在 App Store 以外的渠道安装 App，要小心这些风险
少数派，帮你找到好用的 App，晋升工作效率和糊口品质。「我想在手机上玩 GBA 游戏，App Store 里咋一条目模拟器都找不到呢？」「我想在 iOS 上双开微信，有没有安装包」「有没有 XX App 的免费破解版？」相信有很多 iPhone 用户都有过这样的迷惑，在 Android 下可以随意安装的应用在 App Store 中却找不到。
Android 往往只要一个 APK 包就能随意安装各类应用，如何在 iOS 下自由安装应用，这也是不少 Android 转 iOS 用户的迷惑。有人找到了所谓「简单便利」的第三方应用商铺，甚至还能安装各类破解软件。它们都经由过程网站直接下载并安装企业级证书实现，然而现实上这类应用往往陪伴着极高的风险。
今天就给大师具体讲讲，为什么不建议大师在 App Store 以外的第三方渠道安装应用，这些应用市场背后的故事，以及安装第三方应用的风险。
何为 iOS 第三方应用市场
很多人习惯性地认为，因为 iOS 权限的封锁，下载应用的独一路子就是 App Store。但现实上也有一些 iOS 的第三方应用市场。
一条目 App 想要上架 App Store，就必需需要颠末苹果的审核。除了色情低俗等违法内容之外，盗版、破解版、模拟器、微信双开这些类型的应用都属于「违规应用」，十足不克不及上架。需要注重的是，违规的尺度是由苹果拟定的，违规 ≠ 违法，早些年的输入法应用就是一个很好的例子。
那么，如何才能绕开苹果的审核，让用户安装上自家应用，就当作了摆在这些无法正常发布 App 的「违规应用开辟商」面前的第一道难题。
在这种情况下，2013 年国内降生了一条目名为「快用苹果助手」的第三方东西，经由过程打擦边球的方式在 App Store 上架了一条目伪装当作浏览器的应用，用户可以或许经由过程这条目应用绕过 App Store，实现免费安装收费 App 和盗版 App。同时推出了 PC 客户端，在未逃狱的环境下经由过程毗连电脑安装所谓的正版应用，现实上全数都是盗版。
与此同时，因为 iPhone 的市场需求大，Apple ID 的注册流程又比力长。二三线城市的手机发卖实体店为了避免呈现后续办事问题，往往不肯意帮忙用户在 App Store 注册账号下载应用。便借助这些看似便利快捷，实则公开传布盗版的各类「应用助手」们代庖，完当作应用的安装。所以这样的东西在今天仍然有着很大的市场。
除了第三方应用市场，也有一些应用推出了本身的官网，在官网上点击下载按钮后也能安装到当地。
但只如果非 App Store 路子安装应用，初度点开应用时城市弹出一个「未经信赖的企业级应用」的弹窗。这些「助手们」往往会指导你到「设置 - 通用 - 描述文件与设备办理」中信赖企业级证书，之后就能打开应用了。
无论是应用市场仍是单个第三方应用，它们采用的体例大多是经由过程这种信赖「企业级证书」的体例实现的。
那么这个企业级证书，事实是个什么工具呢？
何为企业级证书
在没有逃狱的环境下，无论是否经由过程 App Store 下载，一条目应用必需经由过程「证书」签名的体例，才能在设备上运行。
这些「证书」需要标的目的苹果公司申请。本家儿要流程是由开辟者标的目的苹果提出申请，苹果收取必然的费用后授予证书，开辟者才能在 App Store 上架应用。若是没有证书，应用便无法打包分发，更不克不及上架 App Store，纯 IPA 文件也无法在设备上运行。
这样的证书一共分为四种——
- 免费证书：免费。但开辟的应用不克不及上架 App Store。凡是是供给给新手开辟者的。
- 小我证书：收费，99 美元 / 年。开辟的应用许可以小我名义上架 App Store，许可进级到组织证书。自力开辟者会选择利用这一档证书。
- 组织证书：收费，99 美元 / 年。与小我证书最大的分歧在于许可多人开辟，但需要填写公司的 DUNS 编码，许可上架 App Store。
- 企业级证书：收费，299 美元 / 年。许可自行发布 App，但不许可上架 App Store，且没有设备数目限制。往往是用于公司内部利用的 App。
苹果官网对这几种证书有具体的申明和对比，在这些打算之外，其实还有一种免费的教育开辟者证书，这里关系不大，暂且不提。
我们可以发现这前 3 种证书面标的目的的人群半斤八两精确，从新手到小我开辟再到多人开辟，而且不许可在免费证书下直接发布应用，若是开辟者想在 App Store 中发布应用就必需采办证书。
但企业级证书是自力于前 3 种环境之外的，在苹果的官网上也分为两个路线，前 3 种证书均属于 Apple Developer Program，只是需要提交的资料分歧。而企业级证书则属于 Apple Developer Enterprise Program，有着自力的流程。费用较前者高良多。
企业级证书办事的对象是企业内部的员工，部门企业内部的应用出于某些考量是不适合上架到 App Store 的。好比企业为内部开辟了一个打卡应用，这条目应用上架到 App Store 对通俗公共而言没有任何价值，并且需要颠末较长的审核期。所以苹果为此自力出一种类型的证书，专门供给给企业利用。
这类证书也可以被用于 App 内部测试，一条目应用在正式发布到 App Store 前，可以经由过程企业级证书对 App 进行签名，让公司内部的员工先行测试（团队证书最多只能由 100 台设备安装，企业证书则没有上限）。因为是半当作品且凡是是小规模应用，苹果不会对这类应用进行审核。
一些公司会选择同时采办组织证书和企业级证书，前者用于将 App 上架到 App Store，后者用于在公司内部测试这条目 App。这些都是属于企业级证书的正常用法。
可是，企业级证书和第三方应用有什么关系呢？不是只能由企业发布 App 吗？上面都是正常用法，接下来就该讲讲滥用的方式了。
滥用企业证书的风险
尽管苹果但愿的情景很夸姣，但现实环境有所分歧。因为这些应用无法经由过程 App Store 发布产物，于是只能经由过程滥用企业证书的方式来实现目标，这种体例往往陪伴着较高的风险。
绕过 App Store 审核
因为企业级证书的特点很是光鲜：
- 打包便捷，在应用开辟时代不需要证书介入，只有在完当作开辟后的分发环节需要利用到证书，对 App 签名。
- 无限数目，企业级证书撑持无限数目的设备安装 App（小我和组织最多在 100 台设备上测试）。
- 无需审核，不需要颠末 App Store 的审核，即可经由过程网页分发下载。
这样的特征不仅适合公司内部利用，甚至和 Android 应用接近，很是适合进行传布，这便给了第三方应用市场可乘之机。
一些公司钻了企业级证书的空子，把那些原本需要付费采办的应用用企业级证书打包后，在应用市场内分发给用户。这就属于企业级证书的滥用。
这种行为不仅是传布盗版这么简单，因为企业证书未经审核，端赖开辟者自发。所以这些应用完全可以窃取用户的信息和数据。即即是一条目已经在 App Store 上架的应用，第三方商铺仍然需要颠末破解和二次封装才能进行分发，一些无良商铺甚至会在破解版的应用内添加一些恶意代码，或是把一些内容暗暗传输到本身的办事器上。这些行为通俗用户是无法察觉的，有可能小我信息泄露甚至是影响到财富平安。
点窜破解版平安性堪忧
在 2016 年，就有一篇题为 《微信双开是按时炸弹？关于非逃狱 iOS 上微信兼顾高危插件 ImgNaix 的阐发》 的手艺阐发文章。此中阐发了一条目名为「倍推微信兼顾」的 App，可以实此刻未逃狱的 iOS 设备上实现微信双开。这样的应用是绝对无法经由过程 App Store 的审核的，所以它的安装体例就采用了企业级证书。
这条目未经 App Store 审核的微信双开应用在微信的根本上做了大量点窜，代码中甚至绑缚了支付宝的 SDK，用于挪用支付宝的快捷支付功能。颠末收集抓包阐发后，这条目应用还会推送一些办事收费的信息到手机上。尽管应用在测试过程中没有恶意进犯的倾标的目的，但应用内预留了很多高危险的接口，一旦破解者有了此外心思，即即是微信的账号密码也能随意获取。
从这个角度讲，微信因为用户利用双开而进行短时候封号，还真的是为用户好。
私有 API 挪用数据
滥用企业级证书最大的问题还不仅仅是点窜破解，它还能闪开发者利用一些私有的 API。从而获取用户的手机号、通话记实、联系人、账号信息，甚至是短信内容。
就在本年的 2 月 1 日，苹果接踵撤销了 Facebook 和 Google 的企业级开辟证书，Facebook 诱导青少年安装一条目 Facebook Research 的 App，这条目应用可以挪用一些私有 API，来大量采集用户的隐私信息，甚至包罗在亚马逊上的订单截图。
这种级此外权限显然是超出 App Store 应用的，当这些私有 API 被不怀好意的人操纵时，手机的信息平安令人担忧。
所以，一旦揭开那些滥用企业证书应用的伪装，就会发现此中躲藏的危机数不堪数，只是大都用户还被蒙在鼓里。究竟结果这些应用市场不仅很难经由过程正常手段盈利，还要为随时可能被封的企业级证书支出昂扬的当作本。即便你认为一些完全没有密码泄露风险的应用，也有可能被添加了一些代码，让你在无意中酿成了砧板上的鱼。
苹果为何不管控？
若是企业级证书真的如前面说的那样轻易被滥用，那么为什么苹果还纵容他们，不将他们的企业级证书封禁呢？
现实上，恰是因为滥用企业证书有如斯高的风险，苹果凡是是不许可滥用企业证书的，封杀力度也半斤八两高。一旦发现就会封杀该企业证书。该证书名下的所有应用就会直接闪退，无法继续利用。这也是为什么在应用市场中安装的应用，每隔一段时候就会呈现闪退的环境，必需从头安装才能解决。
可是很多做这类生意的公司城市打一枪换一个处所。经由过程大量采办企业证书，来规避被封杀的风险。往往是一个企业证书被封杀了，换一个证书又呈现了。所以我们每次在设置中看到的企业证书都有所分歧。
并且 App 的利用者往往不会本家儿动举报企业级证书，只知道应用不克不及用了，删了重装就好了。所以这就造当作了现实上的监管坚苦，使得应用市场得以在夹缝中保存。
如何避免风险
好在少数派的读者们遍及有着较高的正版意识和手机利用常识。所觉得了尽量避免发生近似的风险，该当警告身边的伴侣和长辈，避免经由过程这些商铺安装应用。若是可以或许经由过程 App Store 下载，就要尽可能避免安装需要信赖证书的应用。
若是在不经意间已经安装了应用，也不必过度发急。得益于 iOS 的沙盒机制，只要不在设置中信赖它的企业级证书它就无法运行，不会发生任何影响。
总结
总之，「iOS 的平安性高」是基于整个沙盒情况而言的，无法实现绝对平安。在 App Store 的审核机制下可以或许尽可能包管 App 自己的平安性。而经由过程企业级证书安装的 App 则完全无视了这一层庇护伞，甚至可以或许获取更多的内容。作为用户，该当尽量避免下载利用这类应用。苹果作为平台，在加大冲击的力度的同时，也该当考虑一下开放 App Store 的部门功能。或是增设合理的监管手段，从泉源上削减企业证书的滥用。
- 发表于 2019-03-14 21:48
- 阅读 ( 413 )
- 分类：其他类型
