科客點評：手機隱私漸漸成為了每一位用戶關(guān)注的問題，但目前來看，這方面的技術(shù)似乎還沒達(dá)到人們的理想。

　　竊聽iMessage信息在技術(shù)層面上是很有可能實現(xiàn)的，因為在發(fā)送和接受信息時，并沒有要求用戶核實加密密鑰。

　　iMessage 工作流程

　　當(dāng)某人，我們暫且稱其為小明，通過iMessage發(fā)送了一條信息，其發(fā)送的內(nèi)容并不是簡單從小明的手機直接發(fā)送到接收人的手機，這個接受人我們暫稱為韓梅梅。首先，小明的設(shè)備會訪問蘋果服務(wù)器，稱為ESS，服務(wù)器儲存了iMessage用戶所有的公共加密密鑰。

　　蘋果服務(wù)器將韓梅梅的加密密鑰提供給小明。小明的iPhone通過獲得的密鑰將信息加密，并把密文發(fā)送到蘋果，蘋果再給韓梅梅的手機。使用私鑰解密之后，韓梅梅就可以閱讀小明的信息了。

　　小明的信息在離開終端之前就已被加密，這又稱為端到端加密。這一步驟看似天衣無縫，蘋果公司似乎無法閱讀到信息的真實內(nèi)容。

　　這種集中管理密鑰的方法并不是問題所在，其他加密信息服務(wù)商亦在使用同樣的方式。然而，最近有個博客PO文指出，iMessage用戶無法確保蘋果服務(wù)器提供給他們的那套密鑰是正確。因為密鑰服務(wù)器本身存在了竊取信息的漏洞。

　　如果方法得當(dāng)，蘋果的服務(wù)器可以將另外一套FBI可解讀的密鑰發(fā)送給小明，而不是直接提供韓梅梅的正確密鑰。這點在2013年時就曾引起了研究人員的注意，約翰霍普金斯大學(xué)助理教授Matthew Green就曾提供過類似的案例。

　　這樣，以后FBI（不是蘋果公司）就可以解讀所有發(fā)送給小明的iMessage信息了。同樣原理， FBI還可以窺探到所有小明發(fā)送出的信息。

　　密鑰核實是唯一的解決辦法

　　因此，為了解決這一信息泄露的隱患，唯一的方式就是讓用戶確認(rèn)收到的密鑰是否正確?，F(xiàn)在有一些通訊應(yīng)用，比如一款叫Signal的，用戶在使用時可以通過“身份核對”鍵查看自己與對方的密鑰指紋。為了確保他們接受到的密鑰是真實的，兩用戶可以通過別種聯(lián)系方式發(fā)送密碼，或者直接親自面對面展示給對方。

　　很少有人會在線下核對密鑰的準(zhǔn)確性，但是只有這樣做才能保證密鑰服務(wù)器不會搞鬼。但 iMessage尚未采取此類行動幫助用戶確認(rèn)密鑰。

　　對于蘋果仍未采用手工確認(rèn)方法的原因，我們尚未可知。蘋果公司也未做出任何回應(yīng)。另外，也許蘋果公司會想出一個更加簡單的保密方法。

　　就目前來說，F(xiàn)BI或者其他組織，很有可能利用其法律地位強迫蘋果公司將偽造的密鑰發(fā)送給犯罪目標(biāo)，如紐約時報報道的那樣。雖然此舉顯然遭到了蘋果公司拒絕，但就目前來說，iMessage漏洞的存在，仍使信息竊取成為可能。(來源：雷鋒網(wǎng)  原標(biāo)題：《為何蘋果iMessage無法保護你的隱私？》)