上周五，苹果的SSL漏洞首次浮出水面，一个神秘的紧急更新开始涌入iOS设备。从那以后，消息就更糟了。这不仅仅是一个iOS错误，而是苹果安全传输平台的一个问题，它出现在OSX10.9桌面版上，并在移动设备上返回到iOS6。截至记者发稿时，苹果电脑上仍没有补丁，不过公司代表表示，他们已经意识到了这个问题，“已经有一个软件修复程序将很快发布。”约翰·霍普金斯大学密码学家马修·格林（Matthew Green）在推特上就这个漏洞反复引用了这句话，“这是严重可利用的，尚未得到控制。”那么它到底有多糟呢？

“严重可利用，尚未得到控制。”

虽然已经发布了针对移动设备的修复程序，但对苹果来说，这仍然是一个非常大、非常糟糕的问题。我们不知道有多少设备收到了更新，尽管iOS用户往往更新得很快——但除了移动设备之外，运行Mavericks的台式机仍然完全暴露在外，等待更新。该漏洞的核心目标是SSL连接，即访问webmail或银行网站时看到的浏览器窗口中的小挂锁后面的加密。浏览器知道你真的在和银行说话，因为它验证了网站的SSL证书，一种身份证明。但苹果代码的失败意味着安全传输没有正确检查证书，任何想要的人都可能伪装成你的银行网站、电子邮件，或者更糟的。

该漏洞包括FaceTime、Mail和Calendar，这是Mac生态系统的一些核心元素

从狩猎开始，但不止于此。据研究人员Ashkan Soltani称，该漏洞扩展到构建在苹果SSL库上的每个应用程序，包括FaceTime、Mail和Calendar。它们是Mac生态系统的一些核心元素。不仅这些应用程序现在已经曝光，自2012年9月iOS 6推出以来，iOS上也出现了类似的应用程序。Soltani将这一漏洞描述为“一段时间以来我们所看到的一家大公司最严重的安全漏洞之一”，如果仅仅是因为暴露的用户数量巨大的话。

“这是一次更有针对性的攻击。。。相当笨拙的一个。”

幸运的是，这个漏洞本身并不像你想象的那么严重。要利用已禁用的SSL连接，攻击者可能必须在Wi-Fi距离内，这大大限制了辐射。正如哥伦比亚大学密码学家史蒂夫·贝洛文（Steve Bellovin）对《边缘报》所说，“中间人攻击并不那么容易发动，而且它们的规模也不太好。”利用这个漏洞可以在更远的上游进行攻击，在更高的层次上达到更多的用户，但要始终如一地执行却极为困难。因此，这似乎不太可能被用于****局的批量收集计划，如一些人所说。到目前为止，所报道的攻击都是直接攻击——基本上是一名黑帽黑客坐在一家公共咖啡店，嗅到周围十几个人的Wi-Fi信号。但即使在这种情况下，攻击者可能会更好地跟踪Flash或已知存在bug和安全隐患的少数应用程序中的任何一个。这并不是我们应该尽快取消错误更新的理由，也许在接下来的几天里我们会继续使用私人Wi-Fi，但这对于NSA的批量收集来说不太可能特别有用。”“这是一个更有针对性的攻击，”贝洛文说，“一个相当笨拙的，如果故意这样做。”

即使没有恶作剧，为什么苹果没有抓住漏洞？

更大的问题是，一个如此糟糕的bug是如何首先通过苹果的安全功能实现的。一些观察家已经指出，这些违规代码的某些方面似乎被设置为失败。Cryptocat的Nadim Kobeissi指出，除了毫无意义地重复的“goto fail”行之外，还有一个低效的if-then子句，它是一种草率的编码，使得错误特别难以发现。同时，Bellovin说代码覆盖率测试应该能够捕捉到重复的行。即使没有恶作剧，为什么苹果没有抓住漏洞？

更简单、更不令人满意的答案更多地与苹果大规模软件开发的怪癖有关。一位内部人士将OSX安全框架描述为公司范围内的厨房水槽，这是一个在不同的制度和不同的产品中反复调整的旧框架。新的代码意味着需要检查新的bug，所以像Secure Transport这样的大部分核心应用程序可以在很长一段时间内保持不变。对于一个人的编程团队来说，当涉及数百名编码人员时，显然要解决的问题要困难得多。但即使这样也不能完全回答这个问题。安全传输在Mavericks版本中实现了开源，这意味着苹果内外的任何人都应该能够追踪到错误代码。一些研究人员抱怨在向苹果报告bug时遇到了麻烦，但这么严重的事情肯定会引起一些人的注意。最终，是一名谷歌HTTPS工程师拉开了帷幕，雪上加霜。

苹果可能没有积极鼓励任何人审计代码，但它也没有阻止任何人。只是没人有理由去看。在我们每天运行的数百万行代码中，这一行碰巧被打印了两次，导致了数百万台机器的级联故障。多年来，没有人注意到。随着生态系统变得越来越大、越来越强大，这些失败的可能性达到了前所未有的规模。这一次发生在苹果身上，但很容易想象谷歌或微软也会出现类似的漏洞，安全工程师们只能希望他们的审计和报告系统足够好，能够抓住它。在这个周末之后，他们看到了失败时会发生什么。

更新：周二，苹果发布了OSXMavericks和MountainLion的更新，以解决SSL漏洞。