宅客周刊 盘古发布iOS 9.3.3 越狱工具 ｜ 宅客周刊

1. 360谭晓生：智能硬件安全要从芯片设计抓起

过去，IT与OT是两个世界。二者互不相通，搞信息技术的与搞工控的也互不了解，各网络中存在的安全问题状况也不尽相同。OT网络相对封闭，没有太多的攻击者，厂商考虑更多的是“物理安全”，即生产过程的安全性。

现在，二者已融为一体。万物互联，从硬件生产厂商到用户个人，无处不存在智能化，安全威胁的攻击面也被扩大。攻击者可以从厂商生产到销售的任何一个环节中下手，对厂商的生产经营活动产生影响，在扰乱生产秩序的同时，还会增加厂商的生产成本。

可以说，IOT时代，安全变成了一种挑战。上周，宅客采访到了360首席安全官谭晓生，跟他聊了聊 智能硬件 厂商安全相关的问题。谭晓生认为只能硬件常见的攻击方式有三类：

智能硬件需要通过网络设备与其他设备产生通信，通信协议是第一类攻击点。智能硬件需要通过第三方设备或平台来进行管理，这些平台或设备就是第二类攻击点。手机或iPad上可以控制智能硬件的App，或App与控制平台之间的协议，是第三类攻击点。

同时他也认为，

对于这些攻击并没有什么灵丹妙药，只能从产品安全做起。从产品设计阶段就要考虑到可预见的攻击类型，协议是否安全，固件更新机制是否有问题。保证产品生产出来就是相对安全的，并要在今后的运营生命周期里进行监测。

2. 反诈骗专家李旭阳：我愿“天下无贼”

如果你闭上眼睛，回忆那些你听说或经历过的五花八门的骗术，似乎骗子的骗术飘忽不定，难以捉摸，每一次都是“崭新的欺骗”，让人防不胜防。但在腾讯反诈骗实验室李旭阳眼里，他们首先要对抗的并不是那些最为精妙的骗术，反而是诈骗金额巨大，骗术传播最广的“主流”信息诈骗。

对于反诈骗实验室来说，骗子对套路的依赖，正是他们的软肋。道理很简单：

一旦一个行为呈现规律，就是机器识别大显身手的时候。反诈骗系统可以根据大量骗局中的通话时长数据（时长数据不是通话内容数据）或网络数据，形成一个个精准判定诈骗的规则，再由电信运营商和警方根据这些规则实时监控犯罪行为是否发生，通过短信、客服人员电话介入或警方直接介入的方法阻断骗子的诈骗行为。

以识别公检法诈骗的系统为例，针对这一类诈骗，就有几个配套的规则引擎联动审查。举例来说，就像是几个不同的专家对同一件事情发表看法，然后举手表决，如果认定诈骗成立的专家达到一定数量，系统就会向运营商和公安机关发出紧急提醒。然而，这其中每一个规则的点滴改动，都是要建立在大量真实诈骗数据的基础之上的。否则每一次系统升级不仅不会让识别的准确率上升，还有可能产生新的漏报和误报。

3. 盘古团队发布 iOS 9.3.3 越狱工具

毫无征兆，盘古团队发布了 iOS 9.3.3 的越狱工具。这个越狱程序支持所有运行 iOS 9.2-9.3.3 的64位设备，从iPhone 5s、iPad Air 一直到最新的设备。

关注盘古的童鞋都知道，这帮牛X的黑客在7月早些时候，已经演示过 iOS 10 Beta 1 的越狱。也就是说， iOS 9.3.3 的越狱对他们来说已经是武松打猫——小意思。盘古团队曾经向雷锋网 (搜索“雷锋网”公众号关注) 透露，苹果的 iOS 10 相比 iOS 9.X 进行了一些升级，致使盘古的一些越狱漏洞在苹果即将发布的新系统上失效。这导致他们需用挖掘新的漏洞，以用于 iOS 10 的越狱。

所以，盘古此次放出iOS 9.2- 9.3.3 越狱，很可能使用了苹果已经在 iOS 10 中被苹果封堵的漏洞。

4. 当心，Pokemon Go可能会“抓取”你的个人信息

结合了AR和LBS（基于地理位置服务）技术的Pokemon Go自上线以来，不仅刷爆了朋友圈，也持续霸占着各大应用商店免费应用下载排行榜的前排宝座。有相关数据显示，

这款游戏目前在美国的下载量已超过750万次，每天平均活跃用户的数量直逼Twitter，用户平均每天玩43分钟，超过了Instagram。

虽然目前Pokemon Go只在美国、新西兰、澳大利亚等27国家正式上线。中国地区仍然处

于IP+GPS双锁定的状态，但仍有不少玩家跨区下载。当大家开着定位，满世界疯狂寻找小精灵的时候，你的个人信息也可能成为了别人的抓取目标。有位玩家就在Tumblr上发文吐槽了开发商对用户个人隐私保护的“疏忽”。

5. 聊一聊恶意网站：仿冒、钓鱼、黑客入侵

恶意网站是个比较泛的概念，基本你可以理解说对普通网民有害的那些网站，都可以称为恶意网站，比如大家知道的仿冒、钓鱼的，比如仿冒银行、QQ空间等网站，还有存在挂马的、博彩的，以及色情网站在一定范畴内你可以把它归入恶意网站。

大家可能最经常在哪里感受到恶意网站？平时大家可能不大分的清楚哪些是哪些，可能最有概念的是对于钓鱼网站，而实际其实大部分的同学应该经常碰到。比如：

用谷歌浏览器的同学可能经常会看到个红色的警告页面；

微信访问链接，也会被提示网站不安全，然后就访问不了了；  

安全软件在你访问某些网页的时候动不动跳到到警告页面弹个警告框告诉你不要访问这个网站，网站不安全；

还有少不了，QQ聊天窗口给某个网址打个x告诉你别访问。

这些可能就是大家最直观感受恶意网站的时候了，为什么不让你访问这些网址，那是因为这些网址被对应的这些软件的系统识别为恶意网站了，为了避免你的损失，所以进行提醒、禁止你访问！