Provision安全清單ADI數(shù)據(jù)泄露風(fēng)險(xiǎn)與Apple賬號(hào)保護(hù)的10個(gè)關(guān)鍵要點(diǎn)【免費(fèi)下載鏈接】ProvisionSet of tools interracting with Apple servers. Dont hesitate to leave a star if you appreciate it.項(xiàng)目地址: https://gitcode.com/gh_mirrors/pr/ProvisionProvision 是一組在 Linux 上與 Apple 服務(wù)器交互的開源工具設(shè)備注冊(cè)、Anisette 配置、HTTP 頭獲取。它的核心是ADI 數(shù)據(jù)Apple Device IdentificationApple 設(shè)備標(biāo)識(shí)——一旦這些數(shù)據(jù)泄露攻擊者可能把你的設(shè)備偽裝成受信任設(shè)備來登錄直接威脅你的 Apple 賬號(hào)安全。本文為新手整理了 10 個(gè)關(guān)鍵安全要點(diǎn)幫你在使用 Provision 時(shí)守住底線。先搞懂ADI 數(shù)據(jù)為什么這么敏感ADI 是 Apple 服務(wù)器用來識(shí)別設(shè)備的數(shù)據(jù)。你第一次在某臺(tái)機(jī)器上登錄后Apple 會(huì)通過 ADI 數(shù)據(jù)記住它把它標(biāo)記為受信任設(shè)備從而減少二次驗(yàn)證2FA的打擾。換句話說? 對(duì)你登錄更順暢?? 對(duì)攻擊者拿到你的 ADI 文件就等于拿到了設(shè)備鑰匙ADI 數(shù)據(jù)主要存放在兩個(gè)位置請(qǐng)務(wù)必牢記路徑內(nèi)容~/.adi/adi.pbADI 數(shù)據(jù)文件把設(shè)備標(biāo)識(shí)為 Mac 的核心憑證~/.config/Provision/配置目錄含設(shè)備指紋device.json與 Apple 運(yùn)行庫(kù)更多原理說明可參考項(xiàng)目?jī)?nèi)的 docs/ADI.md 與 README.md。10個(gè)關(guān)鍵要點(diǎn)逐項(xiàng)自查你的 Provision 安全1?? 永遠(yuǎn)不要用主力 Apple 賬號(hào)README.md 開篇就有醒目警告不要使用你的主 Apple 賬號(hào)優(yōu)先使用備用的、不重要的 Apple 賬號(hào)。項(xiàng)目作者也明確表示如果賬號(hào)出了問題他概不負(fù)責(zé)。這是成本最低、效果最好的一條防線。2?? 嚴(yán)加看管~/.adi/adi.pb文件ADI 數(shù)據(jù)是泄露即失守的憑證。請(qǐng)檢查該文件所在目錄的訪問權(quán)限確保只有你自己或運(yùn)行工具的專用賬戶能讀取。任何把 home 目錄打包上傳、同步到網(wǎng)盤的操作都要三思。3?? 只在受信任的機(jī)器上登錄README 原話Be careful to log-in only on trusted machines只在受信任的機(jī)器上登錄。一旦某臺(tái)機(jī)器被 Provision 注冊(cè)為安全機(jī)器它在你后續(xù)登錄中會(huì)被 Apple 信任。借用的電腦、公共機(jī)房、云開發(fā)環(huán)境都建議改用全新的、獨(dú)立的設(shè)備身份。4?? Docker 掛載卷要謹(jǐn)慎處理官方推薦用容器托管 Anisette 服務(wù)命令會(huì)掛載一個(gè)provision_config卷到容器配置目錄。這個(gè)卷里同時(shí)包含 ADI 文件和 Provision 設(shè)備文件README.md 的 Docker 章節(jié)。如果你把宿主機(jī)上的provision_config目錄暴露、拷貝或發(fā)布等于公開了你的設(shè)備身份。5?? 不要隨意公網(wǎng)暴露 anisette_serveranisette_server/app.d 默認(rèn)監(jiān)聽0.0.0.0:6969即接受所有網(wǎng)卡的連接。如果服務(wù)器在公網(wǎng)任何人都能向它請(qǐng)求 Anisette 頭其中含一次性口令 OTP。建議僅在可信內(nèi)網(wǎng)運(yùn)行或用防火墻/反向代理限制 6969 端口的訪問來源。6?? 守住/reprovision端點(diǎn)Anisette 服務(wù)器提供了一個(gè)/reprovision接口用于讓客戶端觸發(fā)重新注冊(cè)設(shè)備。它受--allow-remote-reprovisioning參數(shù)控制默認(rèn)是關(guān)閉的返回 403。保持默認(rèn)即可除非你完全理解后果否則不要打開這個(gè)開關(guān)。7?? 終端打印的 HTTP 頭不要外傳retrieve_headers/app.d 運(yùn)行后會(huì)往終端打印一整套 JSON 頭包含X-Apple-I-MD一次性口令、X-Apple-I-MD-M機(jī)器標(biāo)識(shí)、X-Apple-I-MD-LU等身份字段。請(qǐng)避免把這些內(nèi)容粘貼到公開論壇、GitHub issue 或日志系統(tǒng)里——那等同于自報(bào)家門。8?? 保護(hù)好device.json設(shè)備指紋配置目錄中的device.json保存了設(shè)備的UUID、identifierADI 標(biāo)識(shí)、localUUID與clientInfolib/provision/adi.d 中的Device類。它和 ADI 文件配合構(gòu)成完整設(shè)備身份備份、遷移、分發(fā)虛擬機(jī)鏡像時(shí)都要把它排除在外。9?? 備份要加密清理要徹底如果確實(shí)要備份~/.adi/或~/.config/Provision/請(qǐng)使用加密壓縮后再存儲(chǔ)。反之當(dāng)你決定棄用一套設(shè)備身份時(shí)刪除明文殘留即可讓舊身份失效可配合第 10 條重新注冊(cè)。 一旦懷疑泄露立即重置身份懷疑 ADI 文件或配置被他人獲取時(shí)刪除舊的 ADI 數(shù)據(jù)讓 Provision 重新注冊(cè)一套全新設(shè)備身份在 Apple 側(cè)檢查登錄設(shè)備登出不認(rèn)識(shí)的設(shè)備重要賬號(hào)直接更換密碼并保留 2FA。運(yùn)行過程中如果遇到-45xxx系列錯(cuò)誤碼可對(duì)照 lib/provision/adi.d 中的ADIError枚舉表排查例如-45061表示尚未注冊(cè)設(shè)備-45054是文件系統(tǒng)類錯(cuò)誤?？焖僮圆榍鍐?自查項(xiàng)達(dá)標(biāo)標(biāo)準(zhǔn)1賬號(hào)隔離使用備用 Apple 賬號(hào)2ADI 文件權(quán)限僅本人可讀未同步到網(wǎng)盤3登錄環(huán)境僅受信任機(jī)器注冊(cè)4Docker 卷provision_config未公開共享56969 端口防火墻限制訪問來源6/reprovision保持默認(rèn)關(guān)閉7終端頭信息未粘貼到公開場(chǎng)合8device.json備份/鏡像中已排除9備份策略加密后存儲(chǔ)10泄露應(yīng)急有重置流程并演練過總結(jié)Provision 讓 Linux 用戶也能與 Apple 服務(wù)器對(duì)話但能力越大、責(zé)任越大~/.adi/adi.pb、~/.config/Provision/與終端打印的 HTTP 頭是三大泄露面。對(duì)照上面的 10 個(gè)要點(diǎn)逐項(xiàng)自查你就能在享受工具便利的同時(shí)把 Apple 賬號(hào)的風(fēng)險(xiǎn)降到最低。?【免費(fèi)下載鏈接】ProvisionSet of tools interracting with Apple servers. Dont hesitate to leave a star if you appreciate it.項(xiàng)目地址: https://gitcode.com/gh_mirrors/pr/Provision創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考