安全防线究竟出了什么问题 追溯苹果Xcode幽灵入侵根源 (安全防线的意义)
近期XcodeGhost事件沸沸扬扬，大家都很关注此事的影响、后果和解决方案，可是这件事情的根源究竟是什么？ 还有没有未被发现的其他类似安全隐患？未来如何防止同类攻击的发生？本文作者是启明星辰VP，资深安全人士，他试图从应用开发者角度来剖析这一切。
上述两个事件与XcodeGhost的相似之处在于，攻击者都是利用了开发/设计/监控环境的安全漏洞，最终达成了对生产/消费环境的渗透。
入侵者利用哪些点进行攻击？
我们知道，随着厂商和用户安全意识的提高，生产环境大量使用物理/逻辑隔离手段，而消费环境则可能使用严格的审核机制甚至完全封闭的生态环境， 这使得直接攻击生产/消费环境的难度大幅度上升，而厂商和消费者往往也会产生自满情绪，认为已经一劳永逸的解决了信息安全威胁。
但是攻击者并不会按照防御者规定的方式作战，他们总是能找到最容易突破的位置，采用一些事先无法想到的手段，突破禁制，达成目的。
不幸的是，在此次事件中，开发环境恰好是那个最容易被突破的环节。
一家应用软件公司要想发布应用程序，必须要搭建开发环境，包括代码编辑器、编译器、调试器、模拟器、第三方库、其他资源等等，如下图所示：
程序员在自己的工作电脑上写出代码、通过编译上传到公司的服务器，进行数字签名后，发布到应用市场（如APP Store或者Google Play等），在整个过程中，存在着多个可能被入侵者利用的点：
那么，为什么会出现以上的漏洞呢？
世界应该是完美的才对啊？抱歉，真实世界并非是完美无缺的。
1、移动应用开发成本大，安全标准让路。
随着移动互联网的进一步升温，大量公司涌入移动应用开发，各家应用供应商的竞争也非常激烈。应用软件的开发工期和按时发布的压力很大，在这种情况下，对安全的考量往往要为软件功能和发布时间让路。在良好的开发流程中，对软件开发环境、测试及代码审核、应用软件的发布和管理都有较为严格的规定，但是严格的管理流程会带来额外的成本开销，在发布压力较大的情况下，往往会在安全标准上做出让步。
2、人才培养的缺失，危机暗伏
同时，由于移动互联网行业发展速度太快，人才培养远远跟不上行业需求，部分缺少良好安全训练的软件工程师直接上岗，他们编写的代码存在大量的安全问题。部分问题可以通过测试修复bug解决，但是很多的漏洞隐藏在已经发布的软件中。
例如现在的健康应用中，大多数都没有认证校验措施，未来这些数据如果用于医疗急救，一旦被篡改就可能造成严重的后果。
由于移动互联网是新兴行业，在过去的几年中尚未成为黑色产业重点关注的区域，因此应用公司和开发人员也产生了移动互联网安全问题不严重的心理 误区，加上对封闭生态环境（如苹果的应用商店）的迷信，一味依赖手机厂商提供的安全措施，造成了一旦厂商的安全措施被从其他方向绕过，就被势如破竹地打穿所有防线的后果。
实际上，上一个十年的经验告诉我们，任何一种独立的安全措施都不能简单地防范所有的安全威胁，必须是完整构建的安全体系才有能力和各种高级威胁进行对抗。这一点，微软想必已经深有体会，但是苹果和谷歌及其大量的应用供应商，还需要至少几年的时间去慢慢学习。
除了本次暴露的XcodeGhost，还有没有类似的其它安全隐患？
如前文所说，通过开发环境进行攻击并非首创，而安卓的开发环境比苹果更加复杂和开放 ，根据0xid西雅图小组的跟踪分析，在安卓的开发环境中同样存在各种信息安全问题，有些甚至更加严重。
本次事件中，除了Xcode之外，Unity和 Cocos2dx这两个游戏开发平台，也受到了不同程度的污染，这就进一步影响到了安卓和Windows。
那么，未来如何防止同类攻击的发生呢？
人的懒惰和侥幸心理是天性，因此，必须要采用严格的管理和规范来对抗它们，在国际标准ISO27001和SSE CMM中，均有对应用软件开发环境和第三方组件使用的安全性要求，应用开发商应该要做到：
1、应该有严格的开发环境隔离措施。开发、测试和运行环境严格分开，经过授权的人才能访问各个不同环境，并在其中进行完整性和一致性检查。严控开发环境与互联网的交互接口，采用合适的安全防御措施保护开发测试和运行环境。2、对开发环境使用的软件进行控制，确保均来自可信的来源。开发环境应使用正版软件，并设置软件白名单，禁止安装白名单以外的应用。3、向开发人员提供足够的安全培训。开发人员应该经过安全意识、安全技能、安全规章制度的培训，从而有意识、有能力、有意愿写出更加安全和健壮的代码。
4、加强对代码的审核和对应用的安全测试，确保其中没有恶意的逻辑。通过在测试中增加安全性测试，以及对关键代码进行评审，必要时委托第三方专业公司进行安全检查，从而发现代码中的疏忽或者是恶意的后门。
5、严格管理软件发布的流程，并随时监控在互联网上流转的应用，及时发现问题并及时处理。软件发布应由专人管理，并进行审计记录，保管好发布账号和签名证书，实时监控互联网上流转的应用镜像，有可能的情况下通过软件自动进行校验，一旦发现问题及时的处置和报警，将损害降到最低。
原创文章，未经授权禁止转载。详情见 转载须知 。
本文地址： /article/dd36df50b0ebce2674f9.html
上海辛格迪健康科技拥有20余年管理软件研发及咨询实施经验，从事制药行业研究10余年。专注于制药、医疗器械和食品行业，针对国情需求设计系统，符合中国药企用户的使用习惯。辛格迪的制药信息化平台包含的系统有：QMS质量管理系统,DMS文件管理系统,MES生产管理系统,研发项目管理系统等，是国内制药行业专业软件，是在中国制药技术的传播者及GMP理论的实践者！辛格迪的鲲泰制药质量监控系统，整合了与国内外知名药企(如罗氏、恒瑞医药等)多年卓有成效的合作经验，遵循GMP要求，推出的符合CGMP、EU-GMP(ANNEX11)、FDA21CFRPart11、ISO/IEC17025等标准规范的信息化管理软件。其中鲲泰QMS质量管理系统包括的功能模块有文档管理、培训管理、电子签名、项目管理、CAPA、偏差偏离管理、项目管理、审计管理、不合规管理、召回管理、检测管理、投诉管理、供应商管理、变更管理、任务管理、商业智能分析等。
易企秀创意营销平台提供免费H5微场景、海报、长图、表单、视频、互动游戏、建站、小程序八大制作工具及秀推智能营销平台，助力企业高效完成内容创意、传播获客、数据管理、效果转化的自营销闭环。
武汉市浅清环保科技有限公司是一家生产武汉化粪池,武汉玻璃钢化粪池,模压玻璃钢化粪池的武汉化粪池厂家,提供专业的湖北武汉玻璃钢化粪池施工方案,价格实惠,质量有保障.
浙江省职业能力一体化工作系统
湘潭市律师协会成立于1996年，2008年成立中共湘潭市律师协会委员会，2018年变更为中共湘潭市律师行业委员会。截止2025年7月，共有个人会员938名，团体会员41家，基层党组织30个(其中联合党组织4个)，党员284名。
民族乐器网整理了传统乐器，古典乐器；包含体鸣乐器，膜鸣乐器，气鸣乐器，弦鸣乐器；常见的有大鼓，战鼓，苗族猴鼓，木鱼，木琴，钹，长号，牛角，埙，口笛，扬琴，古筝，唢呐，二胡，大阮等；在这里你可以找到相关乐器的乐谱；更能学习到如何使用，保养等乐器知识；弘扬民族文化，传播民族音乐。
淘师湾是面向全国中小学教师、学生和家长的，以网络互动学习和信息服务为主要业务的网络社区开放平台，包括为教师专业发展服务的网络研训平台，为中小学学生课外学习服务的学习平台，成为数字校园重要组成部分的家校信息交流平台。
ZEAO展奥公关(021-56208016)专注于“高端公关活动策划上海年会策划,直播年会,上海活动公司,庆典活动,上海发布会策划,上海线上年会活动,上海答谢会策划,直播年会策划,直播发布会和品牌推广活动策划”的沪上知名公关公司，深入研究“高端公关活动策划、创意、执行、推广多年，有丰富的经验、运营方略与各种体验营销渠道相结合。我们致力于为您打造精准的品牌及产品推广及活动策划方略。
浙江海都电气有限公司
建站之家为您提供程序员开发者工具：px转rem、本机IP查询、Json格式化、UrlEncode、HtmlEncode、Md5加密、Base64、Guid、半角全角、时间戳、字符串长度、Json转实体、二维码生成、条形码生成、二进制、编码、解码、编程工具、在线工具
延安美易洁家政服务有限公司
四川东测仪器仪表有限公司(www.scdcgs.cn)是HD-ST-6振动速度传感器,HTD-6位移变送器,转速传感器CS-1供应商,公司技术力量雄厚，生产工艺先进，检测设备齐全，质量可靠，更有良好的售后服务和优质的解决方案。
很多游戏是非常好玩并且还不需要网络的，这些游戏可以出门在外的时候来体验，都是非常经典铁直热门的超高人气手游，如果有想了解既不要网络又好玩的游戏有哪些2023相关内容的话，可以来了解一下，都会让你爱不释手，五款单机游戏让你选择，1、，汤姆猫跑酷，汤姆猫跑酷，是玩家们非常喜欢的一款休闲跑酷游戏，给大家带来最传统的跑酷玩法，你需要操纵着自...。
雷锋网7月24日消息，华为云中国行北京站的现场，华为云公布了目前整体进展以及AI时代下华为云EI的理念和思考，并发布国内首个完整的公有云容灾备份解决方案——华为云Multicloud混合云灾备解决方案，华为云EI平台架构，数字化转型趋势已经进入到了非常关键时期，无论是政务云，还是企业，包括互联网领域都已经在加速做数字化的转型，，华为云...。
美国东部时间8月17日，谷歌正式发布了Pixel5A5G手机新品，与上一代4A5G相比，它在屏幕、电池和防水性等方面得到了进一步的提升，性能方面，Pixel5A搭载了高通骁龙765G移动平台，配以6GBRAM，128GBROM，外媒报道称，这款手机应用程序打开很快，没有注意到使用社交媒体等日常APP时有任何明显的延迟或故障，Pixel...。
1990年，皇后乐队灵魂人物、主唱弗雷迪的身体已经衰弱到几乎无法走路，他还在录制自己人生中最后一张专辑，录制专辑里最后一首歌的时候，吉他手担心弗雷迪太过虚弱无法唱出歌里的高音，在录音室里，他只回了一句，Illfuckingdoit，darling，，然后喝干一大杯伏特加，完成了乐队历史上最完美的一次录音，这首歌叫，TheShowMus...。
数通，即数据通信，这个名字朴实无华，却是智能设备，乃至整个互联网世界的神经，有着不可或缺的地位，数据爆炸、技术变革、效率提升......当下的万物互联，我们见证了高效通信与连接带来的惊喜，降本增效强需求下，竞争的底层逻辑已悄然发生转变，智慧物联领域，场景碎片化前提下，如何站在全局高度，让新一轮产品真正贴合市场需求，数据通信，是各类业务...。
MI小米10是一款配置高端的5G手机，其采用了12GB内存和256GB存储空间，机身颜色为钛银黑，这款手机集成了许多前沿技术，包括一亿像素，8K电影相机、新一代骁龙865，全系LPDDR5内存，UFS3.0闪存、WiFi6，5G、90Hz刷新率，180Hz触控采样率和4500mAh电池，50W快充等，这使得其价格高达4399元，小米1...。
棒棒鸡，古时称白脯，后发展于四川，现在，棒棒鸡由于在口味上的独特和在经营上的别具一格，很快得到了顾客的认可和喜爱，希望能时常成为您餐桌上的美味，棒棒鸡，醇香麻辣的红油鲜拌系列、清香微辣充满野山椒味道的跳水系列、爽润香辣的五香卤菜系列以及爽脆健康的素菜系列，都是经名厨指点，精心调配拌制而成，棒棒鸡是一个非常传统的老品牌，它有着非常传统...。
进入夏季以来，网约车拒开空调引发的争议始终，一些中央极其高温天气增多，叠加油价下跌，网约车与乘客之间的空调费矛盾更为突出，概略网约车司机与乘客，空调之争，频发，最终将如何平息，网约车司机和乘客之间的空调之争，也是让人觉得非常的头疼，乘客觉得自己支付了车费，就应该要享受相应的服务，而开空调也是服务之一，此前还因为网约车司机不给乘客搬行李...。
随着，上海名媛，男版名媛，相继刷屏，一条伪装有钱的产业链也曝光在群众背地，总是套路得人心，原本用来分享生存的好友圈，突然成了装腔乃至立功的利器……，你和我的倾城时光，人物介绍有哪些，你和我的倾城时光，该剧改编自丁墨的同名小说，讲述了都市白领林浅邂逅爱达集团总裁厉致诚，两人互相扶持、共同成长，并在过程中相识、相知、相爱的故事，你和...。
纸艺大师编辑器英文名PepakuraDesigner，是一款从3D模型作成展开图的软件，只按一个按钮即可作成展开图，再用各种纸编辑功能，可设计好看、有趣、容易作的展开图。
上网安全千万条，密码安全第一条
逆战纳米行星使者丽莎怎么获得？很多新手玩家朋友们可能不知道这次新角色丽莎具体获取方法是怎么样的，下面我们就来分享下逆战丽莎获得方法一览，希望对还不知晓的各位新手玩家朋友们有所参考,逆战纳米行星使者丽莎怎么获得逆战丽莎获得方法
逆战纳米行星使者丽莎怎么获得？很多新手玩家朋友们可能不知道这次新角色丽莎具体获取方法是怎么样的，下面我们就来分享下逆战丽莎获得方法一览，希望对还不知晓的各位新手玩家朋友们有所参考,逆战纳米行星使者丽莎怎么获得逆战丽莎获得方法
上网安全千万条，密码安全第一条
QQqq空间进不了。怎么办？【问题描述】：QQ空间，QQ空间应用等网页游戏不能运行【原因分析】：这往往是flash未安装或者版本过低造成的。我们通过重新安装flash解决，但是由于用户已经自行安装和软件推送等原因造成的flash损坏残留的问题，我们可以通过卸载再安装的方法解决【简易步骤】：【360安全卫士】—【软件管家】—【软件安装】-搜索flash。找到并运行【adobeflashplayerunintaller】-找到并运行【adobeflashplayerforIE】以及【adobeflashpla
UHD600显卡驱动是针对英特尔旗下uhd600型号的显卡打造的一款非常给力的驱动程序，有了这款程序，大家就能够发挥uhd600这款显卡的最佳性能
纸艺大师编辑器英文名PepakuraDesigner，是一款从3D模型作成展开图的软件，只按一个按钮即可作成展开图，再用各种纸编辑功能，可设计好看、有趣、容易作的展开图。
