當我收到蘋果公司在“全球開發者會議”的演講活動的邀請函時，我的第一反應是：“為什么邀請我呢?” 我是被公認為搞安全的，這意味著只有在出現安全問題時我才會被邀請出來。但是在我看完邀請函后，我明白為什么了。

在蘋果公司的IOS和OS X系統被討論的眾多新特性中，兩個安全相關的問題被特別關注：iCloud鑰匙串和激活鎖;當我看過這些功能的演示和接下來的時間里發布的一些新特性，我開始意識到蘋果公司正在向安全戰略靠近，這是我之前沒有想到的。

人為因素

蘋果公司因其將“專注于設計和用戶體驗”為首要指導原則而出名，當遇到安全問題時，就像是自找麻煩。所有的安全幾乎都是在為攻擊者設置重重障礙，但是同樣的不便也會帶給用戶(盡管有安全廠商的索賠)。

多年來，蘋果公司傾向于良好的用戶體驗而遺留給用戶的是安全風險。

保護好你的密碼：重要的是他們保護我們和我們的設備，但他們又是一個最普遍被鄙視的東西(我曾經到處找密碼)。

多年來，蘋果公司傾向于良好的用戶體驗，而遺留給用戶的是安全風險，這一戰略實施了很長時間，部分原因是蘋果市場的占有率很低，不是被攻擊的目標。但是，現在的蘋果產品正在普及，在安全市場上很多人想知道在如今被關注的位置下，蘋果會怎樣調整自身的安全策略。

事實上，蘋果公司不僅平滑的處理了變化，而且已經接受了它。盡管開局不利，蘋果公司現在將其令人印象深刻的設計理念變得更安全，以自己的方式在過程中改變我們對安全和技術的預期。

務實的設計

雖然蘋果公司沒有說的那么明確，很明顯的是，一個重要原則引導他們談到安全問題：你越是阻止用戶去做一件事情，用戶就越有可能繞過安全措施。在公司的WWDC(全球開發者會議)主題演講中有三個很好的例子：

​iCloud鑰匙串：當蘋果首次宣布此功能時，我感到很疑惑;為什么要添加一個密碼器來管理操作系統和默認的瀏覽器呢?現在已經有大量的第三方應用程序已經這么做了，而且這并不是一個可以讓用戶感到驚奇的功能。

然后我意識到蘋果其實是在解決現實世界中的安全問題，他試圖讓問題簡單的離開用戶，蘋果當然不能夠阻止釣魚攻擊，但是它可以添加一個內置的、基于云端的密碼管理器，這樣既降低了安全風險，又提高了用戶體驗。這樣可以使用戶使用復雜、特定的密碼，這個密碼可以使用戶同步他們所有的設備(當然，這里假設用戶只使用蘋果產品)。

正如我們在WWDC看到的，隨著安全特性深度集成在瀏覽器中，用戶不必管理插件或者額外的點擊按鈕來決定什么時候該使用這個工具，在用戶需要它的時候就會自動彈出來，這樣比手動輸入一個密碼看起來更容易使用。這種更人性化的設計原則，不僅解決了安全問題，而且還增強了用戶體驗。

無需安裝額外的軟件或插件，也不用記住點擊哪些按鈕，iCloud鑰匙串用來增強用戶安全可能不是足夠好，但是它將密碼管理權交給了用戶。

激活鎖：世界各地偷竊蘋果設備的案件接連不斷，雖然我們可能會責怪蘋果公司做出如此令人滿意的產品，但是蘋果公司顯然是不愿意看到人們在公眾場所因為恐懼盜竊而不得不隱藏他們的設備。手機運營商可以通過拒絕激活被盜的手機而大大的減少盜竊案(每臺蜂窩設備都有獨一無二的硬件ID)，但是到目前為止，他們一直行動緩慢。即使國內運營商創建注冊表項，但是并不是國外運營商也能這么做，并且還會有壞人把設備偷渡到海外。

激活鎖使得決定權不在運營商手中，而是在實施一個全球性的解決方案，除非有新的黑客技術，否則手機一旦被盜，手機和iCloud都將無法使用，除了擁有一個免費的iCloud賬戶外用戶不必做任何事情，沒有載波鎖定、登記、注冊工作，沒有其它障礙來阻止使用它，該特性減少了對消費者使用額外的成本來防止設備被盜。

所以，在此重申一遍，蘋果公司是在解決現實世界遇到的問題，而且不影響用戶的體驗(也許只有時間會證明它是有效的)。

守護者和Mac App商店：我之前寫過的一篇文章，守護者具有沙盒、App 商店、代碼簽名等技術，大大的減少了用戶被誘導安裝惡意軟件。這是基于終端沙盒技術和依賴于IOS的App商店來成功實現的，在IOS平臺阻止了大量的惡意程序的出現。

再次，蘋果公司解決用戶端的問題，它不依賴于深度的安全技術使得目標可以被欺騙繞過，相反，通過推動用戶依賴于App商店和提供強有力的激勵措施(比如簡單易用的更新和免費的升級)，蘋果減少了用戶從其它地方下載App，從而減少了安全風險，蘋果公司的守護者可以讓用戶不會偶然的下載不信任的應用程序。

這種方式挫敗了惡意軟件的攻擊并最低限度的影響用戶體驗，大多數用戶不用考慮他們使用的程序是從哪里來的或者是否安裝了不良的程序。

讓安全問題消失不見和務實的設計

你會在蘋果公司的其它地方看到同樣的處理方式：

通過使用FileVault2，為用戶提供全磁盤加密來保護丟失的筆記本電腦，同時，如果用戶不小心把自己鎖住了，該技術允許用戶安全、免費的恢復他們的系統(而不會給國家安全局留下后門)。Xprotect提供無形的、基本的反惡意軟件來保護電腦，免去殺毒軟件等工具。除非用戶有明確的需求，否則在瀏覽器中的Java是自動被禁用的，最大限度的減少對Mac電腦的攻擊。IOS會很快的對所有應用程序做強加密，同時做嚴格的隔離，有效的消除了大部分的攻擊形式。

這些嚴格的控制可能會阻礙一些技術先進的用戶，包括一些安全廠商。但是他們確實是提供了一個安全的用戶體驗，在過去的五年時間里有效的證明了這是正確的。

根據這些理念所一貫執行的措施都是蘋果公司正在進行的嘗試，在可能的情況下，使用安全策略來改善用戶體驗也是可以實現的，另外，通過專注與設計，蘋果持續采用這些技術，所以，會使得蘋果產品越來越安全。

譯者按：

iCloud鑰匙串

這個新功能將會把同一個用戶的蘋果設備里的網頁密碼和wifi密碼等全部通過iCloud存儲到iCloud鑰匙串里面，它會同步到所有蘋果設備里面。

舉個例子：如果你拿著一臺iPhone去到朋友家里，然后蹭他家里的wifi，然后iCloud鑰匙串將會把這個wifi密碼保存到云里。如果這時候你將Macbook拿出來在他家辦公，那么這臺Macbook將會自動蹭他家的wifi，無須再搜索wifi和輸入密碼了。

激活鎖

該功能旨在降低蘋果設備的被盜率。

當小偷準備關閉iOS設備的“找到我的手機”功能，或者企圖刪除手機數據、重置系統時，會被系統要求輸入Apple ID和密碼。

由于小偷無法向以前一樣重置系統，被偷的設備流入黑市的可能性就很小了，這大大降低了小偷手中被盜設備的價值，也就降低了iOS設備被盜的幾率。

*本文由美國安全顧問公司Securosis安全研究員Rich Mogull撰寫，IDF志愿者張土豆翻譯，做個好人校驗。