E安全4月20日訊 賽門鐵克公司的研究人員們發現， iPhone 使用者在將設備與 Mac 工作站及筆記本進行配對時， 存在一項安全性漏洞 Trustjacking， 允許攻擊者利用這一缺陷在無需瞭解機主資訊的前提下接管目標設備。
攻擊者如何利用 Trustjacking？從技術層面來看， Trustjacking 安全問題源自 iTunes 當中的“iTunes WiFi 同步”功能。
如果在 iTunes 的設置部分啟用此選項， 在 Mac 筆記本/工作站使用者將新 iPhone 與其電腦進行同步時， 此功能會允許使用者允許通過本地 WiFi 網路接入自己的智慧手機， 這樣可以不通過資料線進行連接。 這項功能非常方便， 而且允許 PC 端通過 iTunes 程式以及 API 輕鬆檢索智慧手機中的資料或向智慧手機發送資料。
但賽門鐵克公司的研究人員們表示， 這項功能的設計當中存在缺陷， 其在 iPhone 設備與電腦斷開連接後， PC端 iTunes 仍可通過本地 WiFi 網路繼續訪問 iPhone。
本文源自E安全
攻擊者可通過本地 WiFi 控制目標 iPhone賽門鐵克公司研究與現代作業系統安全主管 Roy Iarchy 表示，
此外， 攻擊者還能夠在 iPhone 機主不知情的情況下下載安裝或刪除應用， 甚至還能夠觸發遠端備份、再將備份副本發送至攻擊者的電腦設備， 在從中提取受害者資料。
人們一般認為這種攻擊方式需要社會工程的參與， 因為 iPhone 機主至少需要點擊 iPhone 設備上的彈窗以同意與攻擊者的設備進行配對。 但這並不難實現， 用戶經常會在匆忙中連接陌生人的筆記本為手機臨時充電，
實際上在 Trustjacking 攻擊中， 感染 Mac 筆記本/工作站的惡意軟體可能利用自動化腳本啟用“iTunes WiFi 同步”功能， 而後對處於同一 WiFi 網路中的配對 iPhone 進行資料檢索或感染。 此外， 只要 Mac 電腦與配對 iPhone 處於同一 VPN 網路當中（而不僅僅是處於同一 WiFi 網路內）， 攻擊者將能夠跨越互聯網完成這一惡意操作。
本文源自E安全
賽門鐵克：Trustjacking 補丁尚未完成賽門鐵克方面表示， 其已經向蘋果公司提交了這一問題， 但蘋果提供的 Trustjacking 解決方案並不能讓研究人員們感到滿意。
蘋果公司給出的解決方案只是要求 iPhone 用戶在與目的電腦配對時輸入手機密碼。 這種解決辦法能夠避免他人快速拿起手機並將其與自己的筆記型電腦進行配對。
但賽門鐵克公司認為這樣並不能解決 iOS 系統當中存在的， 與配對電腦斷開連接之後仍允許對方檢索設備內資料的問題。 真正的攻擊者仍然能夠悄悄利用 iTunes 接入同一 WiFi 環境下的智慧手機。
Iarchy 在日前發表的博文中表示， “雖然我們對蘋果公司已經採取的緩解措施表示讚賞，
注：本文由E安全編譯報導,轉載請注明原文地址