由于企业开发者证书被滥用,苹果收紧对企业开发证书的监管

据TechCrunch报道,滥用苹果开发者企业证书项目的开发者不仅仅是Facebook谷歌。一项调查发现,十几个赤裸直白的色情应用与十几个现金赌博应用得以逃过苹果的监管。这些 app 利用苹果的”企业开发者项目”(Developer Enterprise Program),绕开了苹果 App Store 的内容审查。

上周,TechCrunch曾报道,Facebook和谷歌违反了苹果的企业证书项目规则,发布可收集用户流量与收集活动的应用。这导致苹果短暂地撤销了两家公司的证书,从而使得公司合法的员工专用应用无法工作,进而造成公司内部混乱。苹果随后发布一份言辞激烈的声明,指责Facebook滥用特权,发布数据收集应用,违反与苹果的协议。还称,任何利用企业证书发布面向消费者应用的,证书将被撤销,以保护用户和他们的数据。然而,话虽如此,仍有很多被禁止的应用可以从隐藏的开发者网站上下载。

在 TechCrunch 展示的二十多个代表性的 app 里,色情 app 或提供流媒体订阅服务,或按观看内容的次数收费,而赌博 app 则向用户提供了应用内存款、赢钱和取钱的服务。

dep-app.jpeg.jpg

一切问题都源于苹果为企业项目制定的标准过于宽松。该项目的初衷是方便企业向发布仅限公司员工使用的应用,且其政策明确规定”企业不得使用或发布或以其他方式,允许其消费者访问内部应用”。但苹果并未充分执行这些政策。

开发者只需在线填写一份苹果给出的表格,同时支付 299 美元即可获得这种资格。而那份表格仅要求开发者承诺他们开发的企业应用仅供内部员工使用,要求申请人提供 D-U-N-S 企业号码,且拥有最新的 Mac 设备。一到四周后,「企业」就能接到苹果的电话,会被再次要求仅能在内部发布 app。而这些违规 app 的开发者提供给苹果的企业资料,往往只是随手在 Google 上搜到的公司公开信息。

Guardian Mobile Firewall 的安全专家 Will Strafach 研究了这些应用以及它们的证书。经过初步分析,Strafach 称没有明显的迹象表明这些 app 挪用用户数据,但这些 app 确实全都违反了苹果的证书政策,它们提供的内容也都是被 App Store 禁止的不友好内容。

另外,一些第三方网站也直接提供企业证书,结果就是有时会有 5 至 10 个(或更多)不同的 app 使用同一个企业证书。

苹果拒绝解释这些应用究竟是如何成为企业证书签名应用的。公司也拒绝透露其是否对该项目中的开发者进行后续合规审查或是否有打算调整申请审核流程。但一名苹果发言人在给出的声明中表示,公司将关闭这些应用,并或可彻底禁止这些开发者开发iOS产品权限。

“滥用我们企业开发证书的开发者违反了苹果开发者企业账户协议,其拥有的证书将终止,且若适用,他们将完全从我们的开发者项目中移除。公司将不断评估滥用情况,并随时准备采取行动。”