蘋果漏洞預(yù)警之后，為什么沒有“吹哨人”？

出品 | 虎嗅科技組

作者 | 梁卡爾

編輯 | 苗正卿

頭圖 | 視覺中國

蘋果這次罕見高調(diào)提醒用戶更新iOS。

4月15日，蘋果公司通過服務(wù)號“Apple”發(fā)布了《更新iOS以保護你的iPhone免受網(wǎng)頁攻擊》，措辭十分直接：“如果你使用的是較舊版本的iOS，一旦點開惡意鏈接或訪問被入侵的網(wǎng)站，iPhone上的數(shù)據(jù)就可能被盜”。

蘋果格外強調(diào)，這次攻擊針對的是“過時版本的iOS”，并建議用戶盡快升級到最新版本，或啟動鎖定模式。

同一天，工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺（以下簡稱“NVDB平臺”）也發(fā)布信息稱，蘋果公司已緊急提醒iPhone用戶立即更新，以防范網(wǎng)頁攻擊，并建議用戶升級系統(tǒng)、安裝關(guān)鍵性安全更新，無法更新的設(shè)備可啟用鎖定模式。

時間向前看幾天就會發(fā)現(xiàn)，這次提醒并非只是一次普通補丁通知。4月3日，NVDB平臺就曾發(fā)布風(fēng)險提示稱，監(jiān)測發(fā)現(xiàn)有攻擊者利用針對終端漏洞利用工具實施網(wǎng)絡(luò)攻擊活動，影響范圍包括運行iOS 13.0至17.2.1的iPhone、iPad等蘋果設(shè)備。

攻擊方式并不復(fù)雜，通過短信、郵件或網(wǎng)頁投毒等方式，誘導(dǎo)用戶使用Safari瀏覽器訪問惡意代碼的網(wǎng)頁，再植入遠程控制木馬、竊取敏感信息，甚至獲取設(shè)備最高權(quán)限。

截至發(fā)稿時，蘋果公司并未明確此次更新是針對NVDB平臺的風(fēng)險提示。但把上述公開信息放在一起看，就可以形成一條完整的線索，平臺預(yù)警，廠商修復(fù)，平臺再擴散提醒。

比漏洞本身更反常的，是幾乎沒人愿意把這件事講清楚。

圍繞這次蘋果漏洞事件，虎嗅咨詢了多家頭部安全公司和研究機構(gòu)，結(jié)果很一致，都沒有給出更進一步的解釋。有人拒絕回應(yīng)，有人只愿意給出極為模糊的表述，有人選擇發(fā)報告，而不愿意正面回答這次風(fēng)險到底意味著什么：影響面有多大，舊設(shè)備用戶該如何判斷風(fēng)險，為什么風(fēng)險會集中落在舊版iOS上，普通用戶除了“趕緊更新”之外還有沒有更現(xiàn)實的選擇。

進一步追問就是，為什么在一場已經(jīng)公開預(yù)警的安全事件中，最懂的人反而不說話了？

原因沒那么簡單。現(xiàn)在的漏洞披露，早就不是研究員發(fā)現(xiàn)了就能出來講兩句的事。誰先報、什么時候能說、能說到哪一步，很多時候都卡在流程里。

越接近處置鏈條的人，反而越難開口。因為一旦牽涉到漏洞上報、廠商修復(fù)和平臺協(xié)同，公開發(fā)言的風(fēng)險往往比收益大得多。

結(jié)果就是，真正知道細節(jié)的人不說，愿意說的人又只敢說最穩(wěn)妥的話——“請立即更新系統(tǒng)”。

這話沒錯，但對很多用戶來說，基本等于沒解釋。

對于一臺還能順暢運行最新系統(tǒng)的iPhone來說，“立即更新”只是一個動作；但對于大量停留在舊版本系統(tǒng)上的老設(shè)備用戶來說，只能從忍受硬件不匹配下的糟糕體驗和花一大筆預(yù)算購買一臺新設(shè)備中作出選擇。

蘋果在公告里已經(jīng)說得很明白，這次風(fēng)險主要針對的是“過時版本的iOS”。NVDB平臺披露的影響范圍更為具體，覆蓋iOS 13.0至17.2.1。換句話說，真正暴露在風(fēng)險里的，很可能正是那批沒有及時更新、也未必愿意更新的舊設(shè)備用戶。

對不少老iPhone用戶來說，系統(tǒng)升級從來不只是面對“要不要更安全”的問題，還有“會不會更卡、更耗電、更影響日常體驗”的問題。甚至在早期區(qū)分運營商不同版本更新固件時，升級錯誤意味著用戶還要更換手機號碼才能使用，否則iPhone“秒變”iPod。

蘋果的長期系統(tǒng)支持一直是賣點，但落到老設(shè)備上，用戶感受到的常常是另一面，系統(tǒng)還能升級，體驗卻未必跟得上。

以前用戶糾結(jié)的是卡不卡、電量是不是下得快，現(xiàn)在連安不安全都要一起算了。

蘋果這次之所以反常，不在于它修了漏洞，而在于它罕見地把風(fēng)險說得足夠直白：惡意網(wǎng)頁、數(shù)據(jù)被盜、舊版iOS、鎖定模式。這些詞疊在一起，已經(jīng)說明問題不再停留于“理論上存在漏洞”，而是進入了需要公開提醒用戶立即行動的階段。

偏偏在這個時候，安全圈幾乎沒人愿意把這件事講明白。

對用戶來說，知道要更新，卻不知道這次風(fēng)險為什么主要落在舊版iOS；知道風(fēng)險和網(wǎng)頁攻擊有關(guān)，卻不知道自己是否屬于高暴露人群；知道無法更新可以啟用鎖定模式，卻不知道這意味著設(shè)備實際上已經(jīng)接近安全風(fēng)險邊界。

這幾年安全行業(yè)的變化很明顯，處置流程越來越完整，面對公眾時就越來越惜字如金。

這不只是某家公司不愿意說，而是整個行業(yè)的角色都變了。更準(zhǔn)確地說，這是安全行業(yè)角色變化的結(jié)果。安全公司越成為廠商和監(jiān)管體系中的協(xié)同節(jié)點，它就越難同時扮演一個面向公眾的解釋者。說多了有風(fēng)險，說少了最安全，沉默反而成了最穩(wěn)妥。

但問題是，行業(yè)選擇沉默的成本，最后并不是行業(yè)自己承擔(dān)，而是普通用戶承擔(dān)。

尤其是那些仍在使用舊設(shè)備、舊系統(tǒng)的人。他們收到的只是一個結(jié)果導(dǎo)向的通知：更新升級、打開鎖定模式，或者前往門店尋求幫助。

他們很難知道，自己究竟是在面對一個普通漏洞，還是一個已經(jīng)進入現(xiàn)實攻擊鏈條的高危風(fēng)險，也很難知道，繼續(xù)停留在舊系統(tǒng)上的代價，或許已經(jīng)從體驗下降變?yōu)槭グ踩雷o。

這套處置當(dāng)然不能算錯，但它也談不上是成熟行業(yè)該有的溝通方式。

一場影響這么多用戶的安全漏洞事件，公眾不該只收到一句“請盡快更新”。他們還需要知道：風(fēng)險到底有多大，誰最容易中招，繼續(xù)拖著不升級要付出什么代價。

如果這些問題永遠只能停留在“敏感”“不便回應(yīng)”“以官方公告為準(zhǔn)”，那安全行業(yè)再專業(yè)，也很難真正建立起公眾信任。

因為保障安全從來不只是修補漏洞，也包括把風(fēng)險說明白。

難怪有的手機行業(yè)分析師會說這對蘋果來說可能不是壞事。他們可能未必會因此調(diào)高蘋果接下來的出貨量預(yù)期，但他們相信有的用戶要買新手機了。

本文來自虎嗅，原文鏈接：https://www.huxiu.com/article/4851747.html?f=wyxwapp