En la WWDC del lunes, Apple . A diferencia del estándar , que se basa en la infraestructura celular y el GPS de un dispositivo perdido, la función Find Me puede encontrar incluso dispositivos sin Tarjetas SIM y GPS. Por ejemplo, portátiles, o incluso , adjunto a cualquier elemento (Apple solo lo insinuó en un sentido amplio).
La idea es convertir toda la red existente de iPhones en un sistema de crowdsourcing a gran escala para rastrear objetos circundantes. Cada iPhone activo iPhone Supervisará constantemente los mensajes de balizas BLE de otros dispositivos. Cuando detecte una de estas señales, etiquetará el paquete con sus coordenadas GPS y lo enviará a los servidores de Apple. Esto es ideal para personas despistadas como yo, que siempre pierden cosas: si dejo mi mochila en la oficina en un autobús turístico en China, tarde o temprano alguien encontrará su señal y sabré al instante dónde encontrarla.
(Vale la pena señalar que a Apple no se le ocurrió la idea. De hecho, empresas como He estado trabajando durante bastante tiempo. Y sí, deberían preocuparse por sus negocios).
Si la descripción anterior no le impresiona, permítame plantearle la pregunta que debería hacerse: ¿Cómo protegerá este sistema contra violaciones masivas de la privacidad?
Aquí hay una lista de problemas potenciales:
- Si un dispositivo emite constantemente una señal BLE que lo identifica de forma única, ahora todos tienen (otra) forma de rastrearlo. Los especialistas en marketing ya utilizan direcciones MAC WiFi y Bluetooth para esto, y la función Encontrar mi crea otro canal de seguimiento.
- También desclasifica a quienes involucrado en curso. Ahora estas personas enviarán su ubicación actual a Apple (probablemente ya lo hagan). Pero ahora tendrán que compartir esta información. también con extraños que "pierden" sus dispositivos. Esto podría terminar mal.
- Los estafadores también pueden lanzar ataques activos en los que falsifican la ubicación de su dispositivo. Aunque parezca improbable, la gente siempre se sorprende.
La buena noticia es que Apple afirma que el sistema proporciona una gran privacidad mediante el uso inteligente de la criptografía. Pero, como siempre, se negaron a decirlo. detalles de implementacion. Andy Greenberg en Wired contó una parcial según Apple, lo cual tiene mucho sentido. Lamentablemente, esta narrativa todavía deja enormes lagunas. Estos son los que voy a completar, ofreciendo la descripción más probable de lo que realmente hace Apple.
Gran advertencia: muchas cosas podrían estar completamente mal. Me aseguraré de actualizar este artículo cuando Apple revele más.
Algunos problemas importantes
Para diseñar el escenario, es necesario incorporar varios dispositivos en escena. Para inspirarse, tomemos la serie de televisión de los años 1950 Lassie.
El primer dispositivo que llamaremos. Timmy, "perdido". Ud. Timmy Hay un transmisor de radio BLE, pero no hay GPS ni conexión a Internet. Por suerte, ya estaba emparejado con un segundo dispositivo llamado Piedadquien quiere encontrarlo. Nuestro personaje principal es Muchacha: Este es el iPhone de un extraño aleatorio (e inconsciente) que (suponiendo) tiene al menos una conexión a Internet intermitente y un GPS confiable. Y Lassie es una muy buena chica. Los dispositivos de red se comunican a través de los servidores iCloud de Apple como se muestra a continuación:
(Porque el Timmy и Piedad Deben haber sido emparejados de antemano, probablemente ambos pertenecen a la misma persona. ¿Mencioné que necesitarás comprar? два ¿Dispositivos Apple para que el sistema funcione? Esto le sienta muy bien a Apple.)
Estamos ante un sistema de seguridad, por lo que la primera pregunta es: quien es el malo? En esta situación la respuesta es desagradable: Cualquiera puede ser un atacante potencial. Por eso el problema es tan interesante.
Mantener el anonimato de Timmy
El aspecto más importante del sistema es que no se debe permitir que personas no autorizadas rastreen Timmy, especialmente cuando no se pierde. Esto elimina algunas decisiones bastante obvias, como cuando el dispositivo Timmy solo grita: "Hola, mi nombre es Timmy, por favor llama a mi mamá Ruth y hazle saber que estoy perdido".. Esto también descarta prácticamente cualquier identificador estático inmutable, incluso uno que sea opaco y parezca aleatorio.
Este último requisito proviene de la desafortunada experiencia de servicios que abusan de identificadores estáticos (p. ej. ) para rastrear el movimiento de los dispositivos. Manzana combate esta vigilancia aleatorizando identificadores como direcciones MAC. Si Apple agrega una identificación de seguimiento estática para "Buscar mi", los problemas solo empeorarán.
Este requisito significa que cualquier mensaje transmitido Timmy, debe ser opaco. Además, el contenido de estos mensajes debe cambiar con relativa frecuencia a nuevos valores que no pueden asociarse con los antiguos. Una forma obvia para que el dispositivo emparejado reconozca dichos mensajes es forzar Timmy и Piedad ponerse de acuerdo en una larga lista de aleatorios ""Para Timmy, Déjalo ir Timmy elige uno diferente cada vez.
Esto realmente ayuda. Cada vez que Muchacha ve algún dispositivo (desconocido) transmitiendo una identificación, no sabrá si pertenece a Timmy: Pero puede enviarlo a los servidores de Apple junto con su propia ubicación GPS. Si Timmy se perderá Piedad puede pedirle a Apple que encuentre todos los alias posibles Timmy. En esta situación, nadie fuera de Apple conocerá la lista, e incluso la propia Apple solo la sabrá después de que alguien se pierda, por lo que este enfoque impide la mayoría de las opciones de seguimiento.
Una forma ligeramente más eficiente de implementar esta idea es utilizar una función criptográfica (como una función MAC o hash) para generar una lista de alias a partir de una semilla corta, cuyas copias se almacenan. Timmy и Piedad. Esto es bueno porque reduce la cantidad de datos almacenados. pero para encontrar Timmy, Piedad todavía tiene que enviar todos los alias - o semillas - a Apple, que tendrá que buscar cada alias en su base de datos.
Ocultar la ubicación de Lassie
El enfoque descrito con alias debería ocultarse bien. personalidad Timmy de Muchacha e incluso de Apple (hasta el punto de que Piedad empieza a buscarlo). Sin embargo, hay un gran inconveniente: no oculta las coordenadas GPS Muchacha.
Esto es malo al menos por varias razones. Cada vez que Muchacha detecta cualquier dispositivo con señal BLE, debe transmitir su ubicación actual (junto con el alias que ve) a los servidores de Apple. Esto significa que Muchacha le dice constantemente a Apple dónde está. Y es más, aunque Apple prometa no almacenar tu identidad Muchacha, el resultado de todos estos mensajes es una enorme base de datos centralizada que muestra todas las ubicaciones GPS donde se detectan cualquier dispositivo de Apple.
Tenga en cuenta que una serie de datos de este tipo proporciona mucha información. Sí, los ID de los dispositivos pueden ser alias, pero eso no hace que la información sea inútil. Por ejemplo, si algunos El dispositivo Apple transmite las mismas coordenadas por la noche, lo que proporciona la dirección residencial probable de la persona.
La forma obvia de evitar que Apple divulgue estos datos es cifrarlos para que sólo aquellos que realmente necesitan ver la información puedan verla. necesario conocer la ubicación del dispositivo. Si Muchacha recibe un mensaje de Timmy, entonces la única persona que realmente necesita saber la ubicación Muchachaes Piedad. Para mantener esta información confidencial, Muchacha debe cifrar sus coordenadas con una clave pública Piedad.
Por supuesto, surge la pregunta: ¿cómo Muchacha recibirá la clave Piedad? La solución obvia para Timmy - gritar la clave pública Piedad en cada transmisión. Pero esto creará un identificador estático, que nuevamente le permitirá rastrear Timmy.
Para resolver este problema es necesario Piedad era muchas claves públicas no vinculadasA Timmy podría emitir claves diferentes con cada transmisión. Una opción es forzar Piedad и Timmy generar muchos pares de claves comunes diferentes (o generar muchos de esos pares a partir de una semilla común). Pero es molesto y Piedad Tendrás que almacenar muchas claves secretas. Y los identificadores mencionados en la sección anterior se pueden obtener aplicando hash a cada clave pública.
Un enfoque ligeramente mejor (que Apple puede utilizar o no) implica aleatorización llaves. Esta es una característica de algunos criptosistemas, como : eso , por lo que no tendrá relación con el original de ninguna manera. La mejor parte de esta característica es que Piedad puedo usar una clave secreta independientemente de qué versión aleatoria de su clave pública se utilizó para el cifrado.
Todo ello lleva a la idea final del protocolo. En cada transmisión Timmy pasa un nuevo alias y una copia aleatoria de la clave pública Piedad. Cuando Muchacha recibe la transmisión, cifra sus coordenadas GPS con la clave pública y envía un mensaje cifrado a Apple. Piedad puede enviar alias Timmy a los servidores de Apple, y si Apple encuentra una coincidencia, puede obtener y descifrar las coordenadas GPS.
¿Esto resuelve todos los problemas?
Lo desafortunado es que no existe una solución perfecta para muchas situaciones límite extrañas. Por ejemplo, ¿qué pasaría si Timmy malas intenciones y quiere forzar Muchacha ¿Revelar tu ubicación de Apple? ¿Qué pasa si el viejo Smithers intenta secuestrar? Muchacha?
En algún momento, la respuesta a esta pregunta se reduce al hecho de que hemos hecho todo lo posible: cualquier problema restante debe trasladarse fuera del alcance del modelo de amenazas. A veces incluso Lassie sabe cuándo parar.
Fuente: habr.com
