Apple Stack Hardening: Security Essenials for macOS, iOS & AppleID - DeFi Security Summit 2025

• 1

  1. Apple ID 必須完全匿名

• 2

  iMessage 的零點擊漏洞（Zero-Click Exploit）只需對方知道你的 Apple ID，即可透過傳送一張圖片自動入侵設備，因此 Apple ID 絕不能對外公開，並應移除所有與身份相關的電話號碼與電子信箱。

• 3

  2. 電話號碼是最脆弱的環節

• 4

  SMS 驗證碼會經過六到七台伺服器傳遞，其中多台已被攻破，Telegram 群組中可直接攔截任意 SMS。任何需要手機號碼的重要服務，都應使用與個人身份無關的「冷號碼」（Cold Phone Number），避免 SIM 卡劫持。

• 5

  3. 惡意軟體在 Mac 上同樣猖獗

• 6

  過去三年區塊鏈生態系統 99% 的資產損失源於操作安全問題，其中九成涉及被感染的 Mac 設備。傳統防毒軟體只能比對已知特徵碼；EDR（端點偵測與回應）工具如 CrowdStrike、SentinelOne 能依據行為偵測未知威脅，建議兩者並用。

• 7

  4. 縱深防禦的核心邏輯

• 8

  每新增一層防護，設備被成功入侵的機率就降低一些，但沒有任何設置能保證絕對安全。威脅模型應預設設備終將被攻陷，因此需分散敏感資料、限制單台設備的攻擊面，而非將一切集中存放。

• 工具與平台
• 防毒軟體：Bitdefender、Malwarebytes（$20/年）、ESET
• EDR：CrowdStrike、SentinelOne（約 $150/年，個人可訂閱）
• Objective-See 免費開源工具套件：Lulu（防火牆）、Task Explorer（程序監控）、KnockKnock（持久性程式偵測）、BlockBlock（即時攔截持久性請求）、ReiKey（鍵盤記錄器偵測）、Netiquette（網路連線監控）
• 冷號碼方案：美國用 Google Fi；全球用 Ephemeral（ephani.com/opseek，$1,000/年，11 層驗證流程）
• 實體安全金鑰：YubiKey（Apple 強制要求最少 2 支，建議 3 支）
• 硬體錢包助記詞離線備份流程：格式化設備 → 斷網 → 建立加密虛擬磁碟 → 存入 TXT → 複製至 USB → 再次格式化
• 具體設定
• Apple ID：啟用 Advanced Data Protection（iCloud 端對端加密）；設定還原金鑰（24 字元，列印紙本保存）
• File Vault：選「建立還原金鑰」，不選 iCloud 解鎖
• macOS 防火牆：啟用內建防火牆 + 啟用「隱形模式（Stealth Mode）」+ 搭配 Lulu 封鎖出站連線
• 應用程式來源：設為「僅限 App Store」，不選「已知開發者」
• USB 配件：設為「詢問新配件」，防範 OMG Cable 攻擊（$20 即可購得）
• 鎖定畫面：設為最短自動鎖定時間（建議 1 分鐘）
• 停用：iPhone 鏡像、螢幕共享、遠端桌面、iMessage（建議）、FaceTime（建議）
• 重要帳號：只在 iPhone/iPad 登入，永不在電腦登入
• 系統設定 > 隱私與安全性 > 完整磁碟存取：只保留安全工具，移除不明項目
• 啟用「需要管理員密碼才能存取系統設定」
• Lockdown Mode（鎖定模式）
• 蘋果針對零點擊漏洞推出
• 啟用後自動封鎖 iMessage 圖片自動下載、限制危險 JavaScript
• 大多數日常使用不受影響，建議常態開啟
• 自動化腳本
• OBSC 官網（obsc.io）提供 Mac/Windows/Linux 一鍵強化腳本（MVP 版，待三家審計公司完成審計後再使用）

“設備終將被攻陷是前提，安全的本質是分散風險、拉高攻擊成本，而非追求不存在的絕對安全——把私鑰存在同一台電腦上，等同於把所有雞蛋放在一個遲早會破的籃子裡。”