Mac版 Apple Mail漏洞导致加密邮件被明码储存

研究人员发现数个版本的Mac版Apple Mail存在漏洞，导致加密邮件被以明码储存，可能导致重要资讯外泄，影响部分用户。苹果似乎至少3个月前就知道了，但上周才表示会尽速更新软件以修补漏洞。

苹果IT专家Bob Gendler 7月间发现这项漏洞。简单的说，Siri以suggestd的行程搜集了Apple Mail信件，并将其储存在snippets.db档案中，这导致Apple Mail信件内容可被读取，根本无需破解加密。他在7月29日通报了苹果，不过苹果至今尚未修补。上周苹果对TheVerge承诺将释出软件修补该漏洞。

研究人员当时正在研究macOS和Siri如何产生对用户的建议。他发现MacOS系统层LaunchAgent执行了suggestd行程，以及资源库（Library）资料夹下有个Suggests资料夹，内有多个档案，其中数个数据库档案是来自Apple Mail及其他Apple应用程序相关的资讯，这些数据库都是作为Siri回应用户查询，例如查询联络人之用。其中名为snippets.db的数据库档案内容，竟是Apple Mail S/MIME加密信件，但是是未加密版本。

本漏洞影响包含Sierra、High Sierra、Mojave和最新的Catalina等macOS版。不过苹果说，影响的用户只有一小部分，因为资料外泄还需满足几个条件，包括用户必须使用Apple Mail传送加密信件，且未启用FileVault来加密整台电脑。而想偷看信的人也必须具有macOS存取权限，且知道信件是存在哪个档案中。

但是如果上述条件满足了，就会造成资料外泄。研究人员指出，这事对-、企业及使用邮件加密来确保内容安全的一般人来说，都非同小可。商业机密、私有资料等机密资讯，都会因此行程和数据库曝光。

研究人员还发现，即使关闭Siri，MacOS的这个过程仍然会持续。此外，删除snippets.db档也只能防止未来资料被搜集，但无法移除已被搜集的邮件；一定要关闭suggestd行程执行。

此外，同一个行程也会将用户联络人姓名、电子邮件、电话号码储存在entities.db中。而即使联络人名单不包含电话号码，但签章及转寄资讯等邮件资讯，也会被储存，也可能被外人轻松存取。

在苹果修补好漏洞前，研究人员建议有三个防堵方法：一是到“系统偏好”、“Siri”、“Siri建议与隐私设定”中取消勾选Mail。第二，非系统管理员的使用者需跑终端机（Terminal）程式，执行defaults write com.apple.suggestions SiriCanLearnFromAppBlacklist -array com.apple.mail指令，来强制关闭Siri搜集Apple Mail。第三是设定系统层（对所有用户有效的）设定档来关闭这项动作。只有第三个方法，才能永久关闭macOS和Siri搜集所有用户的Apple Mail资讯。