蘋果被曝存手機應用密碼被盜巨大漏洞

　　漏洞發(fā)布者“蒸米”描述稱，iOS上存在漏洞，黑客可以通過對URL Scheme（網(wǎng)頁地址協(xié)議）進行劫持，可在未越獄的蘋果系統(tǒng)上盜取支付寶和微信支付的賬號密碼，而且在目前最新的iOS8.2版本中，這一漏洞仍未被修復。由于該漏洞是系統(tǒng)漏洞，因此影響所有iOS應用，其中包括支付寶等支付軟件。

　　騰訊手機管家安全專家陸兆華告訴記者，該漏洞并非網(wǎng)傳的那么神秘，其實很多業(yè)內(nèi)人士和技術(shù)開發(fā)人員都知道這一漏洞，但是由于產(chǎn)品的很多功能都要用到網(wǎng)頁地址協(xié)議，因此很多人不得不選擇繼續(xù)使用。

　　什么是網(wǎng)頁地址協(xié)議？陸兆華介紹，這是手機應用從一個應用跳轉(zhuǎn)到另一個應用的中間橋梁，例如一些團購應用在支付環(huán)節(jié)時需要跳轉(zhuǎn)到第三方支付工具的頁面中。由于蘋果iOS系統(tǒng)沒有對響應的權(quán)限管理、校驗等機制進行保證，黑客就可以在用戶操作不同應用間跳轉(zhuǎn)時插入惡意手機應用生成偽裝頁面，誘導用戶輸入賬戶和密碼等信息。

　　25日，微信方面回應表示，經(jīng)過核查，暫未發(fā)現(xiàn)針對微信的此類惡意軟件，“為避免該漏洞產(chǎn)生安全風險，我們已通過技術(shù)手段對該漏洞進行應對，增強微信iOS防護措施，實時監(jiān)測并攔截惡意軟件。”

　　微信相關(guān)負責人表示，即使用戶的微信賬戶信息被通過不法手段獲取，在新設備登錄時還需要通過手機短信驗證，否則同樣無法登錄微信并使用微信支付。

　　支付寶25日同樣回應表示，已對支付寶錢包進行了升級，通過技術(shù)手段對惡意軟件進行檢測和攔截。

　　究竟該如何把這一漏洞從源頭上“消滅”？ 陸兆華表示，蘋果可以通過限制手機應用的ID濫用來保證網(wǎng)絡地址協(xié)議的安全。對于第三方軟件而言，則需要通過增加安全檢測，例如檢測網(wǎng)頁地址協(xié)議是否被劫持、獲得網(wǎng)頁地址協(xié)議處理順序等等來防止自身被劫持。

　　陸兆華建議，在蘋果官方未修復此漏洞之前，盡量不要安裝來歷不明的軟件，特別是企業(yè)證書類軟件。此外要養(yǎng)成良好的下載APP的習慣，選擇知名度較高的手機應用，無論越獄與否盡可能都在蘋果應用商店中下載。