想象一下，苹果应用商店（Apple App Store）就像一家高端、排他的杂货店。要进入这家店，你需要一张特殊的会员卡（Apple ID）和来自特定国家的有效信用卡。现在，想象在这家店周围建起了一堵巨大的墙，墙上挂着一块牌子，写着：“伊朗居民禁止入内。”
由于美国的制裁和严格的互联网规定，伊朗的 iOS 用户被拒之门外，无法进入这家官方杂货店。他们无法购买最新的应用程序、更新软件，甚至无法下载免费工具。
但人们仍然需要“杂货”。于是，一堵墙外涌现出一个熙熙攘攘的地下“黑市”。本文是对这些秘密的第三方应用商店进行的详细调查。研究人员开发了一种名为Havva（在波斯神话中，Havva 即夏娃，是第一位人类，她咬了一口禁果）的特殊数字工具，潜入这些市场，清点库存，并观察内部真实情况。
以下是他们的发现，简明扼要地总结如下：
1. “黑市”的运作机制
由于官方商店关闭，这些地下商店使用一种巧妙的技巧将应用程序安装到 iPhone 上。
- 官方途径：苹果通常允许开发者注册以销售应用程序。
- 地下途径：这些伊朗商店伪装成“测试”小组。他们利用被盗或伪造的开发者账户，将成千上万的用户注册为“测试者”。
- 流程：当你想要某个应用时，商店会获取应用文件，用他们伪造的“测试者”徽章进行签名，然后发送到你的手机上。这就像一位厨师将饭菜从锁着的厨房里偷偷带出，贴上“样品”标签，然后交给你。
- 风险：苹果对此深恶痛绝。他们经常查获这些虚假账户，撤销“徽章”，导致你手机上的所有应用突然停止工作。商店随后不得不购买新的虚假账户，重新开始整个流程。
2. 货架上有什么？
研究人员查看了来自三个主要地下商店的 1700 多个应用程序。他们发现商品种类繁多：
- 本地特产（“仅限伊朗”的应用）：约 29% 的应用（约 510 个）是由伊朗人为伊朗人制作的。你在官方商店找不到这些应用，因为它们不符合苹果的全球规则，或者开发者无法获得账户。这些应用包括必要的银行应用、本地出租车服务（如伊朗版的 Uber）和购物网站。
- “破解”商品：这是最大的问题。许多流行的全球应用（如 Spotify、Duolingo 和游戏）在官方商店中需要付费。而在这些地下商店中，它们被“破解”了。这意味着黑客打破了数字锁，移除了支付要求，并将它们免费分发。
- 代价：研究人员估计，由于这种盗版行为，仅从这两家商店来看，应用程序开发者可能损失超过520 万美元的潜在收入。
- “变形”应用：这是一个奇怪的发现。有些应用在您于美国或欧洲打开时，看起来像是无害的游戏或视频播放器。但如果应用检测到您的手机位于伊朗，它会立即“变形”为完全不同的应用（如本地分类广告网站或导航工具）。这就像变色龙为了在特定环境中生存而改变皮肤颜色。
3. 隐藏的危险（安全风险）
当您在合法商店购物时，苹果会检查食品，确保其未变质。而在地下市场，没有卫生检查员。
- 被篡改的食品：研究人员发现，许多这些应用已被篡改。它们包含了原始开发者从未添加的额外“成分”（代码）。
- 间谍软件和作弊器：他们发现了用于游戏作弊或绕过支付的隐藏库。有些应用甚至包含可以监视用户的跟踪代码。
- 被破坏的锁：有些应用的安全设置被调低，使得黑客更容易窃取您的数据。
- 过期的食品：由于这些商店依赖被盗的开发者账户，更新速度缓慢。许多应用比官方版本落后数月甚至数年，使用户容易受到苹果已修复的安全漏洞的侵害。
4. 为什么会发生这种情况？
该论文认为，这不仅仅是人们想要免费应用的问题。这是一种生存机制。
- 没有替代方案：由于制裁，伊朗人无法使用 PayPal 或信用卡购买应用。他们甚至无法创建 Apple ID。
- 审查制度：许多全球应用（如 Instagram 或 Google 地图）被伊朗政府封锁。地下商店是访问它们的唯一途径。
- 结果：一个平行的数字世界已经形成。它填补了关键需求，但建立在 shaky 的地基上，充斥着盗版，对使用者来说风险重重。
结论
该论文得出结论，当你通过制裁和审查将人们拒之数字世界之外时，他们不会轻易放弃。他们会建立自己的世界。这个“禁果”生态系统使伊朗人能够保持联系并使用技术，但这伴随着沉重的代价：他们的应用通常过时、不安全且被盗，而制作这些应用的开发者则正在损失金钱。这是一个复杂的情况，政治规则创造了一个混乱的地下数字市场。
以下是论文《啃食禁果：第三方伊朗 iOS 应用商店特征分析》的详细技术摘要。
1. 问题陈述
伊朗的 iOS 用户和开发者因美国经济制裁与严格的国内互联网审查相互交织，而面临独特的数字隔离。
- 制裁： 美国法规（OFAC）和苹果的合规政策禁止伊朗境内的个人创建 Apple ID、访问 App Store 或使用开发者服务。这阻断了免费和付费应用的获取，也阻止了本地开发者向全球分发应用。
- 审查： 伊朗政府封锁了主要全球平台（如 YouTube、Facebook 等），并频繁实施全国性的互联网断网。
- 后果： 一个第三方 iOS 应用商店的地下生态系统应运而生，以填补这一空白。这些平台违反苹果的服务条款，分发破解（盗版）应用、未经授权的二进制文件以及修改后的应用程序。这带来了显著风险：
- 对用户： 面临恶意软件暴露、隐私侵犯、因证书撤销导致的数据丢失以及软件过时等风险。
- 对开发者： 因盗版和未经授权的货币化造成巨额收入损失。
- 对安全： 缺乏苹果的审查流程，使得被篡改的二进制文件能够绕过安全检查。
2. 方法论："Havva"系统
为了弥补关于这些地下商店实证数据的缺失，作者开发了Havva，这是首个专为全面研究未经授权 iOS 应用商店而设计的系统。
系统架构与工作流程：
- 数据收集：
- 元数据爬取： 自定义网络爬虫从三大伊朗第三方商店中提取应用列表、版本、类别、评分和下载统计数据。
- IPA 获取： 由于这些商店缺乏用于下载二进制文件的公共 API，Havva 利用设备上的中间人（MitM）代理拦截私有 API 调用，并捕获
.ipa（iOS 应用包归档）文件。
- 官方商店关联： 该系统利用 iTunes API 和一个运行在 Windows 虚拟机上的修改版 iTunes 客户端，从 Apple App Store 检索对应的官方应用版本以进行比较。
- 二进制解密与分析：
- 解密： 由于 iOS 应用使用 FairPlay DRM 加密，Havva 使用一台**越狱的 iPhone（iOS 16.7.12）**安装并使用
mldecrypt 解密二进制文件。
- 静态分析： 使用MobSF（移动安全框架）分析解密后的二进制文件，将其文件结构、权限、嵌入式库和域名与官方 App Store 版本进行对比。
- 动态分析： 通过 MitM 代理捕获网络流量，以识别运行时连接到未授权域名（如破解服务器、广告网络）的行为。
数据集：
- 范围： 5.5 个月的观察期（2025 年 4 月至 10 月）。
- 体量： 从三大商店（商店 A、B 和 C）收集了 1,767 个唯一应用。
- 构成： 510 个伊朗专属应用，308 个付费应用，以及 159 个破解应用。
3. 主要贡献
- Havva 系统： 首个用于实证研究地下 iOS 应用商店的自动化框架，实现了对修改后二进制文件的收集、解密和对比分析。
- 运营特征化： 详细描绘了这些商店的运作方式，包括用户注册流程（需要伊朗电话号码和支付）、分发机制（Ad-Hoc 与 Enterprise）以及规避技术。
- 经济影响量化： 基于数据驱动的方法，估算了该生态系统中盗版给开发者造成的收入损失。
- 安全与隐私风险评估： 识别了修改后二进制文件引入的具体技术风险，包括注入的追踪库、弱化的安全配置以及未授权的权限。
4. 关键结果与发现
A. 生态系统结构与内容
- 伊朗专属应用： 分析目录中约**29%（510 个应用）**是官方 App Store 上无法获取的应用。这些应用对日常生活至关重要，包括银行应用（Melli、Saderat）、导航应用（Neshan、Balad）以及本地社交网络（Rubika、Eitaa）。
- 应用变形（伪装）： 研究发现“外壳应用”，这些应用在官方全球 App Store 上表现为良性应用（如视频播放器或浏览器），但当设备检测到伊朗 IP 地址时，会变形为伊朗特定应用（如分类广告、电子书阅读器）。这是本地开发者用来绕过苹果地理限制的一种策略。
- 盗版普遍性：
- 识别出159 个破解应用，包括 Spotify、Duolingo、Minecraft 和 Calm 等热门全球应用。
- 308 个付费应用被免费分发。
- 收入损失： 基于美国定价和下载统计数据，提供数据的两家商店预计给开发者造成了526 万美元的潜在收入损失。即使采用保守的替代率（10-40%），损失仍达数百万美元。
B. 更新延迟与碎片化
- 更新延迟： 很大一部分应用已过时。
- 商店 A 和 B： 超过 50% 未更新的应用比官方版本落后 4 到 13 个月；10% 的应用落后超过 4 年。
- 商店 C： 80% 未更新的应用实际上是最新版本，表明其采用了不同的运营策略。
- 碎片化： 只有 20 个应用同时存在于四个平台（3 个第三方商店 + 1 个官方商店）。大多数应用仅存在于特定的第三方商店中。
C. 安全与隐私风险
- 注入的库： 静态分析显示，489 个应用包含未经授权的配置描述文件。
- 破解工具： 186 个应用包含Cydia Substrate（用于运行时挂钩），68 个应用包含iGameGod（用于内存作弊）。
- 追踪： 180 多个应用包含盗版库和注入的广告网络（如 StartApp），这些在官方版本中并不存在。
- 弱化的安全性：
- 应用传输安全（ATS）： 在 12 个存在配置差异的应用中，有 10 个伊朗版本的ATS 设置被弱化（例如启用
NSAllowsArbitraryLoads 或降低 TLS 版本），使用户暴露于不安全连接的风险中。
- 运行时行为： 注入的库主动挂钩 Objective-C 方法，以绕过支付验证和身份验证。
- 证书撤销风险： 这些商店依赖于非法获取的开发者或企业证书。当苹果撤销这些证书（这种情况频繁发生）时，所有使用这些证书签名的应用都将停止工作，可能导致未备份本地数据的用户丢失数据。
5. 意义与影响
- 地缘政治反馈循环： 论文表明，制裁和审查无意中创造了一个在安全框架之外运作的“平行数字经济”。旨在孤立伊朗的限制措施反而催生了盗版和未经验证软件的市场。
- 用户安全与访问权的权衡： 伊朗用户被迫在数字隔离和使用不安全、被修改的软件之间做出选择。该生态系统突显了一种权衡，即访问权优先于安全性。
- 政策建议： 作者认为，全面制裁和僵化的合规机制产生了意想不到的负面后果。他们建议重新评估政策，以允许公平获取基本数字服务（正如通用许可证 D-2 所暗示的那样），从而减少对危险地下市场的依赖。
- 技术先例： 该研究为分析其他受限数字生态系统提供了蓝图，并强调了紧密耦合的平台（如 iOS）在面对地缘政治压力时的脆弱性。
总之，该论文揭示，伊朗第三方 iOS 生态系统是对地缘政治约束的一种具有韧性、复杂且充满风险的适应，其特征是广泛的盗版、开发者收入的重大损失以及终端用户面临严重的安全漏洞。
每周获取最佳 computer science 论文。
受到斯坦福、剑桥和法国科学院研究人员的信赖。
请查收邮箱确认订阅。
出了点问题，再试一次？
无垃圾邮件，随时退订。