​盡管我們一般從appstore下載軟件，但一些開發人員仍然可能欺騙我們安裝某些軟件，這可能會導緻惡意軟件的運行和隐私的洩露。

這裡提供方法讓你擺脫這些軟件。

Facebook 濫用配置文件和根證書

曾經，TechCrunch 發現 Facebook 正在濫用 Apple 的 Developer Enterprise Program，該平台使企業可以将未經審查的應用程序分發給員工并簽署證書。

通常，此程序用于讓工作人員在接受應用商店審查之前測試正在開發的應用程序，就像常規的開發者計劃一樣，它也可以用于為員工提供公司不希望外人使用的移動工具。比如谷歌的 Gbus app 就是後者的用例。

Facebook 實質上是為了吸引青少年和成年人安裝用于數據收集VPN應用，以換取每月20美元的費用。它收集了近19萬用戶的數據。

用戶被安裝一個 Facebook Research 應用配置文件，其中包含通過其VPN隧道來傳輸TLS流量的權限，以及根CA證書，該證書基本上可以讓他們收集進出 iPhone 的所有加密流量以了解發生的任何事，而不僅僅是 Facebook 相關的任務。它記錄了任何應用程序的網絡使用情況。

盡管 Apple 以其嚴格的 App Store 準則而聞名，但 Developer Enterprise Program 對使用證書許可幾乎沒有任何監督。至于根證書，Apple 在iOS 12上允許了更多受信任證書，同時也屏蔽了一些證書。

有很多公司濫用證書

Facebook 不是濫用證書許可的唯一罪魁禍首。

再舉一個著名的例子，谷歌在做與 Facebook 完全同樣的事，使用根CA證書來獲取進出設備的所有數據，以進行深度包檢測。

盡管 “受信任” 的根證書是最值得擔心的問題，但還有普通證書和帶有或不帶有證書的供應配置文件。

未經批準的應用程序商店（例如TutuApp，Panda Helper，AppValley和TweakBox）以及Beta測試平台 BetaBound、uTest 和 Applause（Facebook 使用過）都需要配置文件安裝，通常帶證書（不一定是根證書） 。隻需點擊Safari中的鍊接，即可輕松安裝這些配置文件。

為什麼安裝某些配置文件和證書會有害

帶有根證書的未經批準的應用程序可以從您的 iPhone 上竊取大量數據，但這并不是您唯一要擔心的事。常規的CA證書和配置文件也可能造成同樣多的損害。

當使用需要配置文件安裝的應用程序時，即使您不知道安裝的是什麼，它們也可能會要求您提供付款詳細信息或密碼。

駭客和其他惡意攻擊者可能會利用社交工程戰術誘騙您安裝包含證書的其他配置文件，其中可能包含用于完成攻擊的有效載荷。

雖然使用VPN的人已經很多，但漏洞利用可以使用代理服務器獲取您的個人數據，更改APN設置，以及使用中間人攻擊。

并非所有配置文件和證書都是壞的

蘋果使用自己的程序向開發人員和公共 Beta 測試人員分發 iOS Beta 軟件，然後由他們安裝配置文件和證書組合，可以肯定地說，如果您喜歡比其他人更快獲得新功能，則可以繼續使用這些 Beta。

還有諸如 FreedomPop 之類的服務，這些服務使用這些證書來調整 iPhone 上的APN蜂窩設置，以提供免費或低成本數據。Xfinity 和 LinkNYC 使用配置文件來幫助用戶連接到公共 Wi-Fi 熱點。

開發人員還可以在通過蘋果公司嚴格的 App Store 分發審核程序之前，将他們正在開發的應用發布到網絡中的少數設備上。

這些配置文件可以執行以下操作，例如 阻止iOS更新、阻止其他配置文件安裝、阻止某些應用程序運行、甚至自動信任根證書。

然後還有諸如 Cydia Impactor 之類的工具，可用于為有用的應用程序（如 Kodi）側載IPA文件，并且它們使用您自己的 Apple ID 帳戶信息來授予應用運行權限。

您甚至可以使用 Apple Configurator 2 來創建自己的配置描述文件，以完成諸如在 iPhone 上自定義應用程序圖标的操作而無需越獄，這甚至不需要簽名證書。

如何檢查您的iPhone根證書

不知道您是否在設備上下載了帶有根證書或常規證書的配置文件？幸運的是，不僅可以輕松檢查而且還可以将它們從 iPhone 中删除。

首先，要檢查您是否有任何受信任的根證書，請轉到 “設置”->“一般”->“關于”->“證書信任設置”。

如果這裡有任何内容，它們将顯示在 “信任憑據庫版本” 下。如果它們是綠色的，說明現在正在運行。

通過 Apple Configurator 或 Mobile Device Management 部署的根證書在這裡自動得到信任。您可以将其關閉以禁用它，但不會删除它，因此您需要查看下一部分。

如何檢查您的 iPhone 配置文件和其他證書

要查看設備上所有現有的配置文件和/或證書，請轉到 “設置” 應用程序，點擊 “一般”，然後向下滾動至 “Profile/s”。如果沒有找到 “Profile/s”部分，則說明你尚未安裝。如果看到它，請點擊以查看它們。

如何永久删除不需要的配置文件和證書

在配置文件中，你可以查看簽名和簡短說明。在某些情況下，它可能根本不會被簽名，例如當你使用 Apple Configurator 2 為自己構建自定義配置文件時。

如果點擊 “更多詳細信息”，就可以看到裡面的内容。

在下圖這個 TweakBox 的示例中，有一個常規的CA證書，标題為 “Apple Worldwide Developer Relations Certification Authority”。這不是根證書，但這仍然是不需要的東西。

要删除配置文件和證書，請返回到配置文件頁面，然後點擊 “删除配置文件”。

出現提示時輸入密碼，點擊 “删除”，根證書将從您的設備中删除。這樣做還将首先删除所有給定的權限，應清除配置文件中的所有設置更改，并将删除或強制已連接的應用程序退出運行。

對于企業級應用程序也是如此，選擇配置文件，然後點擊 “Delete App”。

删除配置文件和/或證書後，你的私人信息（例如網絡活動和安全交易）将無法再被訪問，那些組織也無法再誘使您重新安裝它。

更多精彩资讯请关注tft每日頭條，我们将持续为您更新最新资讯!