热议苹果Xcode事件，你的下载路径安全了吗？

chenxing2

话题背景:

作为一枚程序猿，有一个称手的工具可以攻城掠地，势如破竹，但如何搞到一个称手的工具有时确是一件困难的事。

如苹果手机的开发工具Xcode,在APP STORE只有最新版下载，没有之前版本下载（问的开发人员），如果需要之前的版本需要其他途径下载，但这问题来了，通过其他地方下载的工具是否安全呢？

最近爆出一个新闻：

苹果出大事了，12306，网易云音乐，等一系列知名国内软件被查出病毒
在乌云上得到消息，有病毒开发者在给苹果手机的开发工具Xcode内写入了一些病毒代码，导致用这个开发工具生成的移动App都会自动在手机端收集用户使用的应用、国别、系统版本、语言、国家，等信息，并上传到病毒使用者所拥有的网站内。

感兴趣的可以去百度以下。


讨论话题（包括但不限于开发工具,也可以是应用软件之类）

1. 你用的工具都是从什么途径下载？
2. 你是否知道你下载的工具有没有在偷偷的获取你的隐私数据？
3. 你为什么不在官方地址下载？
      如果有软件是收费的，为什么不付费购买,难道真缺这点钱？
      如果有软件不是收费的，为什么不在官网下载？
4. 你所在的公司是如何管理员工电脑软件安装的？（包括免费、收费等软件）


讨论时间：2015年9月21日—2015年10月20日


活动奖励：
讨论期间，大家可以相互评分，评分排名前5名的兄弟，各送一本ChinaUnix技术图书。(如不想换取图书的兄弟，可以等值兑换价值2800的可用积分奖励)

KoomIer

1. 你用的工具都是从什么途径下载？
    有一些是官网下，可能是免费的官网开放下载的
    有一些就是直接各种论坛下载的

2. 你是否知道你下载的工具有没有在偷偷的获取你的隐私数据？
    明确知道。国内主流网站都是缺乏规范。
    比如腾讯作为一个即时通讯软件，却会去关心我用的什么杀毒软件，你知道他没有看看你的银行账号，何况他的朋友网可以迅速完成你的关系网建设
    还有非申明类的使用你的cookie， 你搜一个王二蛋， 明天所有你的网页广告都是王二蛋，还是都是不靠谱的

3. 你为什么不在官方地址下载？
      如果有软件是收费的，为什么不付费购买,难道真缺这点钱？
      如果有软件不是收费的，为什么不在官网下载？
      <1>  长期以来形成的习惯吧
      <2>  国内不翻城墙的话，大多都是用baidu搜索下先，普通人很难找到软件的官网吧

4. 你所在的公司是如何管理员工电脑软件安装的？（包括免费、收费等软件）
    公司有完整的软件系统的维护与监控， 但是看公司吧， 小软件公司也没有管的样子， 大公司比如Adobe什么的会给你发邮件要么卸了要么部门出钱买正版
    除了有专门的安装与卸载的平台，除了专业软件，一般还都是自己网上下载的

rover12421

1. 你用的工具都是从什么途径下载？
能在官方下的,只在官方下.官方不没下载连接的时候才去比较知名的站点下.

2. 你是否知道你下载的工具有没有在偷偷的获取你的隐私数据？
知道啊.比如迅雷,肯定会活取的,所以现在都不用迅雷.

3. 你为什么不在官方地址下载？
      如果有软件是收费的，为什么不付费购买,难道真缺这点钱？
不是缺不缺钱的问题,是没这个习惯,和心态.已经被长久的盗版熏陶的不能自已了.
      如果有软件不是收费的，为什么不在官网下载？
如果官方有下载连接,肯定是去官方下,哪怕是要翻x墙的也是一样.

4. 你所在的公司是如何管理员工电脑软件安装的？（包括免费、收费等软件）
自给自足,没人管你.出了问题也的自己找原因.

shang2010

寡人全部官方下载工具途径，这个天生不爱盗版，安全习惯

shang2010

水果也被忽悠了，漏洞大大的存在

qinyiwang

1. 你用的工具都是从什么途径下载？
    公司电脑权限设置很严格，对电脑没有管理员权限（听说有些公司干脆只能访问内网，外网不能访问），要装软件必须是在“白名单”中的，而且是由有权限的人来操作。那么下载的话只能从公司的“共享盘”中下载了，不存在“其他途径”。
    自己家里的电脑中多数也是从官网的，要么是朋友U盘里拷的，一般的链接我也不敢点击。

2. 你是否知道你下载的工具有没有在偷偷的获取你的隐私数据？
    应该有吧。


3. 你为什么不在官方地址下载？
      如果有软件是收费的，为什么不付费购买,难道真缺这点钱？
      如果有软件不是收费的，为什么不在官网下载？
那种付费的我就没有买过。。。额破解版好像大行其道。。。

4. 你所在的公司是如何管理员工电脑软件安装的？（包括免费、收费等软件）
    （同问题一）公司电脑权限设置很严格，对电脑没有管理员权限，不能安装。要装软件必须是在“白名单”中的，而且是由有权限的人来操作。收费软件也是公司买了的，有license的。因为如果装破解软件属于非法行为，公司要赔钱的。

weihu120

首先我想说的是虽然APP STORE只有最新版可下，但水果公司的开发者网站上是有以前版本可下的，如果一个开发人员连这个都不知道我也真是醉了。此事爆发之前相应用迅雷之流下载xcode的应不在少数，所以才出现这么搞笑的一幕，xcode免费，那为何不去官网下呢，国内的网络情况大家都懂的，就不多说了。

chenxing2

回复 37# 第一最寂寞i

兄弟你…………


   

第一最寂寞i

高富帅都是选择越狱，别问为什么，就是任性，直接下一个什么91助手什么的，想下什么就下什么，至于什么隐私不隐私的，我就不知道了，反正我上面就是妹子多，给他几个也无妨，我们公司都是让我们下盗版的啊，大声说出我们公司的名字叫杭州数云信息技术有限公司。我为你感到骄傲。

obsd178

1. 你用的工具都是从什么途径下载？
基本都在官方网站下载

2. 你是否知道你下载的工具有没有在偷偷的获取你的隐私数据？
盗版、破解版基本都有后门代码

3. 你为什么不在官方地址下载？
      如果有软件是收费的，为什么不付费购买,难道真缺这点钱？
有的时候真的买不起
      如果有软件不是收费的，为什么不在官网下载？
天朝网络问题，木办法
4. 你所在的公司是如何管理员工电脑软件安装的？（包括免费、收费等软件）
自给自足

另： Xcode 终极杀－居家必备，防御利器，铁布衫级别
http://bbs.chinaunix.net/thread-4188752-1-1.html

shang2010

外媒:App Store遭攻击是咎由自取

据路透社报道，或许有些人将苹果应用店App Store首次遭到大规模攻击归罪于中国的“国家防火墙”（Great Firewall），但专家们指出，一些中国科技大公司松懈的安全审查程序，以及苹果自身对中国开发者的支持也是导致此事件的原因之一。
病毒软件XcodeGhost感染了数百甚至数千个iOS应 用，其中包括被数亿人使用的中国最成功科技公司开发的产品。发现此问题的美国互联网安全公司Palo Alto Networks表示，攻击者可以向被感染设备发送命令，盗取个人信息，理论上还可进行钓鱼攻击。黑客是通过伪造版苹果Xcode工具包发动攻击——该软 件用于在iOS上开发应用。
中国应用开发商碰碰的CEO田行智（Andy Tian）称：“我要用‘无知和自满碰到一起’来形容，无知的是苹果，自满的是中国公司。”这次事件对中国科技公司的声誉有损害，受影响的公司包括腾讯控股和滴滴。腾讯和滴滴都拒绝发表评论，称他们已经修复了漏洞，用户数据未受影响。网易云音乐也受到影响，该公司在官方微博上向用户致歉。
苹 果App Store以前几乎没有病毒，不清楚修改后的代码是如何通过了苹果严格的应用审批过程，开发者更新应用常常需要等1周时间审批。移动约合应用Cuddli 创始人罗伯特·沃克尔（Robert Walker）表示：“苹果的特殊之处就在于这种审批。据悉，这种审批包括了安全审查，但在很多应用上他们都疏忽了这点。这是巨大的错误。”
对此，苹果女发言人未回应审批流程和中国开发者为什么使用非官方Xcode的问题，但苹果的一位高管表示，公司会想办法使中国开发者更容易下载工具。苹果首席营销官菲儿·席勒（Phil Schiller）对新浪称，将在中国提供开发者软件的国内下载工具。一些中国公司称，他们下载非官方苹果开发者工具，是因为与国际服务连接的网速低。
中国是苹果的大市场，上季度大中国区带来130亿美元收入，2014年1月苹果曾表示，中国开发者发布了13万个应用。如果苹果早点提供官方Xcode软件的快速本地下载来源，可能就避免了此问题的发生。