利用，您的生產(chǎn)環(huán)境關(guān)鍵部分將如何受到影響?
筆者很欣賞Rollout.io等公司的開發(fā)人員和工作人員為確保移動應(yīng)用體驗更好更安全所做出的努力。畢竟蘋果消除熱修復(fù)的決定肯定會帶來一些不好的影響，并且，可能會影響移動應(yīng)用開發(fā)和支持生命周期的效率和安全性。Rollou.io已經(jīng)提出基于證書的解決方案，這可能幫助大家找到舒適的中間地帶。
無論事情最終發(fā)展如何，也無論您是關(guān)注應(yīng)用安全還是信息安全，都應(yīng)該關(guān)注這個問題及其結(jié)果。
京公網(wǎng)安備 11010502049343號