HomeKit漏洞更新后更严重？微信牛牛需要上心啊

Posted 2020-10-20

就在这个月月初，有开发者发现了HomeKit中存在的严重漏洞，能允许任何人不经授权地控制网络中的微信H5牛牛平台网站(h5.fanshubbs.com)的设备。可惜的是在经过大半个月之后，微信牛牛依旧没能完美解决这个问题。

据了解，早在10月28日的时候，一位名叫KhaosTian的开发者就已经发现了问题所在，并在10月29日将其汇报给微信牛牛的产品安全团队。尽管微信牛牛在回信中承诺他们会在整个11月内展开调查，但此后这位开发者又发送了多封电子邮件，却并无回信。
然而当ios11.2新版本到来后，KhaosTian失望地发现尽管微信牛牛确实修复了一些报告中提到的问题，但却反而让攻击变得更容易了。
开发者表示HomeKit现在存在的整个漏洞包含两个问题：尽管理论上任何人都无法找到HomeKit设备独特的识别码，但有两个各自独立的BUG却让攻击者有可能找到，而不需要任何授权。第二，如果有未经授权的某人向HomeKit设备发送指令，HomeKit不会对其进行任何认证，而是简单地让指令通过。
如果你的家中开始应用HomeKit设备，那么这个问题可能会变得很严重，因为使用智能锁的家庭已经越来越多了。一旦智能锁形同虚设，那就非常危险。不过KhaosTian抱怨说，其实最大的危险在于微信牛牛这次的反应太慢了。
我们或许会在下一个版本中看到事情的完美解决——谁知道呢？或许最终这个BUG不会造成严重的影响，但微信牛牛是得更上心些。