Dirigenti Apple: spiegano i problemi chiave dell'incidente Xcode

Phil Schiller, vicepresidente senior del marketing globale di Apple, ha telefonato a Sina Technology negli Stati Uniti ed è stato intervistato in merito all'incidente della scorsa settimana, denominato "Incidente dell'infezione da trojan XCodeGhost", e ha risposto ad alcune domande chiave relative a questo incidente.

In passato, dopo molti eventi di cronaca, questa azienda con sede centrale lontana, a Cupertino, di solito spiegava tutto a modo suo e con i suoi ritmi, ma in questo caso, il vicepresidente senior dell'azienda è intervenuto personalmente alle 22:00, il che dimostra quanto tengano a questa questione.

Tutta la storia di XcodeGhost

Xcode è uno strumento di sviluppo ufficiale prodotto da Apple. Funziona sul sistema operativo Mac OS X ed è attualmente il modo più comune per sviluppare applicazioni per Mac OS e iOS. In un certo senso, è il fondamento dell'ecosistema di cui Apple va orgogliosa.

Questo è anche il motivo per cui Schiller ha così tanto a cuore questo incidente e ha accettato personalmente l'intervista.

Poiché i server si trovano all'estero, non è facile per gli sviluppatori della Cina continentale scaricare Xcode dai canali ufficiali. Schiller lo ha espressamente menzionato durante la telefonata: "Negli Stati Uniti ci vogliono solo 25 minuti per scaricarlo, ma in Cina potrebbe volerci tre volte tanto".

Di conseguenza, alcuni sviluppatori cinesi hanno dovuto scaricarlo tramite canali non ufficiali, il che ha portato alcuni sviluppatori a scaricare una "versione pirata di Xcode" contenente il virus XcodeGhost. Le applicazioni compilate con strumenti pirata venivano iniettate con codice di terze parti e caricate sull'App Store di Apple, inducendo gli utenti comuni a scaricare applicazioni infette.

Schiller ha affermato che Apple ha sempre raccomandato agli sviluppatori di utilizzare strumenti di sviluppo sicuri per sviluppare i programmi; e sono presenti Gatekeeper e meccanismi correlati di verifica della firma per la protezione. Ma con l'avvento delle applicazioni imitatrici e la chiusura di Gatekeeper, diversi fattori messi insieme hanno portato all'incidente di XcodeGhost.

Miglioramenti per gli sviluppatori

A causa di problemi con il server, il problema della difficoltà nel scaricare Xcode è sempre esistito, ma questo incidente ha lasciato un segno profondo in Apple.

Schiller non evitò la domanda. Durante la chiamata, ha affermato che Apple sta affrontando i problemi verificatisi, adottando anche misure per gli sviluppatori e gli utenti in generale.

Nello specifico, per gli sviluppatori, ciò che Apple deve fare è impedire fin dall'inizio che l'incidente XcodeGhost si ripeta. Schiller ha confermato che Apple sposterà il download degli strumenti di sviluppo Xcode dall'estero alla Cina.

C'è qualcosa che non va nella "mela perfetta"?

Grazie al suo sistema chiuso e alla stretta integrazione di software e hardware, Apple è sempre stata considerata un modello di sicurezza.

Ma questa volta c’è qualcosa che non va nel meccanismo di revisione di Apple?

Schiller ha ammesso che "non esiste un sistema perfetto, ma Apple sta migliorando sempre. Ogni volta che sperimentiamo qualcosa, possiamo continuare a migliorare, e questo incidente non fa eccezione. Abbiamo imparato molto questa volta." Anche Apple continua a migliorare se stessa.

Per ora, l'intero set di meccanismi di sicurezza implementati da Apple è ancora efficace. Se un'applicazione infetta non viene individuata durante la revisione dell'elenco, verrà rapidamente rimossa dagli scaffali e lo sviluppatore verrà contattato in un secondo momento, chiedendogli di utilizzare Xcode originale per sviluppare e aggiornare l'applicazione. Questa volta il flusso di elaborazione è lo stesso.

Come faranno gli utenti a sapere se sono interessati?

Apple pubblicherà presto un elenco di 25 app infette sul sito Web ufficiale cinese di Apple (apple.com/cn), affinché gli utenti possano visualizzarle e confrontarle. Se le app sono già state scaricate, gli utenti possono semplicemente aggiornarle all'ultima versione.

Al di fuori di queste 25 app, il numero di utenti interessati è diminuito in modo significativo.

A cosa dovrebbero prestare attenzione gli utenti generici?

Prima dell'intervista odierna, Sina Technology aveva già fornito un'interpretazione esaustiva dell'"incidente XcodeGhost". In quell'articolo abbiamo menzionato: Per gli utenti iOS, prima di tutto, non fatevi prendere dal panico. Attualmente il virus XcodeGhost carica solo alcune informazioni di base del prodotto stesso (data di installazione, ID dell'applicazione, nome dell'applicazione, versione del sistema, lingua, paese), ecc. e non coinvolge informazioni personali.

Inoltre, il server del creatore dell'infezione è stato chiuso e non si è più verificata una fuga di informazioni sostanziale. In una conversazione con Schiller, quest'ultimo ha anche confermato che "attualmente non ci sono informazioni che suggeriscano che questo malware sia stato associato a incidenti dannosi o abbia diffuso informazioni personali identificabili".

Dopo un'intervista telefonica, Sina Technology ha confermato ad alcuni sviluppatori che, grazie all'eccellente meccanismo "sandbox" di Apple, l'influenza di XcodeGhost è limitata e non comporterà la fuga di informazioni degli utenti, soprattutto se il dispositivo non è stato sottoposto a jailbreak.

Alla domanda se le vociferate app XcodeGhost potessero lanciare attacchi di tipo phishing anche su dispositivi non sottoposti a jailbreak, Schiller ha risposto: "Secondo le indagini di Apple, ciò non è ancora accaduto".

Cosa ha imparato Apple da questo incidente?

Apple non comunica nulla al mondo esterno sul futuro e, anche se ogni tanto rilascia qualche parola, non rivela mai l'orario preciso.

Durante la conversazione durata mezz'ora, Schiller non ha ancora fornito una tempistica precisa, ma ha sottolineato che si stavano muovendo rapidamente, che tutte le azioni venivano eseguite passo dopo passo e che l'elaborazione successiva "viene calcolata in ore, non in giorni". L'unica cosa che richiede un po' più di tempo è il download di Xcode sul server locale.

Come detto in precedenza, Apple non è perfetta, ma cerca sempre di migliorarsi per raggiungere la perfezione. Apple ha imparato molto da questo incidente e cercherà di evitare situazioni simili in futuro.

Vincitore del Qingyun Plan di Toutiao e del Bai+ Plan di Baijiahao, del Baidu Digital Author of the Year 2019, del Baijiahao's Most Popular Author in the Technology Field, del Sogou Technology and Culture Author 2019 e del Baijiahao Quarterly Influential Creator 2021, ha vinto numerosi premi, tra cui il Sohu Best Industry Media Person 2013, il China New Media Entrepreneurship Competition Beijing 2015, il Guangmang Experience Award 2015, il China New Media Entrepreneurship Competition Finals 2015 e il Baidu Dynamic Annual Powerful Celebrity 2018.