近日，中国网络安全产业联盟（CCIA）发布了《美情报机构针对全球移动智能终端实施的监听窃密活动》（以下简称《报告》）。《报告》分为11个章节，详细披露了针对全球移动智能终端和通讯体系的全方位攻击渗透能力。其中第三篇《悄无声息的入侵——针对苹果手机的“零点击”攻击》，披露了iOS系统鲜为人知的脆弱性。

　　iOS系统平台是由苹果公司开发的移动操作系统，用于iPhone、iPad等苹果移动设备。iOS系统平台内置了一些苹果独有的功能，如iMessage就是苹果公司开发的即时通信服务，具有发送和接收短信、图像、视频和文档等多种功能。《报告》援引网络安全公司卡巴斯基的报告显示，攻击者可通过 iMessage 发送恶意附件，该应用程序在用户不知情的情况下对其进行处理，利用iOS系统的软件漏洞获取设备访问权限，无需欺骗用户去点击恶意链接或下载恶意文件。“零点击”攻击指的就是在整个攻击过程中无需手机用户进行任何交互操作，就可完成对目标移动设备的植入。

　　事实上，美国国家安全局（NSA）也曾在一份文件中提及“零点击”攻击，并给出了防护建议——每周重启一次手机。文件称，重启手机能够强制关闭所有应用程序并退出所有银行和社交媒体账户，从而阻止“零点击”攻击所安装的恶意程序持续访问敏感信息。重启对于鱼叉式网络钓鱼攻击（攻击者通过发送有针对性的欺诈性电子邮件来窃取登录凭证等敏感信息）也有类似的效果。

　　NSA文件还告知用户，经常更新软件和应用程序非常重要，这样能确保设备安全。然而，《报告》中的第十篇《APP“调包计”——“怒角”计划的植入式攻击》披露了由NSA和其他“五眼联盟”国家情报部门联合发起的“怒角”计划，通过劫持谷歌和三星应用商店的下载链接，情报机构在用户下载或更新应用程序时，修改目标智能手机和应用程序服务器之间传递的数据包的内容，然后发送给手机，骗取用户安装已植入间谍软件的“调包”APP，利用手机APP漏洞，从而对目标手机进行严密监控，收集海量用户信息，进行情报提取作业。

　　《报告》指出，相比传统PC端，手机等移动智能终端有更多的网络安全暴露面和可攻击面。《报告》强调，面对强大的体系化网络攻击，各国移动终端产业体系（包括SIM卡、手机生产制造、关键APP研发、互联网服务等）要针对性地提升相关产品与软件代码安全工程能力，涵盖研发生产环节的全生命周期的防护能力。

　　iePass FIDO Security Key是飞天诚信（300386）FIDO Security系列产品中的一个型号。该产品具有lighting和USB Type-C双接口，通过了MFi和FIDO2双认证，为iOS设备用户提供身份认证服务，也可用于Android或Windows设备。iePass FIDO基于CC EAL6+认证的高性能安全芯片，所有凭证都存储在安全芯片内，芯片本身可以保护数据免受一定程度的物理攻击。

　　bInterPass3000“蓝牙二代key”是飞天诚信为手机银行提供的智能密码钥匙产品，该产品具备“所见即所签”的安全特性，交易时通过自身屏幕显示交易信息供用户核对，待用户按键确认后生成交易所需的数字签名；报文解析及确认响应等关键环节在产品内部的安全芯片完成，不受外界干扰，即使用户手机被远程控制，攻击者也无法操控该设备，从而有效阻断盗用风险。产品支持Windows、Linux、鸿蒙NEXT、iOS、Android等多种操作系统以及信创操作系统（统信UOS、麒麟等），可配合多种主流浏览器使用。bInterPass3000获得了网络安全产品检测证书，并且通过了第三方安全检测机构的检测，服务于多家银行的网上银行系统。

　　《报告》汇聚了包括中国网络安全企业在内的全球安全研究者、学术机构和国际安全企业针对美方攻击活动的分析研究成果，揭露了美方针对全球移动智能终端和通讯活动开展的监听窃密行动，无论是政府官员、技术专家等高价值目标还是普通民众，都有可能成为美情报机构开展情报活动的目标。中国外交部发言人应询表示，中方注意到有关报告，对报告曝光的美方恶意网络活动表示严重关切，敦促美方立即停止有关行为，特别是停止利用全球供应链实施恶意网络活动，以负责任的态度，给全世界一个交代。