苹果邮件加密不完全 部分内容仍被存储在系统文件

subtitle 网易科技报道11-09 13:24
打开网易新闻 查看更多精彩图片

网易科技讯11月9日消息,据国外媒体报道,苹果声誉很大程度上取决于其如何保护用户的隐私,其也希望成为用户唯一信任的科技公司。但是,如果用户从苹果邮件应用程序发送加密邮件,目前有一种方法可以从macOS系统中读取这些邮件中的某些文本,就好像它们没有加密一样。据说,苹果几个月前就知道这个漏洞,但没有提供任何修复。

需要指出的是,这一漏洞只会影响到少部分用户。只有通过苹果邮件发送加密邮件,没有使用FileVault加密整个系统的用户,而且确切知道在苹果系统文件中查找相关信息才会发现到这一漏洞。

苹果表示,其已经意识到了这个问题,并表示将在未来的软件更新中解决这个问题。该公司还表示,服务器只是存储了部分电子邮件内容。但事实是,苹果仍然会以某种方式将部分用户明确的加密邮件公开,这显然会造成不好的影响。

专注于研究苹果的IT专家鲍勃·金德勒(Bob Gendler)周三在一个媒体博客上分享了这一漏洞。金德勒说,在试图弄清楚macOS和Siri如何向用户推荐信息时,他发现macOS数据库文件存储了来自用户电子邮件和其他应用程序的信息,然后Siri会利用这些信息向用户推荐更匹配的信息。这本身并不太令人震惊,苹果需要参考和学习用户的一些信息,提供更好的Siri建议。

但金德勒发现了其中一个名为snippets.db的数据库文件以未加密文本的方式存储了本应加密的用户电子邮件。

从下图中可看出,左边的圆圈中是一封加密的电子邮件,金德勒在删除私钥的情况下无法读取邮件内容。但是在右边的圆圈中,金德勒可以在snippes .db中辨认出加密邮件的文本内容。

金德勒说他测试了最近发布的四版macOS系统,分别是Catalina, Mojave, High Sierra和Sierra,发现都可以读取snippes .db上的加密邮件。现在,不少用户都能够确认snippes .db的存在,也发现其存储了用户通过苹果邮件发来的部分加密。

金德勒在7月29日第一次向苹果公司报告了这个问题,他说直到11月5日,也就是99天后,公司才给他提供了一个临时的解决方案,期间他们与苹果公司就这个问题进行了多次对话。尽管苹果已经更新了macOS的四个版本,其中Gendler在报告后的几个月里仍然能够发现这一漏洞,这些更新都没有包含真正的修复。

如果用户想阻止苹果系统将电子邮件内容收集存储到snippets.db中,苹果表示可以通过点击进入系统设置> Siri > Siri建议&隐私>邮件,然后切换 “从这个程序中学习”。金德勒说,苹果所提供的这种临时解决方案只会阻止新邮件被添加到snippets.db中。如果用户想确保可能存储在snippes .db中的旧电子邮件内容不会再被扫描,你可能需要删除该文件。

苹果公司表示,如果用户想避免这些未加密的片段被其他应用程序读取,可以限制macOS Catalina操作系统为应用程序提供完整的磁盘访问权限。苹果还表示,如果你想要更加安全,那么打开加密措施FileVault可以加密Mac上的所有内容。

同样,这种脆弱性可能不会影响那么多用户。但如果用户认为苹果邮件内容是完全加密的,那就错了。正如金德勒所说,“它提出了这样一个问题:在用户没有意识到的情况下,还有哪些内容会被跟踪并可能以不恰当的方式存储。”(辰辰)

打开网易新闻,阅读体验更佳
大家都在看