Esmaspäeval tutvustas Apple oma WWDC konverentsil Erinevalt tavalisest , mis tugineb kadunud seadme mobiilsidevõrgule ja GPS-ile, suudab funktsioon "Leia mind" leida isegi seadmeid ilma ilma SIM-kaardi ja GPS-ita. Näiteks sülearvuteid või isegi , mis on kinnitatud igasugustele esemetest (Apple vihjas sellele vaid laialt).
Idee on muuta kogu olemasolev iPhoneide võrk suureks rahajälgimise süsteemiks. Iga aktiivne iPhone jälgib pidevalt BLE signaalide sõnumeid, mis tulevad teistelt seadmetelt. Kui see tuvastab ühe neist signaalidest, märgib see paketi oma GPS koordinaatidega ja saadab selle Apple'i serveritesse. See on suurepärane kadunud asjadega nagu mina, kes pidevalt asju kaotavad: kui ma jätan oma seljakoti Hiinas turismibussi, siis varem või hiljem keegi leiab selle signaali — ja ma tean kohe, kust seda leida.
(Oluline on märkida, et idee ei tulnud Apple'ilt. Tegelikult on sellised ettevõtted nagu töötanud juba üsna pikka aega. Ja jah, nad peaksid oma äri pärast muretsema).
Kui ülaltoodud kirjeldus ei jätnud teid muljet, siis lubage mul esitada küsimus, mille peaksite küsima: kuidas see süsteem kaitseb massiliste privaatsusrikkumiste eest?
Käsitleme potentsiaalseid probleeme:
- Kui seade saadab pidevalt BLE-signaali, mis kindlalt seda tuvastab, on kõigil (üks) lisatehnika teid jälgida. Turundajad kasutavad juba selleks WiFi ja Bluetoothi MAC-aadresse ning funktsioon Find My loob veel ühe jälgimiskanali.
- See paljastab ka need, kes osalevad protsessis. Nüüd saadavad need inimesed Apple'ile oma praeguse asukoha (võib-olla nad juba teevad seda). Kuid nüüd peavad nad jagama seda teavet ka võõrastega, kes „kaotavad“ oma seadmed. See võib lõppeda halvasti.
- Petised võivad samuti käivitada aktiivseid rünnakuid, kus nad valeasukohta teie seadmele valetavad. Kuigi see tundub ebatõenäoline, üllatavad inimesed alati.
Hea uudis on see, et Apple väidab, et süsteem tagab tõeliselt usaldusväärse privaatsuse tänu korralikule krüptograafia rakendamisele. Kuid, nagu tavaliselt, keeldusid nad üksikasju jagamast rakenduse üksikasjad. Andy Greenberg Wired'is rääkis osaliselt Apple'i sõnul, mis võimaldab palju mõista. Kahjuks jätab see jutustus endiselt tohutuid lünki. Just need ma kavatsen täita, pakkudes kõige tõenäolisemat kirjeldust, mida Apple tegelikult teeb.
Suur ettevaatusabinõu: palju võib osutuda täiesti vale. Ma kindlasti uuendan artiklit, kui Apple jagab rohkem teavet.
Mõned peamised probleemid
Selle stsenaariumi väljatoomiseks tuleb tuua sisse mitu seadet. Inspiratsiooniks võtame 1950. aastate teleseriaali «Lassie».
Esimene seade, mida me nimetame Timmy, on «kadunud». Tal Timmy on BLE raadiovastuvõtja, kuid ei ole GPS-i ega internetiühendust. Õnneks on ta juba paaritatud teise seadmega nimega Ruth, kes tahab teda leida. Meie peategelane on Lassie: see on juhuslik (ja mitte selle teadlik) võõras iPhone, kellel on (eeldatavasti) vähemalt perioodiline internetiühendus ja usaldusväärne GPS. Ja veel, Lassi on väga hea tüdruk. Võrguseadmed suhtlevad Apple'i iCloudi serverite kaudu, nagu allpool näha:
(Kuna Timmy ja Ruth peavad olema eelnevalt paaritud, tõenäoliselt kuuluvad nad mõlemad samale inimesele. Mainisin, et peate hankima kaks Apple'i seadmed, et süsteem töötaks? See sobib Apple'ile täiesti).
Käsitleme turvasüsteemi, seega on esimene küsimus: kes on halb poisike? В этой ситуации ответ неприятный: potentsiaalne kurjategija võib olla keegi. Sellepärast on probleem nii huvitav.
Timmyle anonüümsuse säilitamine
Süsteemi kõige tähtsam aspekt on see, et ei tohi lubada võõrastel jälgida Timmy, eriti kui see ei ole kadunud. See välistab mõned üsna ilmsed lahendused, nagu näiteks juhul, kui seade Timmy lihtsalt karjub: «Tere, mina olen Timmy, palun helistage mu emale Ruut ja öelge, et ma olen kadunud». See välistab praktiliselt kõik muutumatud staatilised identifikaatorid, isegi läbipaistmatud ja juhuslikele sarnased.
Viimane nõue tuleneb kurvast kogemusest teenustest, mis kuritarvitavad staatilisi identifikaatoreid (nt. ) seadmete asukohtade jälgimiseks. Apple võidelnud selle jälgimisega identifikaatorite juhuslikkuse kaudu, nagu MAC-aadressid. Kui Apple lisab staatilise jälgimise identifikaatori 'Find My' jaoks, siis kõik probleemid jäävad alles.
See nõue tähendab, et kõik edastatavad sõnumid Timmy, peavad olema läbipaistmatud. Veelgi enam, nende sõnumite sisu peaks suhteliselt sageli muutuma uute väärtuste jaoks, mida ei saa vanadega siduda. Üks ilmne viis, kuidas paaritunud seade selliseid sõnumeid ära tunneb, on sundida Timmy ja Ruth kooskõlastama pika juhuslike «» nimekirja Timmy, ning lasta Timmy igal korral valida teistsugune.
See tõepoolest aitab. Igal korral, kui Lassie näeb mõnda (tundmatut) seadet, mis edastab identifikaatori, ei tea ta, kellele see kuulub Timmy: kuid see võib saata selle Apple'i serveritesse koos oma GPS-asukohaga. Juhul, kui Timmy kaob, Ruth võib paluda Apple'il leida kõik võimalikud hüüdnimed Timmy. Sellisel juhul ei tea keegi väljaspool Apple'it sellest nimekirjast, ja isegi Apple teada saab sellest alles pärast seda, kui keegi on kadunud, seega see lähenemine takistab enamikku jälgimisvõimalustest.
Natuke tõhusam viis selle idee elluviimiseks on kasutada krüptograafilist funktsiooni (nt MAC või hash-funktsioon), et genereerida nimekirja hüüdnimedest ühest lühikesest „seedist“, mille koopiaid hoitakse Timmy ja Ruth. See on hea, kuna see vähendab salvestatud andmete mahtu. Kuid leidmiseks Timmy, Ruth peab ikkagi saatma kõik hüüdnimed — või seed — Apple'ile, kellel tuleb otsida iga hüüdnime oma andmebaasist.
Lassie asukoha peitmine
Kirjeldatud lähenemine hüüdnimede kasutamisel peaks hästi peitma identiteeti Timmy alates Lassie ja isegi Apple'i eest (kuni hetkeni, mil Ruth hakkab seda otsima). Kuid on suur puudus: see ei peida GPS-koordinaate Lassie.
See on halb vähemalt mitmel põhjusel. Iga kord, kui Lassie kui seade avastab BLE signaali, peab see edastama Apple'i serveritele oma praeguse asukoha (koos nähtava hüüdnimega). See tähendab, et Lassie Apple'ile antakse pidevalt teada, kus ta asub. Veelgi enam, isegi kui Apple lubab mitte salvestada isikuandmeid Lassie, kõikide nende sõnumite tulemus on tohutu tsentraliseeritud andmebaas, mis näitab kõiki GPS-asukohti, kus on avastatud mõni Apple'i seade.
Pange tähele, et selliste andmete kogumine toob esile väga palju teavet. Jah, seadme ID-d võivad olla hüüdnimed — kuid see ei tähenda, et teave on kasutu. Näiteks, kui mingi Apple'i seade edastab iga õhtu samu koordinaate, siis see näitab tõenäolist elukohta.
Ilmselge viis nende andmete avalikustamise vältimiseks Apple'ile on nende krüpteerimine, et teavet näeksid ainult need, kellel on tõeliselt vaja teada seadme asukohta. Kui Lassie saab sõnumi Timmy, siis ainus inimene, kes tõeliselt peab teadma asukohta Lassie, on Ruth. Selle teabe saladuses hoidmiseks, Lassie peab salvestama oma koordinaate avaliku võtmega Ruth.
Küsimus tekib, kuidas Lassie saab võtme Ruth? Очевидное решение для Timmy — karjuda avalikku võtit Ruth iga oma edastus. Kuid see loob staatilise identifikaatori, mis jälle võimaldab jälgida Timmy.
Selle probleemi lahendamiseks on vaja, et Ruth oli oleks palju eraldiseisvaid avalikke võtmeid, et Timmy saaks iga edastusega erinevaid võtmeid välja anda. Üks võimalus on sundida Ruth ja Timmy genereerima palju erinevaid võtmepaare (või genereerida palju selliseid paare ühest jaost). Kuid see on tüütav ja Ruth tuleb salvestada palju salajasi võtmeid. Ja eelnevas osas mainitud identifikaatoreid saab saada, hägustades iga avaliku võtme.
Natuke parem lähenemine (mida Apple võib kasutada või mitte) eeldab juhuslikkust võtmete puhul. See on omadus, mis mõningatel krüptosüsteemidel, nagu : see , nii et see ei ole seotud originaaliga. Selle funktsiooni parim osa on see, et Ruth võib kasutada üks salajane võti, sõltumata sellest, milline rändomiseeritud versioon tema avalikust võtmes kasutati krüpteerimiseks.
Kõik need toovad kaasa protokolli lõpptava. Igas edastus Timmy edastab uue pseudonüümi ja rändomiseeritud koopia avalikust võtmes Ruth. Kui Lassie saab edastuse, siis krüpteerib ta oma GPS-koordinaadid avaliku võtmega ja saadab krüpteeritud sõnumi Apple'ile. Ruth võib saata pseudonüüme Timmy Apple'i serveritesse, ja kui Apple leiab vaste, saab ta koordinaadid saada ja dekrüpteerida.
Kas see lahendab kõik probleemid?
Ebameeldiv asi on see, et paljude kummaliste piiriolukordade jaoks ei ole ideaalset lahendust. Näiteks, mis siis, kui Timmy on kurjad kavatsused ja soovib sundida Lassie Apple'i avaldama oma asukohta? Mis siis, kui vanamees Smithers üritab röövida Lassie?
Mõnes mõttes on vastus sellele küsimusele see, et oleme teinud kõik, mis on võimalik: kõik jäävad probleemid tuleks viia ohuhinnangu raamist välja. Mõnikord teab isegi Lassie, millal peatuda.
Allikas: habr.com
