谷歌BugHunter敦促苹果改变其iOS安全文化

零号项目研究人员强调了顽固的iOS错误，以此为例，说明了为什么苹果和其他行业需要采取一种全新的方法来保护系统安全。谷歌漏洞猎人伊恩·比尔(Ian Beer)周三闯入苹果，敦促这家iPhone制造商在iOS安全方面改变其文化。他说，该公司遭受了修补iOS错误的普遍困扰，但没有解决造成该漏洞的系统根源。

自2016年以来，“零项目”团队成员表示，他已发现30多个iOS错误。在他的Black Hat会议“缓解的简要历史：iOS 11中的EL1路径”中，他回顾了他于12月发布的iOS 11.1.2的“ async_wake”漏洞，并回顾了他建议苹果将其拖到其他地方的将近六打的错误。脚来修复。

贝尔说，他不怪个人安全研究人员。相反，他保留了对具有安全背景的组织的批评，这些组织具有学术背景与漏洞利用背景。

不可否认，这些人具有非常强大的工程安全技能。但是，他们没有开发背景……他们的重点是系统的设计，而不是开发。”他说。“请，我们只需要停止现场修复错误并向他们学习，然后采取行动即可。”

贝尔说，每个漏洞都必须作为一个教训，安全负责人需要问：“为什么在此漏洞?如何使用?我们如何早些想念它?需要解决哪些过程问题，以便我们能够更早地发现它?谁有权访问此代码并对其进行审查，以及为什么出于某种原因未报告该代码?”

在对苹果首席执行官蒂姆·库克(Tim Cook)的一次挑衅性呼吁中，比尔直接挑战他向国际特赦组织捐赠250万美元，这与比尔(Beer)发现的30多个iOS漏洞的赏金收入大致相当。

“两年前， Apple宣布了一个漏洞赏金计划。 苹果表示欢迎人们加入该计划，”比尔说。苹果公司向整个研究界提出的建议之一是，所有错误都将得到认真对待，苹果公司将无私地寻求保护该平台的利益，以奖励程序外的赏金猎人。苹果公司表示，将考虑向研究人员选择的慈善机构捐款，以代替赏金。

贝尔呼吁库克将苹果可能愿意与贝尔分享的任何悬赏奖励捐赠给国际特赦组织。

由于最近对慈善机构的攻击，比尔斯(Beers)挑出了该慈善机构。 本月早些时候，大赦国际发布了一份报告，称该报告的目标是一个民族国家的对手，该对手使用了由以色列公司NSO Group出售的名为Pegasus的移动网络武器。Beer指出，对手发送的消息似乎是iMessages。

2016年，Citizen Lab和Lookout发现，Pegasus被用来通过三个零日iOS漏洞(统称为Trident)来控制Apple设备 。大赦国际报告称，Android和iOS手机都在其攻击过程中成为攻击目标。

贝尔建议苹果需要更好地锁定iOS，因为APT受害者以及类似的人越来越多地使用iPhone。他援引了另一起 报道的事件 ，该事件中，针对墨西哥苏打的反肥胖税的支持者成为攻击的目标，该攻击将iPhone用户与链接了Pegasus软件的文本信息分开。

他说：“有针对性的剥削比您想像的要广泛。” 他指出，飞马已经从民族国家的攻击转移到似乎是由亲的软饮料圈发起的攻击。

贝尔称任何使用漏洞修复作为衡量安全漏洞的准绳的安全方法。他称其为“舒适毯”，只提供了进步的幻觉。他说，隔离安全修复程序的时间已经过去了-他的目标是了解根本原因并缓解这些问题。

　　免责声明：本文由用户上传，与本网站立场无关。财经信息仅供读者参考，并不构成投资建议。投资者据此操作，风险自担。 如有侵权请联系删除！