除非你过去几天一直与世隔绝（如果是这样，那你直接来到这里就是个明智的决定），否则你肯定听说了：上百位不同名人的大量私密照片被公开了。
这次隐私泄露与 iCloud 有关，但并不能完全归咎于它。事情已经很清楚，这些照片是在相当长一段时间里从许多不同来源收集来的。这类泄露往往会招致重刑，这次想必也不例外，但我认为许多人都低估了究竟有多少 iCloud 数据被盗。
登录 iCloud
iCloud 里存着哪些数据？
在 Reincubate，我们乐于让人们访问自己的数据。我们自己也经历过数据丢失，深知找回数据意味着什么。最近几周，我们一直在开发并推出一个用于拉取和解析 iCloud 数据的 API（如果你的公司可能用得上这类服务，欢迎联系我们），所以我们对保护你数据的出色安全机制略知一二，也了解仅凭 Apple ID 和密码的组合能做到什么程度。
有了你的凭据和带有 iCloud 功能的 iPhone Backup Extractor，你可以提取 iPad 或 iPhone 上的照片（如今我们都已深有体会），也可以提取所有的短信数据、联系人、特定应用的信息（WhatsApp 等），这还只是其中一部分！此外，你还可以使用备份之外的其他 iCloud 功能，比如追踪 iPhone 的位置，或下载你存储在 iCloud 中的文件，例如文档、日历、书签等等。很方便！
当你丢了手机，却能保住那些宝宝照片、那位商务联系人或者那段毛茸茸宠物的视频时，这简直太棒了。但当这些信息落入恶意第三方之手时，就完全不那么棒了。
iPhone Backup Extractor 访问 iCloud 数据
数据是如何泄露的？
如上所述，你必须拥有 Apple ID 和用户名的组合才能访问这些数据，别无他法。（当然，除非你有一支世界级的密码学家团队，用全新的数学方法去破解领先的加密标准，但那样的话，你多半有更重要的事要做。）对绝大多数人来说，找出某个用户的 Apple ID 并不容易，但请记住，它其实就是一个电子邮件地址，而且视你在网上的曝光程度，想隐藏邮箱可能很难。许多人会为不同的服务使用不同的密码（你也应该这样做），但我们很少使用不同的电子邮件地址，所以一旦发现了某项服务所用的邮箱，推测它同样适用于其他服务，也算不上多大的跳跃。
这样就只剩下密码了，而密码可以被猜测或重置。重置密码需要能访问该电子邮件账户，或者知道你设置的各种密保问题的答案，但这些信息可能很难获得。相比之下，猜测密码则完全不需要了解账户所有者的任何信息！因此，任何认真对待安全的公司，自然的做法就是增加猜测的难度。如果你有 Apple 账户，也许还记得你的密码必须满足的种种规则才算可用，这就是让攻击者更难得手的第一道手段。再也不会因为天真的用户把密码设成 123456，或者永远名不副实的 changeme，而被人轻易闯入了。
“好的，密码已经够强了（算是吧），接下来呢？”
问题的第二部分是大量反复猜测。对此有几种不错的办法。其一是让这个过程变慢，要么执行成千上万次哈希迭代，要么使用“慢速”算法（这篇文章对此有更深入的讨论，如果你对这类内容感兴趣的话）。这样虽然减少了每秒可尝试的次数，但还能做得更多，而且在大多数情况下确实做得更多。我们设置了多重保护措施，确保账户根本无法被暴力破解。
还可以采用各种技术（例如，监控登录尝试，发现可疑活动就停用账户），但这次的问题在于，有一个登录 API 没有任何额外的保护。攻击者发现，“查找我的 iPhone”API 允许无限次尝试密码，也就是说，他们只需要试一遍常用密码的清单，指望其中有一个能成功。
就是这样，就是这么简单。
但现在不会了，漏洞一被披露，Apple 就及时修补了它。Apple 采取了多项预防措施，防止第三方未经授权访问用户数据，但保护自己的数据也是你自己的责任，无论是使用 Apple 的 iCloud，还是其他应用和服务。
