前不久微軟剛剛發(fā)布了iOS版Outlook應(yīng)用程序，而這幾天安全研究人員René Winkelmeyer發(fā)現(xiàn)其數(shù)個(gè)安全隱患，包括微軟可以在用戶(hù)毫不知情的情況下獲取用戶(hù)的郵箱賬戶(hù)和服務(wù)器數(shù)據(jù)。

安全隱患一：云端存儲(chǔ)用戶(hù)登錄信息

Winkelmeyer在安裝iOS版Outlook應(yīng)用程序時(shí)，發(fā)現(xiàn)它會(huì)詢(xún)問(wèn)用戶(hù)是否接收推送通知，這有點(diǎn)匪夷所思。是這樣的，可能你用過(guò)iOS自帶的郵件收取工具，因?yàn)樗�是常駐后臺(tái)可以實(shí)時(shí)推送，但是對(duì)于其他APP來(lái)講是沒(méi)有這個(gè)權(quán)限的。所以Winkelmeyer就決定測(cè)試一下為什么該應(yīng)用程序會(huì)請(qǐng)求用戶(hù)接收iOS推送。

測(cè)試內(nèi)容如下：

1、首先徹底關(guān)掉這個(gè)APP； 

2、用另一個(gè)郵箱向我的Outlook郵箱發(fā)送測(cè)試郵件； 

3、我立即收到了新郵件的推送通知。

Winkelmeyer推測(cè)，微軟可能是使用云端來(lái)記錄用戶(hù)的登錄憑證，并實(shí)時(shí)監(jiān)控他們的ActiveSync賬戶(hù)。

換句話說(shuō)，這時(shí)候微軟已經(jīng)在服務(wù)器端已經(jīng)獲取到了你的郵件標(biāo)題郵件內(nèi)容，然后再推送到手機(jī)上。

這樣直接推斷可能不太恰當(dāng)，于是他又進(jìn)行了第二次測(cè)試：

首先，把所有設(shè)備設(shè)置成飛行模式（避免出現(xiàn)數(shù)據(jù)干擾）；

然后，打開(kāi)Apache服務(wù)器（作者的測(cè)試環(huán)境是把Apache放在了前端）訪問(wèn)日志；

居然又出現(xiàn)了！

54.148.96.196 – – [29/Jan/2015:16:19:50+0100] “POST/traveler/Microsoft-Server-ActiveSync?User=mysupermail%40winkelmeyer.com&DeviceId=123123123123&DeviceType=Outlook&Cmd=SyncHTTP/1.1″ 200 25 “-” “Outlook-iOS-Android/1.0″

這些測(cè)試證明，微軟將其用戶(hù)登錄憑證和服務(wù)器數(shù)據(jù)儲(chǔ)存在了云端，而且用戶(hù)也不知情！理論上來(lái)說(shuō)，微軟完全可以訪問(wèn)所有用戶(hù)的PIM數(shù)據(jù)。

小編補(bǔ)充：上面這段話可能大家第一次讀不會(huì)太理解。其實(shí)大致是這樣的，作為一個(gè)收信工具，Outlook應(yīng)該只與郵件服務(wù)器通信，但是在iOS上他沒(méi)有實(shí)時(shí)推送的權(quán)限，這時(shí)候一個(gè)收信工具的實(shí)時(shí)性就出了問(wèn)題，總不能用戶(hù)半小時(shí)手工去刷一次吧？不過(guò)微軟的開(kāi)發(fā)團(tuán)隊(duì)為了解決這個(gè)問(wèn)題，在用戶(hù)和郵件服務(wù)器之間又放了一臺(tái)服務(wù)器用于監(jiān)控你的郵箱狀態(tài)，雖然你的手機(jī)是鎖屏或APP退出，但是只要監(jiān)控到有新郵件，服務(wù)器會(huì)直接推送到你的手機(jī)上。

• 不刪檔！不限量！《蛋仔滑滑》iOS終測(cè)下載今日開(kāi)啟！
• 《大俠立志傳》手游限量招募測(cè)試開(kāi)啟！iOS開(kāi)放預(yù)購(gòu)
• 蘋(píng)果公司批準(zhǔn)Epic游戲商城iOS版本認(rèn)證請(qǐng)求
• 彈窗管理工具CLPopoverManager的開(kāi)發(fā)與應(yīng)用
• 《堡壘之夜》將于2025年底在日本市場(chǎng)iOS平臺(tái)推出!