苹果副总裁谈木马感染事件:没有系统是完美的,Xcode开发工具的下载将放到国内

2015-09-23 08:02 · 腾讯科技  杜杰   
   
针对未来的防护机制,由于Xcode服务器一直在国外,所以导致了中国开发者下载时间较长,这就使得部分开发者选择一些非官方渠道下载,使得这一环节有机可乘,为了杜绝此类事件,席勒确定苹果将把Xcode开发工具的下载从国外放到国内。
苹果高级副总裁Philip Schiller

  苹果高级副总裁Philip Schiller

  本周XcodeGhost木马事件继续发酵,今天,苹果高级副总裁Philip Schiller在接受腾讯电话采访中表示:“苹果系统并非完美,事实上没有系统是完美的,而此次事件也促使我们提升和改进,重要的是我们能在这当中学到东西,并且之后加以改进。”

  事实上这并不是苹果高管第一次出面解释这种事情,之前CEO蒂姆·库克也曾面临过这种局面。所以可以看出此次XcodeGhost木马事件非同小可,毕竟影响范围非常大,特别涉及到了国内市场。

  在席勒看来,此次事件其实是几个因素共同造成的,苹果有Gatekeeper及相关签名验证机制防护,但这次山寨应用的进入、以及Gatekeeper被关闭,使得黑客有机可乘。

  针对未来的防护机制,由于Xcode服务器一直在国外,所以导致了中国开发者下载时间较长,这就使得部分开发者选择一些非官方渠道下载,使得这一环节有机可乘,为了杜绝此类事件,席勒确定苹果将把Xcode开发工具的下载从国外放到国内,这是苹果在服务方面第一次确认将下载放到国内。

  这次持续大约30分钟的谈话中,席勒没有给出确定的时间表,但他非常强调已经在快速行动,所有行动正在按部就班举行,后续处理“已经以小时来计算,而不是天”。

  其实在此之前,苹果发言人莫纳汉(Christine Monaghan)就已经表示过:“我们已经从App Store删除了这些基于伪造工具开发的应用。我们正在与开发者合作,确保他们使用合适版本的Xcode去重新开发应用。”所以针对此次XcodeGhost木马事件,这已经不是库布提诺第一次表态了。

  同时也有开发者认为此次事件会引发信任危机,一方面本次危机针对开发者发出了警告,敦促其避免使用来历不明的开发工具;另一方面,官方没有对开发者及时发出提醒,或许会造成信任危机。

  附:苹果官方发布的《有关XcodeGhost的问题和解答》

  我听说了由XcodeGhost 开发的恶意app —这是怎么回事?

  我们一直建议开发者使用由我们提供的免费、安全的工具,包括Xcode,从而确保他们为AppStore的用户创造出安全的app。一些开发者下载了已被恶意软件感染的盗版Xcode,由此开发的app也同样受到感染。

  Apple特意使用诸如Gatekeeper等技术,以防止安装从非AppStore渠道下载的应用程序,和/或安装包括Xcode在内的未签名的应用程序。当开发者为了能安装类似XcodeGhost等恶意程序时,这些保护措施会被刻意地禁用。

  作为Apple向开发者提供的业界先进工具之一,以下措施可以确保软件未被篡改:

  ·Xcodeapp有Apple的代码签名。

  ·从MacAppStore下载Xcode时,开发者的电脑系统自动对 Xcode 的代码签名会进行检查和验证。

  ·从AppleDeveloperProgram网站下载Xcode时,只要Gatekeeper没有被禁用,默认开发者的电脑系统对Xcode代码签名自动进行检查和验证。

  为什么开发者会不顾用户的安全下载盗版软件?

  为了更快下载我们的开发者工具,开发者有时会从其他非Apple站点搜寻。

  这会对我有什么影响吗?如何得知我的设备是否受到了影响?

  我们目前没有任何信息表明这些恶意软件与任何恶意事件相关,也没有信息表明这些软件被使用在传播任何个人身份信息的用途上。

  我们目前没有看到任何客户个人身份信息受到影响,而且代码无法通过用户身份请求来获取iCloud或其他服务的密码。

  只要一经发现这些app有可能通过恶意代码开发,我们就对其进行下架处理。开发者们正在快速更新他们的app,以便用户使用。

  恶意代码只能提供一些基本信息,比如app和一般系统信息。

  从AppsStore下载app是否安全?

  我们已将由该盗版软件开发的apps从AppStore中撤下,并拦截了通过该恶意软件开发的新app进入AppStore。

  我们正与开发者紧密协作,以确保受到影响的app尽快回到App Store供用户使用。

  我们将在支持页面上列出受此影响的前25个apps,方便用户验证他们是否已将这些app更新到了最新版本。

  用户还将会收到更多信息,以便了解他们下载的某app是否会存在问题。一旦开发者更新了他们的app,用户可以通过在设备上运行更新解决存在的问题。

  我们正努力让中国的开发者可以用更快的速度下载Xcode测试版本。开发者也可以通过developer.apple.com/cn列出的步骤来验证他们的Xcode是否被篡改过。

【本文为合作媒体授权投资界转载,文章版权归原作者及原出处所有。文章系作者个人观点,不代表投资界立场,转载请联系原作者及原出处获得授权。有任何疑问都请联系(editor@zero2ipo.com.cn)】