美國約翰霍普金斯大學(xué) ( Johns Hopkins University )的研究小組此前在蘋果公司的 iMessage 中發(fā)現(xiàn)多個問題之后，蘋果公司就對該服務(wù)采用了一系列短期和長期防御保護。

約翰霍普金斯大學(xué)研究小組本次發(fā)現(xiàn)的問題與他們在今年三月份發(fā)現(xiàn)的問題不同，那個安全漏洞將允許攻擊者利用漏洞竊取在用戶之間發(fā)送的照片和視頻。因為這個漏洞，設(shè)備運行的版本低于 iOS 9.3，那么 iMessage 都可能受到攻擊。但是研究員們稱，擁有足夠資源的攻擊者也可以利用這個漏洞對最新設(shè)備發(fā)起攻擊。

該研究小組指出，他們這次發(fā)現(xiàn)的漏洞將允許攻擊者通過“密文攻擊（ciphertext attack）”的方式去回顧性解密某些類型的有效載荷和附件，只要發(fā)信方或者接收方有其中一方在線即可。

攻擊者要攔截信息需要利用竊取到的 TLS 證書或者通過蘋果服務(wù)器的訪問渠道來完成。不過，想要成功的實施攻擊，攻擊者需要很高級別的專業(yè)知識。但研究人員認為，那些獲得國家資助的攻擊者都有完成這些復(fù)雜攻擊的能力。

約翰霍普金斯大學(xué)的研究小組認為，雖然 iMessage 的端到端加密協(xié)議相比其他系統(tǒng)的網(wǎng)絡(luò)流量加密方式更為先進，但是通過 iMessage 發(fā)送的一些信息還是非常有可能被一些技術(shù)高超的攻擊者給攔截。

該小組的研究還發(fā)現(xiàn)，蘋果公司并不會定期輪換加密密鑰，不像 OTR 和 Signal 等現(xiàn)代加密協(xié)議都會定期輪換加密密鑰。蘋果不定期輪換密鑰意味著，攻擊者還可以通過這種方式去對 iMessage 的歷史數(shù)據(jù)進行攻擊，這些歷史數(shù)據(jù)一般都備份在 iCloud 中。從理論上來說，執(zhí)法部門可以出具法院命令，強制要求蘋果提供服務(wù)器的訪問渠道，利用這種攻擊方式去解密數(shù)據(jù)。

該研究小組在報告中指出，其他和 iMessage 使用同種加密方式的協(xié)議也有可能成為攻擊的對象，比如支持設(shè)備通過藍牙傳輸數(shù)據(jù)的 Handoff 功能。即時信息應(yīng)用使用的 OpenPGP 加密方式也可能成為攻擊對象。

早在去年11月蘋果公司就已經(jīng)被告知該問題的存在及嚴重性，而他們也在 iOS 9.3 和 OS X 10.11.4 中不斷完善 iMessage 協(xié)議。在月度更新蘋果也按照這個小組建議的方式繼續(xù)解決這個問題。

不過約翰霍普金斯大學(xué)的研究小組給出的長期建議是，蘋果應(yīng)該替換 iMessage 加密機制，減小協(xié)議的核心分發(fā)機制被攻擊的可能性。