На WWDC во понеделник, Apple воведе кул нова функција наречена „Најди ми“. За разлика од стандардните „Најди го мојот iPhone“, која се потпира на мобилната инфраструктура и GPS на изгубен уред, функцијата Find Me може да најде дури и уреди без СИМ-картички и GPS. На пример, лаптопи или дури „глупави“ маркери за локација, прикачен на која било ставка (Apple само го навести ова во широка смисла).

Идејата е целата постоечка мрежа на iPhone-и да се претвори во голем систем за собирање извори за следење на околните објекти. Секој активен iPhone постојано ќе ги следи пораките на BLE beacon што доаѓаат од други уреди. Кога ќе пронајде еден од овие сигнали, го означува пакетот со неговите GPS координати и го испраќа до серверите на Apple. Ова е одлично за губитниците како мене кои постојано губат работи: ако го оставам ранецот во туристички автобус во Кина во канцеларија, порано или подоцна некој ќе се сопне на неговиот сигнал - и јас веднаш ќе знам каде да го најдам.

(Вреди да се напомене дека Apple не дошол до идеја. Всушност, компаниите како Плочка работат доста долго време. И да, тие треба да се грижат за нивниот бизнис).

Ако не сте импресионирани од описот погоре, дозволете ми да го поставам прашањето што треба да го поставите: Како овој систем ќе заштити од масовни прекршувања на приватноста?

Еве листа на потенцијални проблеми:

• Ако уредот постојано емитува BLE сигнал кој уникатно го идентификува, сега секој има (друг) начин да ве следи. Маркетарите веќе користат WiFi и Bluetooth MAC адреси за ова и за функцијата Најдете ми создава друг канал за следење.
• Ги декласифицира и оние кои учествува во тек. Сега овие луѓе ќе ја испратат својата моментална локација до Apple (веројатно веќе го прават ова). Но, сега тие ќе мора да ги споделат овие информации исто така, со странци кои ги „губат“ своите уреди. Ова може да заврши лошо.
• Измамниците исто така можат да започнат активни напади во кои ја измамуваат локацијата на вашиот уред. Иако изгледа малку веројатно, луѓето секогаш се изненадени.

Добрата вест е што Apple тврди дека системот навистина обезбедува силна приватност преку паметна употреба на криптографија. Но, како и обично, тие одбија да кажат детали за имплементација. Енди Гринберг во Wired изјави делумно техничка имплементација според Apple, што има многу смисла. За жал, овој наратив сè уште остава огромни празнини. Ова се оние што ќе ги пополнам, нудејќи го најверојатниот опис на она што всушност го прави Apple.

Големо предупредување: многу работи би можеле да бидат целосно погрешни. Сигурно ќе ја ажурирам оваа статија кога Apple ќе открие повеќе.

Некои големи проблеми

За да се постави сценариото, треба да се донесат неколку уреди на сликата. За инспирација, земете ја телевизиската серија Lassie од 1950-тите.

Првиот уред што ќе го повикаме Тими, „изгубен“. У Тими Има радио предавател BLE, но нема GPS или интернет конекција. За среќа, веќе беше поврзан со втор уред наречен Руткој сака да го најде. Нашиот главен лик е Леси: Ова е iPhone на случаен (и несвесен) странец кој (претпоставувајќи) има барем наизменична интернет конекција и сигурен GPS. А Ласи е многу добра девојка. Мрежните уреди комуницираат преку iCloud серверите на Apple како што е прикажано подолу:

(Затоа што Тими и Рут мора да биле претходно спарени, веројатно и двајцата припаѓаат на иста личност. Дали спомнав дека ќе треба да купите два Уредите на Apple за да функционира системот? Ова одлично му одговара на Apple.)

Гледаме во безбедносен систем, па првото прашање е: кој е лошиот човек? Во оваа ситуација, одговорот е непријатен: Секој може да биде потенцијален напаѓач. Затоа проблемот е толку интересен.

Одржување на анонимноста на Тими

Најважниот аспект на системот е да не им се дозволува на неовластени лица да следат Тими, особено кога не се губи. Ова елиминира некои прилично очигледни одлуки, како на пример кога уредот Тими само вика: „Здраво, јас се викам Тими, ве молам јавете се на мајка ми Рут и кажете ѝ дека сум изгубен“.. Ова, исто така, исклучува речиси секој непроменлив статички идентификатор, дури и оној што е непроѕирен и се чини дека е случаен.

Ова последно барање доаѓа од несреќното искуство на услугите кои злоупотребуваат статични идентификатори (на пр. твојот WiFi MAC адреса) за следење на движењето на уредите. јаболко со мешан успех се бори против овој надзор со рандомизирање на идентификатори како што се MAC адресите. Ако Apple додаде статичен ID за следење за „Find My“, проблемите само ќе се влошат.

Ова барање значи дека сите пораки се пренесуваат Тими, мора да биде непроѕирен. Покрај тоа, содржината на овие пораки мора релативно често да се менува во нови вредности кои не можат да се поврзат со старите. Еден очигледен начин за спарениот уред да препознае такви пораки е да се присили Тими и Рут договорете се за долга листа на случајни "псевдоними„За Тими, пушти го Тими секој пат избира различен.

Ова навистина помага. Секој пат кога Леси гледа некој (непознат) уред кој емитува лична карта, таа нема да знае дали му припаѓа Тими: Но, таа може да го испрати на серверите на Apple заедно со сопствената GPS локација. Ако Тими ќе се изгуби Рут може да побара од Apple да ги најде сите можни псевдоними Тими. Во оваа ситуација, никој надвор од Apple не би ја знаел листата, па дури и самиот Apple би ја знаел само откако некој ќе се изгуби, така што овој пристап ги спречува повеќето опции за следење.

Малку поефикасен начин за спроведување на оваа идеја е да се користи криптографска функција (како MAC или хаш функција) за да се генерира листа на псевдоними од едно кратко семе, чии копии се складираат Тими и Рут. Ова е добро бидејќи ја намалува количината на складирани податоци. Но да се најде Тими, Рут сè уште треба да ги испрати сите псевдоними - или семиња - до Apple, кој ќе мора да го побара секој псевдоним во својата база на податоци.

Се крие локацијата на Ласи

Опишаниот пристап со псевдоними треба добро да се скрие личност Тими од Леси па дури и од Apple (до точка каде што Рут почнува да го бара). Сепак, има голем недостаток: не ги крие GPS координатите Леси.

Ова е лошо од најмалку неколку причини. Секој пат кога Леси детектира кој било уред со BLE сигнал, тој мора да ја пренесе својата моментална локација (заедно со псевдонимот што го гледа) на серверите на Apple. Тоа значи дека Леси постојано му кажува на Apple каде е. И уште повеќе, дури и ако Apple вети дека нема да го складира вашиот идентитет Леси, резултатот од сите овие пораки е огромна централизирана база на податоци која ги прикажува сите GPS локации каде што се откриени кој било Уред на Apple.

Ве молиме имајте предвид дека низата од такви податоци сами по себе обезбедуваат многу информации. Да, идентификациите на уредите може да бидат псевдоними - но тоа не ги прави информациите бескорисни. На пример, ако некои Уредот на Apple ги емитува истите координати во вечерните часови, што ја дава веројатната адреса на живеење на лицето.

Очигледниот начин да се спречи Apple да ги открие овие податоци е да ги шифрирате за да можат да ги видат само оние кои навистина треба да ги видат информациите. да ја знаете локацијата на уредот. Ако Леси добива порака од Тими, тогаш единствената личност која навистина треба да ја знае локацијата ЛесиТоа Рут. За да ги задржите овие информации доверливи, Леси мора да ги криптира своите координати со јавен клуч Рут.

Се разбира, се поставува прашањето: како Леси ќе го добие клучот Рут? Очигледното решение за Тими - извика јавниот клуч Рут во секое емитување. Но, ова ќе создаде статичен идентификатор, кој повторно ви овозможува да следите Тими.

За да го решите овој проблем треба да Рут беше многу неповрзани јавни клучевитака што Тими може да издава различни клучеви со секое емитување. Една опција е да се присили Рут и Тими генерира многу различни заеднички парови на клучеви (или генерира многу такви парови од заедничко семе). Но, тоа е досадно и Рут ќе мора да складирате многу тајни клучеви. И идентификаторите споменати во претходниот дел може да се добијат со хеширање на секој јавен клуч.

Вклучува малку подобар пристап (кој Apple може или не го користи). рандомизација клучеви. Ова е карактеристика на некои криптосистеми, како на пр Елгамал: таа е дозволува секоја страна да го рандомизира јавниот клуч, така што нема да биде поврзано со оригиналот на кој било начин. Најдобриот дел од оваа карактеристика е тоа Рут може да користи еден таен клуч без оглед на тоа која рандомизирана верзија на неговиот јавен клуч се користела за шифрирање.

Сето ова води до конечната идеја на протоколот. Во секое емитување Тими пренесува нов алијас и рандомизирана копија од јавниот клуч Рут. Кога Леси го прима емитувањето, ги шифрира своите GPS координати со јавниот клуч и испраќа шифрирана порака до Apple. Рут може да испраќа псевдоними Тими на серверите на Apple и доколку Apple најде совпаѓање, може да ги добие и дешифрира GPS координатите.

Дали ова ги решава сите проблеми?

Жалното е што не постои совршено решение за многу чудни ситуации. На пример, што ако Тими зли намери и сака да присилува Леси ја откриете вашата локација на Apple? Што ако Старецот Смитерс се обиде да киднапира Леси?

Во одреден момент, одговорот на ова прашање се сведува на фактот дека направивме се што е можно: сите преостанати проблеми треба да се преместат надвор од опсегот на моделот за закана. Понекогаш дури и Ласи знае кога да престане.

Извор: www.habr.com