正确的提示信息

扫码打开虎嗅APP

从思考,到创造
GO!
搜索历史
热搜词
2019-09-16 12:01
苹果搜索安全二三事

文章来自微信公众号:栈外,原文标题:《Ben Thompson:搜索与安全,苹果的公平与坦诚》,作者:Ben Thompson,头图来自:东方IC


每次新的iPhone发布,都会是媒体的焦点。新处理性能如何优越,架构如何先进;屏幕有多绚丽,相机是怎样的精密。不仅美、新、精是众人关注的目标,感叹苹果创新乏力、进步缓慢或是市场波动的负面论断也能掀起层层波浪。


苹果曾标榜自己为每一位开发者提供了公平竞争的平台。但当其自身参与到App Store的激烈竞争中,并成为最大的竞争者之一的时候,公平似乎已经成为选择性使用的工具。


iOS的安全性一直是消费者所追逐信赖的目标,也是iPhone众多闪亮品质中较为突出的一颗明星。但面对Project Zero的提醒,苹果并没有拿出与自身商业规模相匹配的坦诚,反而是回避与否认来自对手的提问。


苹果是一家伟大的公司,但正如任何一部手机摔在地上都会破损一样,苹果也有自身无法回避的问题。



App Store涉嫌操纵排名


《纽约时报》报道:


纵观App Store的搜索结果,排名前几位的是在线经济中竞争最为激烈的排位战。App Store去年的营收超过500亿美元,并且苹果表示,三分之二的应用程序下载始于搜索。


但是,苹果自身已成为App Store最大的竞争者之一,但同时,在美国,俄罗斯和欧洲,怀疑苹果操纵搜索结果,向利于自身发展方向倾斜的言论,已经成为反垄断投诉的中心诉求。


《纽约时报》对应用分析公司Sensor Tower汇编的6年内搜索结果进行分析显示:最近,苹果的应用程序在App Store至少700个搜索词分类中排名第一;并且,有一些搜索结果在显示竞争对手的应用之前,排名前14的都是苹果的应用。(虽然竞争对手可以通过广告付费的方式让自己的产品更靠前)


《纽约时报》的这篇文章《苹果如何通过控制App Store来击败竞争对手的应用》算不上很新颖,《华尔街日报》在2019年7月也发表了同样的报道。除了平台所有者偏爱自己的应用程序所引发的现实问题之外,有三件事情值得注意:


第一,这篇文章的呈现方式较为新奇。我觉得马修·潘扎里诺(Matthew Panzarino)在2019年9月9日的推特上已经说的很清楚了:


十有八九,我都会觉得花哨的动图只会沦为不必要的新闻素材,但这次图片却十分吸引人。我觉得你能意识到鼠标在滚,但不曾想到它竟然滚动了这么多。


第二,下面这张静态图片值得重视:



注意到2019年7月的下跌,《纽约时报》这样写道:


苹果的工程师表明,他们在过去的几个月中,已经注意到算法是如何将搜索结果与苹果开发的应用绑定在一起。他们首先在特定的搜索类别中停止了该算法的应用,并在7月扩大到全部苹果开发的应用中去。


2019年7月12日,许多苹果开发的应用程序在热门搜索中的排名大幅下滑。“电视(TV)”搜索中排在前列的苹果应用数量从4款降到了2款,“视频(Video)”和“地图(Maps)”搜索中从3降低到了1。苹果钱包(苹果 Wallet)在“货币(Money)”和“信贷(Credit)”中让出了榜首的位置。


《华尔街日报》上关于苹果疑似不正当搜索结果的文章发布于2019年7月23日;7月12日的算法变更释放出一个信号,可能苹果被要求在接下来的几周内对这篇文章发表评论。《华尔街日报》旧金山分社的高级副社长是这么认为的:


斯科特·奥斯丁(Scott Austin):当《华尔街日报》询问苹果搜索问题的时候,苹果承认在7月份改变了App Store的算法。现在,《泰晤士报》也证实了我们的报道。


杰克·尼卡斯(Jack Nicas):根据SensorTower的数据,随着时间的推移,以苹果为榜首的搜索份额一直在上升,随着iOS的每一个新版本的推出,搜索份额都在上升。2019年7月,苹果表示改变了应用程序商店的搜索算法,很多苹果应用程序的排名都有所下降。 



这就引出了这个故事的第三个惊人之处:苹果高管菲尔·席勒(Phil Schiller)和艾迪·库伊(Eddy Cue)的言论有点难以置信。他们这样回应7月份算法的改变:


算法一直运行正常,他们只是决定限制自己去帮助其他开发者。


库依说:“我们一直在犯错。”


席勒说:“但我们很乐意承认错误,认错是正确的行为。”


上述报道写道:


《泰晤士报》的分析揭露了其他一些苹果开发的应用取得成功的例子,同样令人惊讶。2019年3月25日,苹果推出了一款可以通过苹果 Wallet使用的品牌信用卡。第二天,在“货币(Money)”、“信贷(Credit)”和“借款(Debit)”这些搜索类别中,苹果 Wallet就占据了榜首,而在此前从未有过这样的情况。


库伊和其他的高管推测,苹果 Wallet应用的营销团队在应用的基本描述中添加了“货币”、“信贷”和“借款”等词语,让它在这些搜索结果出现。


然后人们搜索这些词,发现苹果 Wallet并点击了它,这就告诉算法:这应该是首选的结果。


席勒说:“我们只能告诉你,我们并没有做任何事情来推动这一趋势——也就是说,除了推出一个很棒的钱包、一张苹果信用卡,并大力推广它之外。”


我总觉得在新闻故事中阅读太多的引言不是很好,我看到过也经历过为了完成当天内容而强行引言的情况。尽管这样,下面这个例子还是难以置信:2018年末,苹果的应用占据了“音乐”分区的前八名,而Spotify是第23名。但是在Spotify向欧盟提起诉讼之后,算法竟然奇怪地自动修复了排名。老实说,如果苹果高管坦诚地说“他们确实操纵了搜索结果,因为他们觉得这样对用户更好”,我感觉会好些。


我也要承认,这篇报道削弱了我对议员伊丽莎白·沃伦(Elizabeth Warren)相关言论的批评——他当时狠狠地批判了苹果。我现在也很怀疑,Amazon在平台上主推自己的产品是否具有关键意义,零售业自有品牌的长时间运营对消费者有好处,并且Amazon自营商品只有个位数的市场份额。


苹果掌有iOS系统安装应用的生杀大权,这更令人担心。只要苹果有这样的权力,我就对它的变现规则感到不悦,对围绕操纵搜索结果的担心也越来越重。的确,苹果应该从App Store的创造中获利,并且也因该为提供平台实现这些创新而得到赞扬。但是,这并不意味着它需要积极地避免与其他竞争者的公平竞争。


苹果与Project Zero


这个故事有些跌宕起伏,所以我先总结发生了什么,然后再细细分析。首先,谷歌的Project Zero团队发表了一篇文章,题为《深入研究暴露在外的iOS漏洞链》。


Project Zero的任务是让黑客不能轻易发起零时差攻击(zero-day,零日漏洞,又叫零时差攻击,是指被发现后立即被恶意利用的安全漏洞。通俗地讲,即安全补丁与瑕疵曝光的同一日内,相关的恶意程序就出现。这种攻击往往具有很大的突发性与破坏性)。Project Zero团队经常与其他公司合作,发现并上报安全漏洞,最终目标是倡导提升流行系统的结构安全性,从而保护各地的用户。


今年早些时候,谷歌的威胁分析小组(TAG:Threat Analysis Group)发现了一小批被黑客入侵的网站。黑客通过这些网站对访问者进行无差别的水坑攻击,使用就是iPhone零日漏洞。


这样的攻击是无差别的;仅仅是访问了被黑客入侵的网站,你的设备就会漏洞服务器的遭到攻击。成功入侵之后,访问者的电脑还会被装上监视器。Project Zero估算这些网站每周有成千上万的访问者。


威胁分析小组收集了5个独立完整且专属于iPhone的漏洞链,几乎覆盖了从iOS 10到最新iOS 12的所有版本。这表明,在至少两年的时间里,某个组织一直在攻击某些iPhone用户。


威胁分析小组表示,他们将调查已选出的漏洞的根本原因,并讨论一些可以从苹果软件开发生命周期中获得的见解。而他们强调的根本原因并不新鲜,而且经常被忽略:一些似乎从未生效的代码案例、可能跳过质量验证(QA:Quality Assurance)的代码,或者是在交付给用户之前可能很少进行测试或审查的代码。


然后,上述文章的后七篇文章深入探讨了这些漏洞是如何工作的,它们在iOS中利用了哪些漏洞,以及苹果在开发过程中可能犯下的哪些错误导致了这些漏洞的出现。我说的“深入探讨”,并不是在开玩笑:我详细数了,这八篇报告的单词数(包括我在开头引证的导语)超过36,000个。虽然大量的代码例证增加了单词数量,但这也证明这系列文章确实是在深入探讨,并且很明显不是写给普罗大众看的。


作为一点背景知识,Project Zero是谷歌的一个团队,致力于搜索所有技术公司及其相关产品的漏洞。他们的目标较为崇高,尽管该团队曾因其90天政策的严格性而受到批评。在90天政策中,该团队会在向相关公司报告漏洞的90天后,公开发布有关漏洞的帖子。批评人士指出,90天的规定似乎并不适用于谷歌自身。


在这种情况下,公开发表仍然暴露在外的漏洞并没有什么问题:苹果于2019年2月7日修复了这些漏洞,同时Project Zero团队得到了表扬。坦诚来说,Project Zero过去两内年的文章不论是关于Chrome, Android,Windows,WhatsApp,还是iOS,都仅仅是对一个有趣的漏洞进行认真的探索。


然而苹果却不这么认为,企业通讯部总监弗雷德·塞恩兹(Fred Sainz)签署了一份令人震惊的声明,将矛头对准Project Zero的文章(甚至都没有补上链接)。在此我引用了苹果这篇《有关iOS安全性的通报》全文:


上周(指谷歌发表长文的日期),谷歌发表了一篇博客,讨论了苹果在2月份为iOS用户修复的漏洞。我们收到了一些客户的投诉,他们对其中一些说法表示担忧,但我们希望确保所有客户都能了解事实真相。


我在这里插了一句,强调一下“博客”这个词。也许他们使用“文章”这个词,会不会可信度更高?


首先,谷歌在iOS补丁发布6个月后发布的这篇文章,给人留下了“大规模利用”的错误印象,即“实时监控整个人群的私人活动”。这在所有iPhone用户中引发了焦虑,他们担心自己的设备已经被盗用了。但事实并不是这样。


其次,所有证据都表明,这些网站攻击只持续了很短的一段时间,大约两个月,而不是谷歌所指的“两年”。我们在2月份修复了漏洞——在我们了解到这个问题仅仅10天后,我们就非常迅速地解决了这个问题。当谷歌找到我们的时候,我已经开始修复工作了。


维护安全是场永无止境的旅行,我们的客户可以相信,我们时时刻刻都在为他们着想。iOS的安全性无与伦比,我们对硬件和软件的安全性承担着端到端的责任。我们全球的产品安全团队不断地进行迭代更新,以引入新的保护措施,并在发现漏洞时立即修补漏洞。在确保用户享有的安全性的路上,我们会永不停歇。


老实说,我不是很明白苹果发这样的声明有什么目的。Project Zero的博客开起了新闻循环:让大家看到这就是苹果,并且这也是有史以来iOS出现的最危险的漏洞。我很难理解为什么散播恐惧、不确定性和怀疑会让苹果的用户更安全;但是说真的,我听到这个消息之后更加紧张。


苹果的反应令人失望


苹果的声明有以下三方面的问题:


首先,苹果因为减少中国人受到的限制而受到表扬,虽然不知道这样的限制是否真的存在。即使说只有很少的网站会有这样的漏洞攻击,那也不能表示每一部iPhone都是安全的,只可能说明大多数的用户没有浏览那些网站(有报道说,漏洞是有地域特征的)


事实是,苹果在iOS系统中有多个漏洞,虽然这次漏洞攻击可能没有影响到大多数用户,但这并不意味着这些漏洞没有在其他地方使用,或者不存在类似的破坏性漏洞。文章《布鲁斯·施奈尔的大转折》说到:


这几乎颠覆了我们对iPhone黑客认知。我们认为零时差很难,我们认为有效的零时差攻击的成本为200万美元或300万美元,而且只有政府在针对高价值目标时才谨慎使用。我们曾相信,如果一个漏洞被频繁使用,它会很快被发现和修补。


但这些在这里都不成立。那个组织使用了14个零日漏洞,他们不加区别地使用,且两年都没有被发现。


其次,苹果(这是他们声明的第二个问题)在声明中对两年的论点提出了异议,但我发现它缺乏说服力。正如谷歌所指出的,这些漏洞最初是针对iOS 10系统而开发的,并随着iOS一起更新;可能上述提到的问题网站只有两个月的被装上了漏洞,但名义上,漏洞至少存在了两年。没有人,包括苹果,知道这些漏洞可能还会用于哪些地方。


最后,声明的最后一段在说iOS的安全性更好 ,因为苹果的商业模式比谷歌好,但这是在自欺欺人。谷歌做了大量工作来发现并消除一个相当严重的iOS漏洞,苹果不管怎样都应该表示谢意。确实,被移动操作系统竞争对手指出缺点肯定会感到不快,但如果苹果真正首关心设备的使用安全,他们不仅会笑脸迎接这一指正,还可能建立自己的团队致力于根除不论是iOS还是Android的安全漏洞。


说到底,这个故事是说iOS存在安全漏洞,并且苹果应该为此承担责任。


文章来自微信公众号:栈外,原文标题:《Ben Thompson:搜索与安全,苹果的公平与坦诚》,作者:Ben Thompson


本内容为作者独立观点,不代表虎嗅立场。

打开虎嗅APP,查看全文

本文已被收藏在:

热 文 推 荐

等待你来打破沉默

去虎嗅APP参与评论 打开虎嗅APP

好的内容,值得赞赏

您的赞赏金额会直接进入作者的虎嗅账户

    自定义
    支付: