在最近的博客帖子中，Felix Krause揭示了一种网络钓鱼苹果ID密码的方法在iOS上，从真正的iOS密码请求中可以毫无疑问。这让我们思考了这些策略可以在苹果生态系统中使用的其他策略，以及它可以造成什么样的伤害？

图片礼貌krasefx.com

在Krause的iOS网络钓鱼骗局的情况下，通过使用简单的代码，任何应用都可以轻松模拟标准的iOS密码请求，大多数用户不会认为任何东西都是不对的。看着上面的krause例证，我必须承认这是我可能会成为受害者的东西，尽管我可能想知道为什么要求在第三方应用程序的上下文中出现。

但是，我没有将这种特殊的恐怖视为巨大的风险。iOS应用程序只能通过App Store下载，虽然我永远不会说将网络钓鱼应用程序进入App Store，但它肯定不会是一件简单的事情。黑客不仅要潜入审查，他们还必须创建一个诱饵应用程序，这可能令人兴奋地下载 - 即使在拥挤的iOS应用商店中的合法开发人员也越来越困难。我尽可能地看待这个，但不太可能。

当然，还有许多其他情况，应用商店筛选过程不会发挥作用，这可能同样令人信服，如果不是更多的话。

例如，考虑麦斯科斯而不是iOS。与IOS不同，Mac用户可以从任何地方下载应用程序，经常会下载应用程序。这就是Mac用户的最终如何感染恶意软件，广告软件和不道德的垃圾软件。因此，没有审查过程，黑客必须提交。

假设您正在使用您的Mac，突然间，邮件应用程序打开并显示密码请求，因为您的iCloud帐户失败。它可能看起来像下面的图像。你会怎么做？

你能在那里输入您的iCloud帐户密码吗？毕竟，它将可靠地引用正确的iCloud帐户地址。如果您在这种情况下输入了您的密码，很抱歉告诉您，您就是pwned.。

好的，如果您是MAC专家，也许这不是最令人信服的密码请求，并知道这些东西应该是什么样的。（我现在可以听到批评。）但是，有几件重要的事情要记住。

首先，这会欺骗很多人。当然，也许不是Mac AficionAdos，但大多数人不是，不得不是，专家在每个麦克斯对话框中看起来像什么。

其次，这是一个四行Applescript我在五分钟内一起举起的结果，其中有三条线条获取与用户的iCloud帐户相关联的电子邮件地址。将完全可以让这更令人信服。即使只是使用AppleScript，也可以使用不同的技术，并且至少一个我可以想到的技术，我可以想到，我已经看到了一个概念的证据，会非常令人信服。

更糟糕的是，模仿真实麦克斯身份验证对话框，像素为像素，在Xcode中编译的应用程序中没有太多的努力。

事实上，今年早些时候发生了类似的活动HandBrake被黑客攻击以安装质子恶意软件。手刹的恶意副本最终请求登录密码以这样的方式甚至专家均为IT而堕落，例如备受尊敬的Panic，Inc的开发商。

我们已经习惯了这样的密码请求作为我们日常生活的一部分，因此当我们看到它们时，我们倾向于在不考虑的情况下输入密码。毕竟，Mac没有恶意软件，对吗？幸运的是，对于Mac用户来说，这种有害恶意软件的实际发生符号很少，但这在黑客的青睐中，自从我们已经变成了这些要求，并不憎恨他们应得的怀疑。

那么，这类东西可以做些什么？不幸的是，苹果可以做些什么来解决这个问题。应用程序将始终能够显示任何官方麦克斯或iOS密码请求的像素完美模拟。

更糟糕的是，即使是Web开发人员也可以通过组合目标系统和Web形式的屏幕截图来执行相同的操作。代码可以检测到系统并为麦斯卡斯，iOS，Windows或Android显示适当的“窗口”。像覆盖物一样滑到一个被黑客合法的地方的叠加，你可以欺骗很多人。

虽然Apple可以随时将用户指导到一个已知的，良好的位置输入密码，但并不总是合理的。例如，考虑可怕的用户体验Apple在具有新的Mac用户身上已经致电用户批准的内核扩展加载过程在麦斯科斯高山脉。虽然这与密码请求不同，但是一个很好的例子，迫使用户如何出于安全原因迫使用户可能会出现错误的错误，从而导致错误的用户体验实际上可能无法明显更安全。

我们需要专注于改变自己的行为，而不是寻求解决无法修复的内容。每个密码请求都应该总是无论来源，都被怀疑。如果打开邮件，则出现一个窗口询问密码，并不意味着它实际上是邮件正在询问。

在某些情况下，在某些情况下，将这些密码请求与疑似手段进行取消并在已知状态下输入密码。例如，如果请求iCloud密码，则应在系统首选项中手动转到iCloud窗格以进入它。

不幸的是，这并不总是可能的，就像在安装人员询问密码或应用程序要求密码安装帮助工具的情况一样。在HandBrake的情况下，HandBrake询问密码是不正常的，因此在该上下文中看到密码请求是一个红旗。虽然我必须承认我可能已经为假手刹密码请求堕落，但是如果我更加小心，我会检查开发人员的网站或产品文档，以查看手刹是否正常。

如果请求在您使用的Web浏览器时出现，请尝试在屏幕上移动当前的Web浏览器窗口。如果“窗口”和它一起移动，它实际上并不是一个窗口。它是网页顶部覆盖的一个元素，意味着看起来像一个窗口，这将意味着它是假的。

也可以通过故意输入错误的密码来测试这些密码请求。网络钓鱼恶意软件或网站无法知道您输入的密码是什么，因此他们无法知道您有意地输入了错误的密码，并将完全接受您输入的内容。另一方面，如果拒绝了错误的密码，则密码请求可能是合法的。

谨慎和注意密码请求的上下文，您可以避免大多数，甚至全部，网络钓鱼尝试。重要的是要保持一致，而不是因为你匆匆而邋..