搜索

[8662] 2015-02-05_来看看美帝人民的安全意识：安全研究人员指责iOS版Outlook存在多处安全隐患

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2015-02-05_来看看美帝人民的安全意识：安全研究人员指责iOS版Outlook存在多处安全隐患 来 看 看 美 帝 人 民 的 安 全 意 识 ： 安 全 研 究 人 员 指 责 i O S 版 O u t l o o k 存 在 多 处 安 全 隐 患 F r e e B u f   2 0 1 5 - 0 2 - 0 5 前 不 久 微 软 刚 刚 发 布 了 前 不 久 微 软 刚 刚 发 布 了 i O S 版 版 O u t l o o k 应 用 程 序 ， 而 这 几 天 安 全 研 究 人 员 应 用 程 序 ， 而 这 几 天 安 全 研 究 人 员 R e n é   W i n k e l m e y e r 发 现 其 数 个 安 全 隐 患 ， 包 括 微 软 可 以 在 用 户 毫 不 知 情 的 情 况 下 获 取 用 户 的 邮 箱 账 户 和 服 务 器 数 据 。 发 现 其 数 个 安 全 隐 患 ， 包 括 微 软 可 以 在 用 户 毫 不 知 情 的 情 况 下 获 取 用 户 的 邮 箱 账 户 和 服 务 器 数 据 。 安 全 隐 患 一 ： 云 端 存 储 用 户 登 录 信 息 安 全 隐 患 一 ： 云 端 存 储 用 户 登 录 信 息 W i n k e l m e y e r 在 安 装 i O S 版 O u t l o o k 应 用 程 序 时 ， 发 现 它 会 询 问 用 户 是 否 接 收 推 送 通 知 ， 这 有 点 匪 夷 所 思 。 是 这 样 的 ， 可 能 你 用 过 i O S 自 带 的 邮 件 收 取 工 具 ， 因 为 他 是 常 驻 后 台 可 以 实 时 推 送 ， 但 是 对 于 其 他 A P P 来 讲 是 没 有 这 个 权 限 的 。 所 以 W i n k e l m e y e r 就 决 定 测 试 一 下 为 什 么 该 应 用 程 序 会 请 求 用 户 接 收 i O S 推 送 。 测 试 内 容 如 下 ： 测 试 内 容 如 下 ： 1 、 首 先 彻 底 关 掉 这 个 A P P ； 2 、 用 另 一 个 邮 箱 向 我 的 O u t l o o k 邮 箱 发 送 测 试 邮 件 ； 3 、 我 立 即 收 到 了 新 邮 件 的 推 送 通 知 。 W i n k e l m e y e r 推 测 ， 微 软 可 能 是 使 用 云 端 来 记 录 用 户 的 登 录 凭 证 ， 并 实 时 监 控 他 们 的 推 测 ， 微 软 可 能 是 使 用 云 端 来 记 录 用 户 的 登 录 凭 证 ， 并 实 时 监 控 他 们 的 A c t i v e S y n c 账 户 。 账 户 。 换 句 话 说 ， 这 时 候 微 软 已 经 在 服 务 器 端 已 经 获 取 到 了 你 的 邮 件 标 题 邮 件 内 容 ， 然 后 再 推 送 到 手 机 上 。 这 样 直 接 推 断 可 能 不 太 恰 当 ， 这 样 直 接 推 断 可 能 不 太 恰 当 ， 于 是 他 又 进 行 了 第 二 次 测 试 ： 于 是 他 又 进 行 了 第 二 次 测 试 ： 首 先 ， 把 所 有 设 备 设 置 成 飞 行 模 式 （ 避 免 出 现 数 据 干 扰 ） ； 然 后 ， 打 开 A p a c h e 服 务 器 （ 作 者 的 测 试 环 境 是 把 A p a c h e 放 在 了 前 端 ） 访 问 日 志 ； 居 然 又 出 现 了 ！ 5 4 . 1 4 8 . 9 6 . 1 9 6   –   –   [ 2 9 / J a n / 2 0 1 5 : 1 6 : 1 9 : 5 0 + 0 1 0 0 ]   “ P O S T / t r a v e l e r / M i c r o s o f t - S e r v e r - A c t i v e S y n c ? U s e r = m y s u p e r m a i l % 4 0 w i n k e l m e y e r . c o m & D e v i c e I d = 1 2 3 1 2 3 1 2 3 1 2 3 & D e v i c e T y p e = O u t l o o k & C m d = S y n c H T T P / 1 . 1 ″   2 0 0   2 5   “ - ”   “ O u t l o o k - i O S - A n d r o i d / 1 . 0 ″ 这 些 测 试 证 明 ， 微 软 将 其 用 户 登 录 凭 证 和 服 务 器 数 据 储 存 在 了 云 端 ， 而 且 用 户 也 不 知 情 ！ 理 论 上 来 说 ， 微 软 完 全 可 以 访 问 所 有 用 户 的 P I M 数 据 。 小 编 补 充 ： 上 面 这 段 话 可 能 大 家 第 一 次 读 不 会 太 理 解 。 其 实 大 致 是 这 样 的 ， 作 为 一 个 收 信 工 具 ， O u t l o o k 应 该 只 与 邮 件 服 务 器 通 信 应 该 只 与 邮 件 服 务 器 通 信 ， 但 是 在 i O S 上 他 没 有 实 时 推 送 的 权 限 ， 这 时 候 一 个 收 信 工 具 的 实 时 性 就 出 了 问 题 ， 总 不 能 用 户 半 小 时 手 工 去 刷 一 次 吧 ？ 不 过 微 软 的 开 发 团 队 为 了 解 决 这 个 问 题 ， 在 用 户 和 邮 件 服 务 器 之 间 又 放 了 一 台 服 务 器 用 于 监 控 你 的 邮 箱 状 态 在 用 户 和 邮 件 服 务 器 之 间 又 放 了 一 台 服 务 器 用 于 监 控 你 的 邮 箱 状 态 ， 虽 然 你 的 手 机 是 锁 屏 或 A P P 退 出 ， 但 是 只 要 监 控 到 有 新 邮 件 ， 服 务 器 会 直 接 推 送 到 你 的 手 机 上 。 虽 然 实 时 性 解 决 了 ， 但 是 美 帝 人 民 的 隐 私 保 护 意 识 是 特 别 强 的 ， 他 们 就 认 为 微 软 在 一 定 程 度 上 获 取 了 他 们 的 邮 件 ， 侵 犯 了 他 们 的 隐 私 。 F r e e B u f 小 科 普 小 科 普 i O S 的 推 送 机 制 大 致 是 按 照 以 下 的 流 程 来 的 ： 的 推 送 机 制 大 致 是 按 照 以 下 的 流 程 来 的 ： 第 一 阶 段 ： 应 用 程 序 把 要 发 送 的 消 息 、 目 的 i P h o n e 的 标 识 打 包 ， 发 给 A P N S 。   第 二 阶 段 ： A P N S 在 自 身 的 已 注 册 P u s h 服 务 的 i P h o n e 列 表 中 ， 查 找 有 相 应 标 识 的 i P h o n e ， 并 把 消 息 发 到 i P h o n e 。   第 三 阶 段 ： i P h o n e 把 发 来 的 消 息 传 递 给 相 应 的 应 用 程 序 ，   并 且 按 照 设 定 弹 出 P u s h 通 知 。 安 全 隐 患 二 ： 邮 件 管 理 混 乱 安 全 隐 患 二 ： 邮 件 管 理 混 乱 通 常 每 个 A c t i v e S y n c 用 户 都 有 一 个 独 一 无 二 的 用 于 同 步 数 据 的 I D ， 这 样 管 理 员 就 可 区 分 每 个 用 户 的 设 备 。 但 是 微 软 新 开 发 的 i O S 版 O u t l o o k 却 不 一 样 ， 所 有 用 户 的 设 备 使 用 同 一 个 I D ， 就 如 同 一 台 设 备 ， 管 理 员 根 本 无 法 区 分 每 个 用 户 的 设 备 ， 根 本 分 不 清 哪 些 是 正 常 访 问 哪 些 是 恶 意 访 问 。 在 大 公 司 内 ， 企 业 对 邮 件 连 接 的 控 制 是 非 常 严 格 的 ， 但 是 i O S 版 的 O u t l o o k 开 发 的 时 候 没 有 考 虑 到 集 中 管 理 这 一 点 。 安 全 隐 患 三 ： 云 存 储 风 险 安 全 隐 患 三 ： 云 存 储 风 险 还 有 就 是 内 置 云 端 存 储 服 务 器 的 问 题 ， 还 有 就 是 内 置 云 端 存 储 服 务 器 的 问 题 ， i O S 版 版 O u t l o o k 的 内 置 云 端 存 储 服 务 器 有 的 内 置 云 端 存 储 服 务 器 有 O n e D r i v e 、 、 D r o p b o x 和 谷 歌 和 谷 歌 D r i v e 。 。 用 户 可 以 建 立 个 人 O u t l o o k 账 户 并 共 享 所 有 邮 件 的 附 件 到 这 些 服 务 器 上 ； 或 者 直 接 在 服 务 器 上 使 用 他 们 公 司 邮 箱 账 户 里 的 文 件 。 虽 然 这 不 是 什 么 漏 洞 ， 但 是 如 果 某 公 司 员 工 使 用 i O S 的 O u t l o o k 来 进 行 公 司 办 公 ， 比 较 容 易 出 现 将 公 司 内 部 文 件 传 输 到 第 三 方 网 盘 上 ， 有 信 息 泄 露 的 安 全 隐 患 。 安 全 建 议 安 全 建 议 W i n k e l m e y e r 还 解 释 称 ， 苹 果 内 置 的 托 管 和 非 托 管 应 用 程 序 是 无 法 解 决 这 一 问 题 的 ， 因 为 O u t l o o k 通 信 属 于 内 部 应 用 程 序 ， 用 户 无 法 控 制 它 。 他 建 议 管 理 员 通 知 所 有 的 员 工 不 要 使 用 i O S 版   O u t l o o k   应 用 程 序 ， 并 禁 止 该 应 用 程 序 访 问 公 司 邮 箱 服 务 器 。 [ 参 考 来 源 参 考 来 源 s e c u r i t y a f f a i r s ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理