蘋果洩露的ios裝置ID：什麼可怕，什麼不可怕

長期以來，安全專家和隱私保護組織一直批評蘋果決定為其移動裝置分配名為udid的永久唯一識別符號。週二，匿名駭客組織AntiSec公佈了一份100萬個裝置ID的名單，據稱是從一名FBI特工膝上型電腦上發現的未加密檔案中提取出來的，這些批評人士的擔心由此而來。...

長期以來，安全專家和隱私保護組織一直批評蘋果決定為其移動裝置分配名為udid的永久唯一識別符號。週二，匿名駭客組織AntiSec公佈了一份100萬個裝置ID的名單，據稱是從一名FBI特工膝上型電腦上發現的未加密檔案中提取出來的，這些批評人士的擔心由此而來。

安蒂斯克公佈身份證的目的是揭露聯邦調查局一開始就有身份證。但是，由於真正的資訊來源現在陷入僵局（蘋果否認交出了身份證，聯邦調查局聲稱它從一開始就沒有這些身份證），更緊迫的問題是udid到底是如何使iOS裝置所有者的隱私和安全受到威脅的——以及他們是如何不這樣做的。

利維坦安全公司（Levithan Security）執行長弗蘭克•海德特（Frank Heidt）最近在CNET上發表文章稱，透過UDID、推送令牌和裝置名稱，攻擊者“可以任意在你的**上載入應用程式。”但CrowdStrike的高階工程師亞歷克斯•拉多西亞（Alex Radocea）表示，事實並非如此。

“有很多誤傳。”

“有很多錯誤的資訊，”拉多卡在電話裡告訴《邊緣報》。就在Antisc公佈他們的裝置ID清單時，他和他的團隊公佈了他們對iOS版FinSpy Mobile的檢查結果，這是一款臭名昭著的FinFisher間諜軟體，最近被髮現針對政治異見人士。

CrowdStrike在報告中指出，該間諜軟體使用的是ad-hoc分發，這是一種通常保留用於測試的方法，使用UDID繞過蘋果的應用程式簽名過程。但這並不意味著UDID是在使用者不知情的情況下在裝置上遠端安裝惡意軟體的靈丹妙藥，Radocea說。

他澄清說：“主要是安裝這些應用程式需要使用者互動。”正如CNET的文章所宣稱的那樣，它們不能被悄悄地或任意地安裝，“在antic釋出的新聞熱播後不久，ACLU在一篇部落格文章中同樣暗示udid可以被用來祕密地感染帶有間諜軟體的裝置。

在FinSpy的例子中，即使它的過濾有效負載以其他方式載入到裝置上，他們觀察到的唯一樣本——由多倫多大學的公民實驗室提供——還沒有完全“武器化”，這意味著它缺少從裝置獲取核心訪問和洩漏資料所需的特權提升漏洞。不過，CrowdStrike表示，間諜軟體的“武裝”樣本很可能存在於野外某處，並敦促任何知情者與之聯絡。

Radocea說：“沙盒不容易走出，”他指的是蘋果用來讓應用程式遠離系統其他敏感區域的第三方應用程式包裝所以事實是UDID本身並沒有買那麼多。只是能夠建立一個臨時應用程式。”

udid可以用來查詢姓名、人口統計資訊、地理位置等等

udid是持久的、軟體可讀的序列號，硬嵌入ipad和iphone等iOS裝置中。它們本身只是由40個字母數字字元組成的看起來無害的字串，但研究人員過去已經證明，它們被濫用的時機已經成熟，可以被利用來查詢姓名、人口統計資訊、地理位置等等。

總部設在紐西蘭的安全研究人員奧爾多·科爾特西（Aldo Cortesi）在這一問題上的表態尤其強烈。去年，他演示了UDID如何透過對社交遊戲平臺OpenFeint進行未經驗證的API呼叫來獲取GPS坐標，甚至Facebook個人資料連結。後來，他發現甚至可以使用udid來接管OpenFeint、Zynga和其他社交遊戲平臺上的使用者帳戶。

潛在的問題是，一旦udid在野外出現，擺脫它們的唯一方法就是購買新裝置。其他平臺如Android的裝置id在工廠重置後會發生變化。但蘋果的udid是永續性的，如果使用者的id被洩露，這些裝置的使用者將無法更改或刪除它們。

一旦udid出現在野外，擺脫它們的唯一方法就是購買一臺新裝置

奇怪的是，這些問題早在1999年英特爾奔騰III晶片釋出時就出現了。這些晶片帶有一種類似的持久識別符號，在消費者和隱私團體向聯邦貿易委員會投訴後，英特爾後來禁用了這種識別符號。

蘋果和OpenFeint也因此面臨一系列（短暫的）集體訴訟。作為回應，蘋果已經明智地開始禁止**應用和遊戲閱讀它們——但在廣告商和其他不擇手段的第三方之間大量交易大量udid之前。

2010年的一項研究發現，當時App Store兩大類中68%的應用程式正在讀取裝置所有者的UDID，併在未經使用者知情或同意的情況下將其以明文形式傳輸給第三方伺服器。Cortesi編寫了一個中間人工具來展示這個過程，允許使用者實時觀看告密應用程式透過HTTP流量向第三方傳送UDID和其他資料。這些應用程式收集瞭如此多的資料，以至於一個貌似合理的理論認為反C轉儲的內容可能指向一個共同的罪魁禍首。

好訊息是，在回應這一洩密事件時，蘋果表示，在iOS6中，UDID將被一套新的API所取代。但既然它們不會完全消失，你還是應該檢查一下你的裝置的ID是否被洩露了。