[摘要]不法用戶無需密碼就能訪問聯系人和照片，僅部分iPhone 6s和6s Plus受到了該漏洞影響。

　　據國外媒體報道，蘋果數字助手Siri被發現存在一個新漏洞，該漏洞會導致不法用戶繞過密碼保護的鎖屏界面而獲得用戶的聯系人和照片等數據。從目前的情況來看，只有部分iPhone
6s和iPhone 6s Plus受到了該漏洞的影響。

　　這個新漏洞是由何塞·羅德里格斯(Jose
Rodriguez)發現的，他在去年9月發現了一個類似的鎖屏漏洞。羅德里格斯最新發現的這個漏洞似乎只在特定情況下才有效。據他提供的概念驗證視頻來看，只有iPhone
6s和iPhone 6s Plus并且它們的Siri應用被設置成允許與Twitter、聯系人和照片進行搜索整合時，這個漏洞才有用。

　　在示范案例中，用戶或者非法用戶可以通過長按Home按鈕或者語音指令啟動Siri，然后要求虛擬助手進行Twitter搜索。如果搜索結果包含可執行的聯系人數據比如電子郵箱地址，用戶或非法用戶就可以利用3D
Touch手勢呼出相關菜單，繼而發送電子郵件、添加或修改聯系人信息。

　　在3D Touch的“快速操作”(Quick
Actions)菜單中，點擊“添加到現有聯系人”就可以打開iPhone的聯系人清單。在適當配置下，用戶或非法用戶還可以進一步訪問手機的照片庫。

　　羅德里格斯稱，非法用戶還可以利用這個漏洞通過Siri的搜索結果來訪問WhatsApp的好友信息。

　　需要指出的是，這個安全漏洞必須在特定情況下才能奏效。手機用戶必須授權Siri訪問他們的Twitter帳戶、照片庫或相關應用或者手動配置服務權限才行。當用戶第一次要求Siri進行Twitter搜索時，Siri會要求訪問權限。為了驗證所有權，Siri會要求Twitter帳戶所有人通過密碼或Touch
ID進行確認。

　　如果用戶擔心自己的設備被非法入侵了，可以通過設置菜單關閉Siri來禁用Siri與Twitter整合的功能。只要在隱私設置菜單中關閉Siri整合功能，就可以切斷Siri與照片庫之間的聯系。用戶們還可以通過徹底禁用Siri來達到相同的目的。