近日Okta安全公司的研究人員針對Apple(蘋果)，旗下macOS和OS X等作業系統進行安全性檢查，結果在macOS和OS X系統中找到了一個代碼漏洞，此漏洞會造成系統的防禦機制遭受破壞，該公司在部落格當中提到此漏洞所造成的影響與危機，這個漏洞到底是什麼呢？



此漏洞主要的問題在於：「它會影響所有使用官方程式碼簽章的應用程式介面(Application Programming Interface，API)的第三方安全驗證以及響應工具。」代表來自Google、Facebook或是其他公司的應用程式，都將無法識別惡意軟體是否真的是惡意軟體。此時程式碼簽章就有其必要性，例如如果軟體是由Apple公司所同意簽署的，安全工具會認為它來自一個受任信的起源代碼，是沒有經過修改的狀態。但Okata的研究人員發現此漏洞，macOS和OS X系統中的某些版本，竟然能夠允許駭客讓他們的惡意軟體與未經簽名(未經過審查)的軟體，看起來像是經過Apple公司簽署的！

小編於底下附上Otka公司所發表的部落格原文，也幫各位玩家們簡略的翻譯之：

想像一下，一個複雜的外在威脅竟然能透過欺騙用戶下載並執行系統認定為安全產品與假性安全的惡意代碼所帶來的危機嗎？他們不只可以獲得使用者個人電腦上的數據、財務細節與敏感的內部資訊等等，根據Okta的研究與開發團隊(REX)今天所公布的研究，這種情況確實會發生。

Okta REX在所謂的「代碼簽名」中發現一個漏洞，它極具效力的允許任何惡意程式攻擊並模仿Apple的電腦，並且可直接允許惡意代碼在macOS中還能不被察覺(至少在重置與刪除惡意文件之前)。直至現在，在美國大約有91%的企業都使用Mac電腦，依靠Carbon Black、Facebook和Google所提供的安全工具保護自己的電腦，而這樣的趨勢也逐年成長，人們與企業使用Mac的原因有很多，不論是易用性、可靠性或安全性都是相當中藥的因素。

Okta REX的研究員Josh Pitts創造了一個畸形的程式碼，針對我們所依賴的安全產品進行破壞，而當代碼被破壞的時候，它看起來卻像是Apple電腦本身自行授權的，此漏洞正是利用「代碼簽名」的標準化過程找到漏洞。意即再使用公鑰基礎編譯後的淡馬或是程式語言進行「認可」之後，就能夠使一個軟體看起來像是來自一個可信的源頭，因為它已經取得Apple電腦的批准，並且不會針對使用的代碼有任何修改的動作。

所有使用官方代碼簽名API的第三方安全性驗證與事件響應工具都會受到影響，Okta也與領域當中的最頂尖的安全供應商合作，包含Google、Facebook、Varbon Black和VirusTotal等等。因為透過此漏洞，有心人士甚至可以欺騙最了解安全的人，繞過大多數終端用戶的在使用電腦時、寫程式時都不知道或根本沒考慮的核心安全功能，況且，隨著工作場所與個人生活應用的不同與狀況，有心人士很容易利用此漏洞。

最後，Apple對此漏洞也提出看法，Okata在2月20日首次與Apple分享了這個漏洞，Apple聲明表示他們並不認為這是一個安全問題，他們應該可以直接解決此問題。最後他們將會更新其文檔，並且更清楚的了解漏洞。若是有讀者們使用的是Apple的iMac、Macbook等產品的話，最近就要稍微注意一下自身連接網路時的網路可靠性，以免被有心人士攻擊！

延伸閱讀

(01) Apple發表Living Hinge專利，真要將MacBook與iPad合而為一？
(02) Apple計畫iOS 12開放NFC，未來iPhone將能夠用來搭車開門
(03) 當科幻成為科技，Apple新專利宣告即將擺脫物理鍵盤的枷鎖？