Apple 允许 Uber 使用可以录制 iPhone 屏幕的秘密功能（2017 年）

一位安全研究人员透露，苹果公司允许优步使用一种“强大的工具”，即使该应用程序在后台运行，它也可以记录优步用户的 iPhone 屏幕。这种强大和“私人”Apple 功能的后门允许乘车公司在他们不知情的情况下访问用户信息。 “就我所知，将如此敏感的权利授予第三方是前所未有的，没有其他应用程序开发人员能够说服 Apple 授予他们让他们的应用程序利用某些特权系统功能所需的权利，”威尔报告该问题的安全研究员 Strafach 说。在 iOS 中，应用程序开发人员使用“权利”使他们能够访问不同的 API - 使用 iCloud、访问相机、Apple Pay API、设置推送通知等等。这些权利在某种程度上确保应用程序只能访问他们提供服务实际需要的内容。 Apple 还拥有某些仅供公司自己使用的私人权利，如果发现开发人员（无论其地位如何）使用这些权利，他们会立即被 App Store 拒绝，无论其此类请求的合法性如何。以 com.apple.private 开头的名称标记，研究人员发现 Uber 使用敏感权利“com.apple.private.allow-explicit-graphics-priority”，并且显然得到了 Apple 的明确许可。移动应用程序安全分析员 Strafach 表示，他无法从包含数万个应用程序的数据库中找到任何非苹果应用程序被授予如此敏感的权利。 “将 Uber 视为唯一的应用程序（我使用来自 App Store 的公司内部数据集检查了数以万计的其他应用程序），这很奇怪，除了 Apple 自己的应用程序被授予访问这一敏感权利的权限。”这种被证明是记录用户屏幕的敏感权利并未授予优步跟踪司机或优步用户。据 Uber 称，它被用来帮助早期的 Apple Watch 渲染地图并改进 Uber Watch 应用程序的内存管理。在给 Gizmodo 的一份声明中，优步发言人证实，较新的应用程序版本不再需要这样做，这就是该公司删除此 API 的原因。 [不清楚为什么如果不再需要这个 API 就没有删除它]

“它用于旧版本的 Apple Watch 应用程序，专门用于在手机上运行渲染图的繁重工作，然后将渲染结果发送到 Watch 应用程序。这种依赖随着之前对 Apple 操作系统和我们的应用程序的改进而被删除。因此，我们正在从我们的 iOS 代码库中删除这个 API。”如果不是 Uber 本身，屏幕录制功能可能会被犯罪黑客出于邪恶的原因使用（考虑到它的历史，这并不奇怪）。“通过小心地启用只有您需要的资源访问权限，如果恶意代码成功利用您的应用程序，您就可以最大限度地减少损害的可能性，”Apple 在谈到权利时说。这意味着虽然 Uber 可能实际上从未打算监视其用户和司机（它以前做过） ，这项权利可能让黑客有机会悄悄监控 Uber 用户的活动，包括可能窃取敏感信息。“从本质上讲，它可以让您完全控制帧缓冲区，其中包含屏幕每个像素的颜色。因此，他们可能会绘制或记录屏幕，”安全研究人员写道。“它可能会窃取密码等。” Strafach 继续表示，考虑到应用程序开发人员的敏感性，Apple 不会向应用程序开发人员授予“私人”权利，而且没有其他应用程序曾经有过“似乎没有其他第三方开发商能够让 Apple 授予他们这种性质的私人敏感权利。考虑到 Uber 过去的隐私问题，我很好奇他们是如何说服 Apple 允许这样做的.”鉴于 Uber 与苹果公司显然不太愉快的历史，之前实际上威胁要从 App Store 中撤下这家叫车公司的应用程序，确实很奇怪，为什么苹果公司会给 Uber 并且只有 Uber 可以访问私人敏感权利，这可能会使他们能够记录用户或驱动程序的屏幕。如上所述，优步发言人声称，苹果授予此权限是“因为 Apple Watch 无法处理”优步地图渲染。这家库比蒂诺科技巨头很可能在给应用程序开发人员一个四个月的窗口期后，在产品发布之前为其 Watch 开发应用程序后，必须授予此访问权限。在 2015 年的主题演讲中，优步在苹果展示其 Apple Watch 时花了很多时间。

Uber 可能意识到它作为新 Apple Watch 的一个很好的卖点的价值，可能已经推动 Apple 获得这种访问权限。然而，有些人不同意苹果只帮助大玩家的政策。我知道有兴趣在他们的应用程序中拥有一些权利的各方。但当然，“安全！！！”。当优步需要他们时，一切都很好。考虑到 Uber 对用户、司机和竞争对手进行间谍活动的历史，如果该公司确实出于恶意原因使用它也就不足为奇了，尤其是考虑到他们确实要求提供屏幕录制功能。一位 Twitter 用户写道：“在 Uber 可以要求的所有权利中，它们可以用来在应用程序处于后台时跟踪用户。” “而且 Apple 没有问题。”无论如何，该公司现在正在从其代码库中删除令人不安的 API，Strafach 表示，如果该权利确实被公司恶意使用，他无法找到任何证据。