注册
登录
| 关键词： 开发工具 开发者 App 开发 苹果 安全性 山寨 官方 恶意 XcodeGhost |
山寨版苹果开发工具XcodeGhost所衍生的资安风险，透过苹果公司从源头端，清除所有利用XcodeGhost开发的App并强制下架，迫使所有受感染的恶意App开发者，都必须在最短的时间内推出升级的、安全的新版App。 对于安装这些受到山寨苹果开发工具XcodeGhost感染恶意App的使用者，台湾Fireeye技术顾问林秉忠说：「直接将恶意App移除，重新安装或者升级到新版的App是苹果行动装置使用者最好的自保之道。」某些资安公司业者也鼓励，有安装受感染恶意App的使用者，也应该尽速更改iCloud密码以确保其安全性。 但是，如果企业有引进BYOD（自带装置），他认为，为了确保企业环境App的安全性，基本的行动装置控管（MDM）或者是行动装置应用程式控管（MAM）都有其必要性；若是企业有自行开发企业版App提供服务，为了避免采用到山寨版开发工具开发出恶意App的情况，甚至可以考虑引进一些App安全的扫描工具或是服务，提升开发App产品的安全性。 XcodeGhost资安事件发生的主因，其实就是中国开发者不习惯从官方网站下载开发工具，苹果官方在发生这起资安事件时，也大肆宣导并鼓励中国开发者养成从官方网站下载开发工具的习惯。戴夫寇尔（DevCore）执行长翁浩正便表示，开发者除了要检查自己的开发工具的确从官网下载外，也必须验证下载的档案杂凑值与官方符合，避免下载到其他人自行打包的开发工具，以减少开发恶意App的风险。 而在开发环境中，App跨界交流协会、日杰资讯App开发顾问江钟权表示，苹果官方也提供一个官方工具SPCTL（SecAssessment System Policy Security），让开发者验证其所下载的Xcode确实为官方版本。此外，他指出，只要是Mac OS Lion 10.7.3版以上的作业系统开发相关的App，就可以启用GateKeep这个工具，防止开发者安装从不是官方AppStore或者是经过认证的管道下载相关的应用程式，确保其下载程式的安全性。 此次XcodeGhost资安事件后，为了减少中国开发者从网路云端空间或论坛下载山寨版的苹果开发工具，中国苹果鼓励所有的开发者，可以采用官方提供的SPCTL检查工具，验证所下载的Xcode的确是官方版本。 要开发安全的App，除了一定要确保所使用的开发工具是干净且安全外，台湾趋势科技技术顾问简胜财表示，建议相关的行动App开发者，也应该创造一个独立的开发环境，并提供加密机制，确保开发程式的安全性；而若是有资安部门，则应该和其合作，从基本的弱点扫描、源码检测以及渗透测试等方式，确保开发App的安全性。 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
