iCloud“艳照门”教会我们的云服务安全知识

这几天iCloud漏洞导致多位女性艳照一事闹得沸沸扬扬，虽然具体原因还没确定，但现在最大的可能是有黑客利用了GitHub上发布的一个脚本程序，对用户帐户进行暴力破解。目前这一漏洞已修复，苹果也表示会作进一步调查。不过经过这一事件，我们也对云服务安全有了进一步了解。

暴力破解

本次事件很可能是利用了苹果Find My iPhone服务的一个漏洞，发起攻击的程序被称为iBrute，能对帐户密码进行暴力破解。暴力破解所使用的方法也很简单，就是从分别包含邮件地址和密码的两个文件中提取信息，逐个尝试。由于Find My iPhone存在漏洞，多次密码错误也不会让帐号被锁定，因而可以不断试错，直到对了为止。找到密码后，黑客就能连上iCloud，获得手机备份和图片等数据。

iCloud服务之前也被攻击过，不过多数都是通过社会工程或公开可用的信息进行。2011年一名男子就通过猜测密码和用个人资料恢复密码等手段取得了Christina Aguilera和Scarlett Johansson等女星的隐私数据。

服务商没责任

苹果iOS系统默认会自动在iCloud中备份照片，Google+、Flickr等也会自动将照片同步到云上。即使像SnapChat和Glimpse这样的阅后即焚应用，也不能阻止对方在收到图片后截屏，而如果对方用了iPhone，照片又会同步到对方的云。云服务，尤其是公共云服务，基本就是与网络相连，无论是个人操作失误还是服务存在漏洞，都会导致个人数据泄露。隐私数据与可分享数据在存储上也不会作出区别。

在用户数据泄露后，根据一般使用条款，云服务商也不会承担过多的责任。安全专家表示有两种方法可以避免这种艳照门事件，一是别拍这种私密照，因为总有一天会流传出去；二是注意公司与个人是不对等的，公司基本都会免于责罚。没有艳照就是防止艳照泄露的最好办法。

iOS用户的补救措施

检查云端，而不只是设备。删了手机上的照片并不意味着也从云端删除。云服务可以备份用户在设备上的各种内容。如果真的有不想让别人看到的东西，那就要在所有地方把它删除。或者还可以直接停止云服务。另外，在iCloud上删除照片后，最初拍摄照片的那台设备上还会存在原始照片，如果想完全清除，需要在设备上进行删除。

使用两步验证措施，在登录前回答两个问题。一个问题是提供正确的密码，另一个是通过短信或邮件接收验证码。即使黑客能破解密码，这也可以有效阻止入侵，因为他们难以获取认证码。iCloud拥有两步验证措施，不过需要用户手动开启。

在服务和设备上使用不同密码。在所有地方都使用相同密码会加大被黑客攻破的概率，但很多懒人都没有做到这一点。

在这个手机越来越智能，使用也越来越频繁的年代，自拍前还是需要三思而后行。无论用的什么系统，被破解也只是迟早的事。

via AT