“很多人都认为，所有东西都存在我的电脑上。但要我说，当你越来越频繁地上传数据到网上和云端时，你对这些数据的掌控力将变得越来越薄弱。”苹果联合创始人斯蒂夫·沃兹尼亚克(Steve Wozniak)两年前直言不讳的说。
两年后，苹果在云安全上的“无所作为”成为了众多女明星的噩梦。上周，包括90后奥斯卡影后詹尼佛·劳伦斯在内的一众好莱坞女明星的私密照片曝光在网上。尽管目前没有确凿证据认定iCloud是此次事件的祸源，但根据首次公布这些私密照片的攻击者，他是通过入侵女明星的iCloud账号才获得这些照片。
和以往采取“社交工程”(social engineering)等方式不同，这次的攻击直戳苹果数据安全的软肋。周一，Github出现了一个python脚本，允许恶意用户暴力破解目标用户的iCloud密码，该脚本利用了Find My iPhone服务上的一个漏洞，黑客能够无限制猜测用户的密码，试到正确的密码为止。在此期间，苹果公司未对次攻击作出任何阻止，用户没有收到任何警告，账号也未被锁定。
暴力破解，通常需要目标用户的iCloud邮箱地址以及一连串可能性高的密码。利用这个弱点，黑客可以不限次数尝试各种账号密码组合，一旦得手后，就能获取所有存储在iCloud上的照片视频等文件。
我们可以看一下iCloud的安全协议，苹果称，iCloud上的数据在服务器上和传输途中都是通过加密的。比如照片，通过AES128 bit加密。
对iCloud用户而言，你的账号和用户名并不存储在应用上，如果第三方应用需要访问iCloud，苹果将通过SSL协议传输账号和密码。这就意味着，如果你的密码足够安全和复杂，当你的数据从手机或PC端上传到服务器上时，很难被其他用户拦截。
尽管对外宣称如此，但苹果在用户账户安全保护上一直是“劣迹斑斑”。早在两年期，《连线》杂志记者Mat Honan就经历了这场噩梦。黑客首先通过亚马逊获得Honan的Apple ID账号，删除了他在iPad，Mac电脑和iPhone上所有的数据，继而又侵入他的Gmail，获取了他的Twitter账号。
在苹果为旗下服务提供双重验证之前，iCloud的安全性极其不堪。你只要打电话给苹果的技术支持，提供用户的邮箱、账单地址、以及和这个账号绑定的信用卡后四位数，就能获取该用户Apple ID的密码。
在密码保护上，亚马逊显然比苹果还“懈怠”。只要获取用户的姓名、邮箱和邮寄地址，就能修改密码，而黑客一旦入侵目标用户的账号，就可以看到该用户信用卡卡号的后四位数。
“对亚马逊而言，信用卡后四位数是如此的无关紧要；但同样是这四个数字，却是验证苹果iCloud账户身份的重要凭证。”Honan在其专栏写道。
Honan事件后，苹果为旗下的iTunes和iCloud配备了双重验证机制，一旦开启该选项，用户在其他设备上登陆这两个账户时必须输入发送到手机上的动态密码，关于你的iCloud和Apple ID被访问的消息也会弹出在所有与之绑定的设备上。
双重验证意味着用户在登陆账号时，除了账号密码这一屏障外，还有一个四位数字的验证码的保护。但俄罗斯安全研究员Vladimir Katalov却撰文指，无论是iCloud还是Find My iPhone服务，都不在苹果双重验证机制的保护范围内。“iCloud的数据可以被任意的远程下载，而用户却可以对此一无所知。”
根据苹果的安全协议，双重验证机制是一个可选项，“启动该选项可以降低其他用户访问你的账号或者不经授权修改你的账户信息的可能性。”但在Katalov看来，苹果对此并不上心，黑客仍有机会绕过双重验证入侵用户的账号。
Katalov说，苹果的双重身份认证并不会阻止任何人在一台新(或不信任)的设备上恢复iOS备份。更重要的是，这个机制并不适用于iCloud备份，只要知道用户的Apple ID和密码，任何人都可以下载和访问存储在iCloud上的信息。这很容易验证：你登陆iCloud账号，就可以看到所有存储在云端的信息，无需提供额外登陆信息。
国内一家云服务公司的创始人对记者说，通常情况下，异常的登陆行为应该被检测出来。他认为，苹果接下来应该对所有软件的接口做漏洞排查；加强对用户登陆行为的监测，对每个登陆IP进行有规律的风控。
他强调说，“苹果在用户信息安全上的经验远远不够。漏洞可能无法避免，但任何提供云服务的公司对用户信息安全的责任重大。”
(责任编辑：DF134)
相关：
圆明园遗址九成实现数字复原 包括41个景区华夏经纬网 2014-09-03 15:01:23(记者董城)由我国80余位专家学者历时15年潜心研..
邓小平思想生平研究会成立 邓榕称将全力支持华夏经纬网 2014-09-03 14:44:51中新网北京9月3日电(上官云) 3日上午，中国中..