美国棱镜门之后，为什么还有那么多国人鼓吹 iPhone 手机安全性高且值得信赖？

After the prism door in the United States, why do so many people advocate that iPhones are safe and trustworthy?

我在某信息安全媒体，管理过一年多时间的内容创作团队。这是前些年的事了。感觉这一年多是颠覆了我对 cybersecurity 的整体认知的。如果你每天都关注信息安全相关的新闻，就会知道，我们看科技界的“安全”“隐私”是很悲观的。从大方向来看，这是个几乎人人被扒光底裤的时代。包括每天在喊隐私的西方社会。

我没办法用短短的几段话来总结，那一年多我看到的东西。我们编辑部每天早上到办公室，做的第一件事情就是，在内部群分享自己看到的各种信息安全相关的新闻、资料、报告等，那里面的内容实在值得奇文共赏，很多东西是离奇到令人拍案叫绝，比电视剧、电影演得都有意思多了。

这里我列举几个能说的，且比较具有代表性的事件。具体的事件客体、时间之类我记不大清了，有兴趣的各位可以去考证一下，互联网上应该还会有对应的资料。

iOS 的三叉戟漏洞，和各国储备的 0day 漏洞

这是 iOS 9 时代的几个漏洞。我记得三叉戟漏洞被曝光的早上，我还在上班路上，老板微信上催促立刻更新闻，因为这在信息安全领域是个大事件。这一系列漏洞是当时某阿拉伯国家政府自己内部储备的 0day 漏洞。

所谓的 0day 漏洞，就是指尚未被公开，尤其开发者（或厂商）可能自己也不知道的漏洞。暗网黑市有比较多的 0day 漏洞在售。因为这些漏洞没有公开，理论上厂商自己也不知道，所以某些漏洞的价值是非常高的，尤其在信息窃取和监听方面。

真正有高度目标针对性的“信息窃取”或者“监听”，不是什么从支付宝转账之类相关金融的。我记得三叉戟漏洞主要是通过短信链接触发，点击链接后以多个漏洞和攻击链实现对 iOS 设备的窃听——可能还涉及到更多辅助攻击手段。不过当时这个漏洞被广泛认为是中东相关国家政府自己储备，用于监听国民的一种攻击手法。具体可以调用 iPhone 设备的哪些权限，我已经忘了，好像相关麦克风等远程开启之类的。

这种事情公布，也算是令人愕然的。当然，苹果在得知相关漏洞后就紧急发布了修复补丁。

但后续我们关注的信息多了就发现，西方国家的不少政府机构暗地里的同类操作是很多样的。我记得早年我们群里分享的一则信息是，德国某情报机构的窃听手段，是从手机供应链上游来给手机感染恶意程序（可能是预留后门），也就是手机在卖到用户手上，出厂就已经感染了恶意程序。

而且用于窃听的恶意程序，具备了极高的隐蔽性——它不是那种每天要出来秀给你看的病毒，也不是要勒索你钱财的勒索软件。

设备、操作系统、芯片供应商等任意环节，他们是否与这些国家的政府机构“合作”来做这些事，或者可能只是这些供应商的内鬼在预留后门，这些都是有可能的。所以从国家安全的角度来看，中国掌握自己的自主知识产权也显得非常重要，你永远不知道人家给你留了几手。

ShadowBroker 黑客组织公开过一波企业产品 0day 漏洞

我在信息安全行业工作的那一年，最活跃的一个黑客组织叫做 ShadowBroker——当然他们可能不只是一个组织。也是紧随棱镜门事件之后，异常活跃的黑客组织。

他们当时一个比较大手笔的动作是，攻陷美国 NSA（国土安全局）的服务器（可能还包括 CIA 等），并声称从中发现，NSA 储备了大量企业产品的 0day 漏洞和自己做的攻击工具，漏洞涉及到包括思科等大量安全企业的防火墙等相关产品。

因为很多商业企业在用这些安全公司的安全产品，所以 NSA 可以通过内部储备的漏洞，以及高端定制的攻击工具，攻入这些企业内部，并获取所需的信息。

为了表明这些漏洞的真实性，ShadowBroker 当时分批放出了一些漏洞包；并且后续将大部分内容在网上拍卖——而且是高价。事实上，当时他们放出的漏洞 PoC 等资源，确确实实对那些安全公司造成了影响；虽然绝大部分是旧版本系统的漏洞（他们声称，公开拍卖中的漏洞才具备更高的价值），但当时也的确有不少企业对此做出了快速的安全响应。

这表明 NSA 储备的这些漏洞是切实存在的，不管 NSA 有没有对企业做出过窃听动作。

当时 ShadowBroker 公布的漏洞包，也涉及到了国内某家安全公司的安全产品。我们在发布相关新闻后没多久，我就接到了这家安全公司的多个电话，请求将公开的 PoC 等资料删除，否则会对其客户的企业安全造成恶劣影响。我们后来也的确删了，表明这件事情具备了严重性。

雅虎安全部门的集体离职

在我负责这家媒体的内容那会儿，雅虎算是我们新闻报道的常客。这家公司也是黑客们的攻击重点，包括雅虎邮箱等各类服务。我记得有个事情影响甚大。

据说是雅虎（可能是旗下某个业务）的安全部门做例行的安全常规检查，结果发现存在一些极其隐蔽的异常流量（或某个无法确定是什么的程序）存在，而且其存在并不是近期才有的，而是至少可能持续了 8 个月以上。

因为其隐蔽性非常高，所以此前安全部门都没有发现其存在性。我记得似乎是通过对应的后门，可以获取到雅虎某个服务的各种用户信息，可能包括获取邮件通讯正文等内容吧。

这种攻击非常像 APT 攻击（高级持续性威胁）。一般企业或者国家之间的 APT 攻击具备高度隐蔽性，而且是长期持续的，一般攻击手法也非常精湛——一般的 APT 攻击在被发现的时候，通常可能都持续了很久，甚至可能潜藏了数年——东欧国家此前就有大量被攻击的先例。

这种事情，安全部门自然是要第一时间上报给高层的，因为属于非常严重的安全事故了。

但雅虎高层（貌似是当时的 CEO 梅耶尔本人吧）回应说，这是与米国政府的一个合作项目，切勿声张。这件事情在当时直接导致了雅虎 CSO 的离职，似乎还涉及到安全部门大量人员的集体辞职。

牛逼的隐写术和 sophisticated 的攻击手段

那段时间我很喜欢收集各种攻击的奇技淫巧，就是不需要用户交互，就能发起攻击或者信息窃取的手法。除了我很喜欢看的边信道攻击之外，还有一些比较有意思的攻击方法。

我印象比较深刻的是一些隐写术。隐写术和数据加密传输是不同的，是在现成的明面通道，以隐蔽的方式传递信息，此前比较具有代表性的是图片木马 stegoloader——一张看起来没什么异样的图片，攻击 payload 可能就隐藏在像素信息中，从肉眼其实都很难分辨出包含了隐写 payload 代码的图片，和原图片有什么区别。配合一些攻击链条，包括漏洞组合，就能在你看到图片的情况下，神不知鬼不觉地实现对隐私信息的收集…

我记得当时有一个令人叹为观止的恶意广告攻击，就应用了隐写术，在网页上显示，看起来只是普通的广告，似乎 payload 只影响到了图片显示的部分像素，表现在图片上是有一些噪点；然后借用 flash 存在的一些漏洞，以及对网站的劫持，来实现远程代码执行之类的操作。具体的忘了，有兴趣的可以去搜一下 stegoloader。

很多安全公司针对网络攻击的手法，都很喜欢用一个形容词，就是 sophisticated。这个词对于网络攻击，其实算是一种称赞，它不仅是指复杂，有时候也表现出攻击手法本身的精致、独到。

这部分我想表达的是，网络攻击真的是防不胜防的。你可能觉得钓鱼邮件很蠢，但如果钓鱼邮件具备了极高的目标针对性，比如说是为你定制的——邮件中包含了很多相关你个人的信息，不是冷冰冰的什么你得奖了，请来领奖之类的信息。

甚至在你点击邮件中的恶意链接后，还真的是看起来与原模仿的网站几乎完全相似的界面，甚至连域名都能以假乱真；或者在局域网内，以漏洞组合（如 TCP/IP 协议栈的漏洞）做中间人攻击，让你在看起来根本就是企业官方网站的页面上填写你的个人信息，没有多少人能防得住。

国家之间，具有国家背景的 APT 攻击组织，以及具有高度目标性的 APT 攻击行为就不列举了。之前听过信息安全相关的一个闭门论坛，有专家提到了，现在几个大国每隔一段时间发布一份 APT 攻击报告——其中巨细无遗地分析，某某 APT 组织的攻击手法，以及它疑似来自哪个国家——可能是具有国家背景支持的 APT 攻击组织——这些报告甚至已经成为震慑别国政府的重要手段。

赛门铁克、卡巴斯基定期都会出分析报告，这些攻击已经与政治存在极大的关联性，也是各国获取情报的组成部分。所以我们国家前几年就已经把网络空间上升到国家安全高度。

就说这么多吧，这些都是明面上公开的已知信息，也没什么大不了，只是冰山一角。我想说的是，棱镜门、ShadowBroker 这类事件是层出不穷的，普通消费用户其实对此并没有什么办法——基本上你只能选择无视这些东西，尤其是如果你还想用科技产品的话。数字世界哪来的什么隐私和安全？

这是个很悲观的论调，但如果你长期观察信息安全行业，就很容易得出这样的结论。我已经很久没在关注这个行业了，或许他们内部又出现了更多爆炸性事件。

棱镜门、ShadowBroker 这类都是很严重的事件了，如果关乎到 APT 攻击了，我们这些屁民真的不需要凑什么热闹，毕竟动用到 0day 漏洞和高度目标针对性的攻击，成本也是相当高的。你又不是什么机要人员…

在此基础上，应对商业企业，或者至少明面上的隐私信息追踪，iOS 还有一些控制权，或者说面向用户的操作空间会明显更大——就好像现在那个“不追踪”按钮，起码对各种 app 在明面上是真实有效的。至于严重到某些政府机构自行储备 0day 漏洞（不管是他们自己找安全专家去挖漏洞，还是去暗网直接掏钱买），除非人人变身信息安全专家，否则就真的不用去操心了。

安全行业有个比较有意思的人，McAfee 创始人 John McAfee 就发表过很多有趣的言论，它就是对信息安全彻底悲观的一个人，有兴趣的可以去搜一下。之前我曾经采访过他，他用的手机甚至都是宣称经过自己的改造的，因为他认为要防住西方国家的那些机构真的不容易。

前两年写过一篇文章，可做视野开拓之用，整体是比较透明公开的信息，开篇就提到了用即时通讯 app，只要你收到一个信息，不需要做任何交互，你就能被攻击：