# iOS 安全漏洞影响扩大，核心软件不能幸免

- 作者：岳 恒
- 发布时间：2014-02-24 09:52
- 分类：公司
- 原文：https://www.ifanr.com/403388

[![ios7-vs-ios6_600x375](https://s3.ifanr.com/wp-content/uploads/2014/02/ios7-vs-ios6_600x375.jpg)](https://s3.ifanr.com/wp-content/uploads/2014/02/ios7-vs-ios6_600x375.jpg)

先前苹果曾宣布发现一个 iOS 加密系统中的关键漏洞，需要尽快修复，接着其他研究者发现这个漏洞同样存在于 OS X 和 Safari 中。

现在另一位研究者还发现，这个漏洞的影响远不止是 Safari 浏览器，邮件 、FaceTime 、iMessage 甚至苹果内置的软件升级系统都受到[影响](http://www.forbes.com/sites/andygreenberg/2014/02/23/apples-gotofail-security-mess-extends-to-mail-twitter-imessage-facetime-and-more/)。

上周日，隐私保护研究员 Ashkan Soltani 在 Twitter 上贴出了一部分使用了同一 TLS 和 SSL 加密代码库的软件。他用红线在图中标出了软件名称，可以看出诸多内置软件都名列其中。

[![Screen-Shot-2014-02-23-at-4.57.40-PM-e1393192763707](https://s3.ifanr.com/wp-content/uploads/2014/02/Screen-Shot-2014-02-23-at-4.57.40-PM-e1393192763707.png)](https://s3.ifanr.com/wp-content/uploads/2014/02/Screen-Shot-2014-02-23-at-4.57.40-PM-e1393192763707.png)

Soltani 表示，通过中间人攻击（Man in The Middle Attack），黑客可以在用户不知晓的情况下安装监控软件。更火上浇油的是苹果软件升级系统也受到了影响，也就是说苹果给 iOS 和 OS X 推送软件安全更新的工具也可能被黑客攻陷。

而说起这个漏洞的源头，则是一个活生生的“论良好程序架构”例子。这个被安全社区命名为 “gotofail” 的漏洞源于苹果软件代码中一个使用不当的 “goto” 语句——几乎所有学习过程序设计的人都被告知应竭力避免使用臭名昭著的 goto 语句。

[![Marc-Da-Cunha-Lopes-Photography-12_550x375](https://s3.ifanr.com/wp-content/uploads/2014/02/Marc-Da-Cunha-Lopes-Photography-12_550x375.jpg)](https://s3.ifanr.com/wp-content/uploads/2014/02/Marc-Da-Cunha-Lopes-Photography-12_550x375.jpg)

安全公司 Crowdstrike 及 Google 的工程师迅速分析了这个漏洞，发现它同样存在于 OS X 中。工程师们建议大家在苹果修复该漏洞前远离不被信任的网络链接，并尽量不要使用 Safari 。

随着漏洞带来的影响越来越大，苹果也已经表示将会“迅速”发布相关补丁。但考虑到众多受此影响的软件需要修复，补丁可能不会太快推出。

题图来自 [ziogeek](http://ziogeek.com/ios-6-vs-ios-7-icone-a-confronto/)、插图来自 [cas](http://wiki.cas.mcmaster.ca/images/3/38/Man_in_the_Middle.jpg)