使用蘋果裝置註冊(dep)進行移動裝置管理(mdm)註冊的企業，在不新增二級認證的情況下，正面臨資訊過濾和攻擊的風險。
mdm是一種幫助企業實施管理的常見技術，由多個**商提供，可在乙個平台中處理員工的各種移動裝置使用情況，並實施安全策略，標準化更新，控制費用管理等。隨著辦公裝置的多元化，分布的不同位置的員工使用手機、平板、電腦訪問公司資料時可能存在各種風險，採用這種技術可以幫助企業控制已知/潛在風險。
dep是一項簡化ios，macos和tvos裝置的mdm註冊的蘋果服務，與要求終端使用者或管理配置裝置並手動註冊裝置的傳統部署方法不同，dep允許管理員自動執行該過程。
然而，最近duo labs的研究發現dep只需要序列號就可以將裝置註冊到組織的mdm伺服器中，這意味著攻擊者可以將惡意裝置註冊到系統中。然後，該裝置將作為特權端點，允許攻擊者提取有關組織的重要資訊。
「如果序列號是使用dep註冊的（不同於在mdm中註冊的），並且mdm伺服器在註冊期間不需要額外的使用者身份驗證，攻擊者可以將他們選擇的裝置註冊到組織的mdm伺服器中騙得乙個合法的dep註冊序列號。「duo的高階研發工程師james barclay在接受採訪時解釋道。一旦裝置註冊成功，它將成為攻擊方的「可信」裝置，多數情況訪問敏感資訊（如裝置和使用者證書，vpn配置資料，註冊**，配置配置檔案和各種其他內部資料和組織機密）可暢通無阻，
值得關注的是，攻擊者要想成功需要克服乙個不小的障礙——他們必須在真正的dep序列號擁有者開始之前啟動dep註冊，因為dep僅接受裝置序列號一次，所以騙取dep序列號後要盡快註冊才有可能實現攻擊。不過在duo看來，裝置序列號獲取途徑多，難度小，通過社交工程，暴力破解，網路資源都可以獲取。
然而，哪怕序列號已經被合法擁有者註冊，攻擊者仍然可以進行攻擊。dep序列號註冊時，需要將裝置驗證給dep api，然後api再檢索啟用記錄。在這個過程中問題就出現了——啟用的記錄中包含組織資訊。攻擊者可能會使用dep api檢索啟用記錄（或dep配置檔案）和相關資訊涉及的部門組織，利用檢索到的資訊進行社會工程攻擊，如呼叫服務台提供序列號要求幫助，最終在mdm伺服器中進行非法註冊。
目前，dep服務只通過提交dep註冊序列號來提供對攻擊者有用的資訊，而不需要任何使用者級認證。它還通過使用以前獲得的或生成的序列號簡化了未經身份驗證的mdm伺服器的列舉，這可能導致攻擊者能夠訪問受保護的或內部資源。
barclay表示，從普遍的意義上看，攻擊給人感覺就像是未能正確使用序列號進行身份驗證。序列號僅用於唯一標識特定裝置，它們不是絕對隱秘或不可**的，因此不應該用於驗證裝置的身份。不幸的是，序列號被非法使用並非偶然現象。
蘋果公司方面不認為這是乙個漏洞，因為他們明文建議了企業在初始配置時應用使用者身份驗證或限制訪問，但barclay認為dep服務目前的工作方式充當了攻擊的催化劑，因為它降低了對未以安全優先方式配置的其他元件成功攻擊的障礙。
Augur被曝重大漏洞
去中心化 市場平台 augur 被曝發現重大漏洞，黑客可據此向使用者傳送被篡改的網頁並騙取使用者代幣。幸好該漏洞被漏洞眾測平台 hackerone 的研究人員發現，目前 augur 官方已修補了漏洞。這類漏洞被稱為框架劫持 frame jacking 它操縱 html 來控制 augur 客戶端如何...
蘋果也太不安全了 系統被曝存安全漏洞
昨天記者了解到，安全研究人員發現了蘋果系統的乙個安全漏洞，所幸蘋果剛剛推送的系統更新中完成了對此的修復。蘋果系統的漏洞開始頻繁出現 這個安全漏洞是思科公司talos安全研究小組的高階研究員泰勒 博昂發現的。通過該漏洞，黑客可以侵入蘋果作業系統的中心，利用影象輸出的方式進行攻擊。黑客首先建立乙個tif...
移動139郵箱被曝出漏洞
繼前段時間網易郵箱鬧出漏洞風波之後，最近，139郵箱也被曝存在洩密漏洞，而且這項漏洞可以讓別人以最高許可權完整瀏覽你的郵箱記錄。近期，國內安全測試公司漏洞盒子發現，當手機開放熱點分享時，連線熱點的人可以隨意登入並操作熱點手機的移動郵箱和移動夢網。如今為方便使用者，許多郵箱都提供免密登陸功能，139郵...