安全意識：iOS版Outlook存在多處安全隱患遭美國相關(guān)安全研究人員指責(zé)

前不久微軟剛剛發(fā)布了iOS版Outlook應(yīng)用程序，而這幾天安全研究人員René Winkelmeyer發(fā)現(xiàn)其數(shù)個安全隱患，包括微軟可以在用戶毫不知情的情況下獲取用戶的郵箱賬戶和服務(wù)器數(shù)據(jù)。

安全隱患一：云端存儲用戶登錄信息

Winkelmeyer在安裝iOS版Outlook應(yīng)用程序時，發(fā)現(xiàn)它會詢問用戶是否接收推送通知，這有點匪夷所思。是這樣的，可能你用過iOS自帶的郵件收取工具，因為他是常駐后臺可以實時推送，但是對于其他APP來講是沒有這個權(quán)限的。所以Winkelmeyer就決定測試一下為什么該應(yīng)用程序會請求用戶接收iOS推送。

測試內(nèi)容如下：

1、首先徹底關(guān)掉這個APP； 

2、用另一個郵箱向我的Outlook郵箱發(fā)送測試郵件； 

3、我立即收到了新郵件的推送通知。

Winkelmeyer推測，微軟可能是使用云端來記錄用戶的登錄憑證，并實時監(jiān)控他們的ActiveSync賬戶。

換句話說，這時候微軟已經(jīng)在服務(wù)器端已經(jīng)獲取到了你的郵件標(biāo)題郵件內(nèi)容，然后再推送到手機上。

這樣直接推斷可能不太恰當(dāng)，于是他又進行了第二次測試：

首先，把所有設(shè)備設(shè)置成飛行模式（避免出現(xiàn)數(shù)據(jù)干擾）；

然后，打開Apache服務(wù)器（作者的測試環(huán)境是把Apache放在了前端）訪問日志；

居然又出現(xiàn)了！

54.148.96.196 – – [29/Jan/2015:16:19:50+0100] “POST/traveler/Microsoft-Server-ActiveSync?User=mysupermail%40winkelmeyer.com&DeviceId=123123123123&DeviceType=Outlook&Cmd=SyncHTTP/1.1″ 200 25 “-” “Outlook-iOS-Android/1.0″

這些測試證明，微軟將其用戶登錄憑證和服務(wù)器數(shù)據(jù)儲存在了云端，而且用戶也不知情！理論上來說，微軟完全可以訪問所有用戶的PIM數(shù)據(jù)。

小編補充：上面這段話可能大家第一次讀不會太理解。其實大致是這樣的，作為一個收信工具，Outlook應(yīng)該只與郵件服務(wù)器通信，但是在iOS上他沒有實時推送的權(quán)限，這時候一個收信工具的實時性就出了問題，總不能用戶半小時手工去刷一次吧？不過微軟的開發(fā)團隊為了解決這個問題，在用戶和郵件服務(wù)器之間又放了一臺服務(wù)器用于監(jiān)控你的郵箱狀態(tài)，雖然你的手機是鎖屏或APP退出，但是只要監(jiān)控到有新郵件，服務(wù)器會直接推送到你的手機上。

• 不刪檔！不限量！《蛋仔滑滑》iOS終測下載今日開啟！
• 《大俠立志傳》手游限量招募測試開啟！iOS開放預(yù)購
• 蘋果公司批準(zhǔn)Epic游戲商城iOS版本認(rèn)證請求
• 彈窗管理工具CLPopoverManager的開發(fā)與應(yīng)用
• 《堡壘之夜》將于2025年底在日本市場iOS平臺推出!