abccba
V2EX  ›  iPhone

iPhone 信任公司私有 App 会有哪些额外的安全和隐私风险?

  •  1
     
  •   abccba · Oct 10, 2021 · 17305 views
    This topic created in 1855 days ago, the information mentioned may be changed or developed.

    首先,我承认自己有被害妄想症,认为我反应过度的,或者觉得没必要那么在乎隐私或安全的,出门左转谢谢。不要针对这一点抬杠,不要针对这一点抬杠,不要针对这一点抬杠。

    因为楼主不是专业人员,所以请教下懂这块技术的人士。从技术角度来讲,信任这些私有 App 会有哪些风险?

    本帖主要是希望从技术角度讨论相关问题。假设公司私有 App 要做恶,它能够造成哪些破坏以及原理?

    “公司私有 App”:这里就不截图了,懂的自然懂(这句话怎么听着有点耳熟呢)。首次使用时,iOS 会提示“未受信任的企业级开发者 xxxxxx”。

    我能理解的第一层风险就是这些 App 精心利用了 iOS 的漏洞,因为完全不受监管,更有可能这样做。当然,从 App Store 下载的应用其实也同样问题,或者手机浏览器打开某个网页就中招了。

    从网上看,这些 App 仍然受到 iOS 沙盒机制的约束,但不上 App Store 可以更自由地调用一些私有 API,那么是否有哪些私有 API 被滥用时会威胁到用户的安全和隐私呢?

    假设我们先不考虑 iOS 的漏洞,还存在哪些安全和隐私风险?( PS:我这里提到的“安全“和“隐私“可以分开考虑)

    了解很有限,希望懂这块的大佬分享下相关经验。

    谢谢!

    23 replies  •  2025-04-22 16:49:28 +08:00
    xenme
    xenme
    Oct 10, 2021 via iPhone
    1
    权限大到可以控制整个手机(可以访问普通 app 用不了的 app,而且可以后台限制或者抹除你手机),小到跟普通应用一样,只是私有分发。

    这么看重的话,建议双持,完全分开。
    alfchin
    alfchin
    Oct 10, 2021 via iPhone
    2
    某一年,越狱 app 就是靠企业证书部署的
    xenme
    xenme
    Oct 10, 2021 via iPhone
    3
    s/app/api/g
    Gouzhi
    Gouzhi
    Oct 10, 2021
    4
    我司就是这样,所以我弄了个 se 双持
    abccba
    abccba
    OP
    Oct 10, 2021
    5
    @xenme 谢谢,确认下“后台限制和抹除手机”是利用了 iOS 的漏洞吧?
    abccba
    abccba
    OP
    Oct 10, 2021
    6
    @alfchin 先部署,然后呢?然后利用漏洞提权?(纯小白,说错了求指正,主要是没看懂您这条回复的用意)
    abccba
    abccba
    OP
    Oct 10, 2021
    7
    @Gouzhi 当前是双持,想着如果风险可控,免得带两个手机就都装一起好了。。。

    想起来之前不记得在哪里看到,有网友说,即便是 iPhone,装了私有 app 、信任了私有证书,使用其它 app 也可能被同机的私有 app 探知到相关信息(具体没说,我也记不清了),所以谨慎起见先来问问专家们。
    frqk
    frqk
    Oct 10, 2021 via iPhone
    8
    是 mdm,不是漏洞。
    ff521
    ff521
    Oct 10, 2021
    9
    不是漏洞,这是给企业 app 的权限

    相当于电脑上的行为管理系统
    wheeler
    wheeler
    Oct 10, 2021
    10
    https://v2ex.com/t/772883#reply5

    😄,我也问过。
    abccba
    abccba
    OP
    Oct 10, 2021
    11
    @wheeler 😅,刚才还 site:v2ex.com 搜了下,居然没发现。。。 谢谢
    xenme
    xenme
    Oct 10, 2021 via iPhone
    12
    另外,profile 也都告诉你了,他能控制哪些内容,完全没啥特别的必要担心。

    所有这些都是 Apple 提供的功能
    billlee
    billlee
    Oct 10, 2021❤️1
    13
    可以往系统上添加无法移除的根证书,可以后台激活 VPN 劫持流量。
    Cielsky
    Cielsky
    Oct 10, 2021 via Android
    14
    这就得公司发个手机,不发手机要求安装就是耍流氓
    winglight2016
    winglight2016
    Oct 10, 2021
    15
    @jiangyang123 没错,还有个名字叫 Bxxx,专门是给移动设备做企业网络安全的方案,在牢厂体验过,安装的手机基本上没有任何隐私了,而且相当于开了一个超级后门。
    Jooooooooo
    Jooooooooo
    Oct 10, 2021
    16
    你要认为你所有的行为公司都知道.
    abccba
    abccba
    OP
    Oct 10, 2021❤️2
    17
    @frqk @jiangyang123 @xenme 几位说的是 https://support.apple.com/zh-cn/guide/mdm/mdmbf9e668/web 吗?这个和安装并信任公司未在 app store 上架的私有 app,不是一回事儿吧。。。
    Maskeney
    Maskeney
    Oct 10, 2021❤️1
    18
    楼上一群人说的根本就不是一个东西好吧,楼主问的显然是装一个通过企业证书分发的 App,而不是 MDM,自己搞不清楚就出来危言耸听可真的是失智行为
    wdlth
    wdlth
    Oct 10, 2021
    19
    企业级 App 可以用一些私有的 API 去获取一些信息,不过没有 MDM 的话也控制不了设备。
    dingwen07
    dingwen07
    Oct 11, 2021❤️1
    20
    苹果应该还有一到两个任意代码执行的漏洞没有修。这些漏洞被苹果认为是“安全的”,因为 App Store 审核机制会检查调用了这些漏洞的应用程序。
    shmilypeter
    shmilypeter
    Oct 11, 2021
    21
    @Cielsky 耍流氓的公司多了去了,今天看到一个女孩被强制要求用公司统一微信头像,但是她的头像跟男友是情侣头像,被迫换掉。说什么统一点赞整齐划一之类的,这种垃圾小公司最喜欢搞。

    不过我也好奇她为什么不专门注册一个工作微信。
    freeair
    freeair
    Oct 11, 2021 via iPhone
    22
    双持在这种场景下就有必要了!
    cuiyongjian
    cuiyongjian
    Apr 22, 2025
    23
    还是没看懂到底能窃取哪些信息。有没有专家回答下。
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   665 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 48ms · UTC 18:14 · PVG 02:14 · LAX 10:14 · JFK 13:14
    ♥ Do have faith in what you're doing.