根據資安研究員 Talal Haj Bakry 與 Tommy Mysk 的最新報告指出，蘋果 macOS 存在一個潛在的「替身」攻擊漏洞，允許攻擊者在不需提升權限的情況下，將已下載且曾執行過一次的應用程式主執行檔替換為惡意版本。這項發現已經向蘋果回報，但公司認定這不屬於需要修補的安全漏洞。
數據發現：替身攻擊如何發生
研究人員指出，只要應用程式是从網路下載並完成首次開啟驗證，攻擊者便可以在不需提升權限的情況下，將其主執行檔替換為惡意版本。根據他們的測試，包括 Brave、Slack、Signal、Visual Studio Code 等 7 大應用程式都存在被竄改的風險。
具體攻擊流程為：攻擊者可以將已執行過一次的應用程式封存後再還原，這樣 macOS 在應用程式束內的主執行檔被替換後，仍不要求重新授權。數據顯示，這種方法可以繞過 macOS 的「門禁」（Gatekeeper）防護機制。
解讀意義：系統漏洞的影響
這類攻擊不適用於 Mac App Store 應用程式，因為它們通常由 root 擁有；但對於從網路下載、由使用者帳號擁有的應用程式，風險就可能存在。研究人員強調，被替換的程式不會繼承原本的簽章身分、權限或既有的 TCC 授權，但當它嘗試存取桌面、檔案夾或 Keychain 等受保護資源時，系統顯示的授權提示仍會沿用原本應用程式的名稱與圖示，可能讓使用者誤以為請求來自可信軟體而按下允許。
根據研究人員 Talal Haj Bakry 的說法，「問題核心在於 macOS 在應用程式束變動後未重新驗證簽章，且授權提示只顯示應用程式名稱與圖示，未清楚標示真正發出請求的程式碼簽章身分或 Team ID」。
產業影響：蘋果的回應
蘋果則回應，「門禁」的設計重點是檢查首次開啟前的下載應用程式，而非持續監控使用者已擁有且可修改的檔案；公司也認為，這種情況仍需要使用者自行批准權限請求，因此不屬於其定義中的安全問題。數據顯示，蘋果對於此漏洞的態度可能影響未來的系統更新策略。
蘋果發言人表示，「門禁」的設計目的是確保首次執行應用程式時的安全性，而不是長期監控應用程式的每一次執行。
數據背後的啟示
從產業面來看，這項漏洞揭示了操作系統在安全性設計上的盲點。蘋果的回應表明，公司在安全性和用戶體驗之間的權衡存在分歧。未來，用戶在選擇應用程式時，應更加謹慎，特別是那些從網路下載的應用程式。建議用戶定期檢查應用程式的簽章和權限，並保持操作系統和應用程式的最新更新。
從用戶的角度出發，這項漏洞提醒我們，即使是來自知名開發者的應用程式，也可能存在被竄改的風險。建議用戶在授權請求時，仔細檢查提示信息，避免因疏忽而授予权限。
如果你對這篇文章有興趣，不妨分享給身邊的 Mac 用戶，提醒他們注意這項潛在的風險，並採取必要的防護措施。
本文改寫整理自公開新聞來源，原始報導由科技新報發布。
常見問題 FAQ
什麼是「替身」攻擊？
「替身」攻擊是指攻擊者在不需提升權限的情況下，將已下載且曾執行過一次的應用程式主執行檔替換為惡意版本。
哪些應用程式存在被竄改的風險？
包括 Brave、Slack、Signal、Visual Studio Code 等 7 大應用程式都存在被竄改的風險。
蘋果為什麼不認這是漏洞？
蘋果認為，「門禁」的設計目的是確保首次執行應用程式時的安全性，而不是長期監控應用程式的每一次執行。因此，公司認為這種情況仍需要使用者自行批准權限請求，不屬於其定義中的安全問題。
※ 此篇文章由 AI 改寫或生成，內容僅供參考，可能存在錯誤或不準確之處。
