本月初，安全研究員Ivan Rodriguez提出了iOS應用程序的新安全標準，並將其命名為Security.plist 。它的靈感，來自於已經非常流行的Security.txt標準。其想法是，應用程序製造商需要創建一個名為security.plist的屬性列表文件，並將之嵌入到iOS應用程序的根目錄中。該文件將包含所有基本的信息，以便向開發者匯報安全漏洞。

（題圖via ZDNet）

Rodriguez 表示，Security.plist 的想法，其實來自於Security.txt 。作為網站上的一個類似標準，其最早在2017 年被提出。

Security.txt 目前正在互聯網工程任務組（IETF）的帶動下展開標準化製定工作，但已經被業界廣泛採用，並且得到了谷歌、Github、LinkedIn 和Facebook 等科技巨頭的支持。

分析網站安全的研究人員，能夠通過一種輕鬆的方式，與站方取得聯繫。

實際上，Rodriguez 本身就是一位利用業餘時間來查找iOS 應用程序漏洞的研究人員。之所以決定向iOS App 開發者提出類似的倡議，與它此前的經歷有很大關係。

我大部分時間，都是在App 中閒逛，從而發現了許多漏洞。但迄今為止，我還沒有找到一種可以輕鬆找到相關責任人和正確披露渠道的簡便方法。

通常情況下，我必須撰寫一封郵件，發送到類似info@company.com 企業郵箱，或在官網聯系頁面填寫表格。

遺憾的是，這些渠道中的大多數，都是與不專業的商務或營銷人員對接。他們可能不知道如何應對，甚至不明白問題的嚴重程度。

為了解決這個痛點，Rodriguez 提議，大家不妨在應用程序根目錄中留下一份plish 文檔，並在其中備註適當的聯繫方式，以便輕鬆溝通和高效率地解決問題。

不過目前，他也只是提出了這個想法，並且希望聽取應用開發商的意見，而不是敦促蘋果立即下達死命令。

Rodriguez 向ZDNet 表示：“目前我已經聽取了大量的反饋，可能許多人都與我有共鳴。儘管現在實施security.plist 標準可能為時尚早，但我還是希望它在移動應用程序的部署上流行開來”。

鑑於蘋果在安全實踐方面一直做得很不錯，Rodriguez 沒有立即讓蘋果推廣security.plist 的強制標準，畢竟實際執行起來也是一個麻煩。

不過為了促進發展，他還是專門為security.plist 打造了一個網站。應用程序開發商可在其中創建一個基本文件，然後將之包含在自己的App 中。