Di WWDC pada hari Isnin, Apple . Tidak seperti standard , yang bergantung pada infrastruktur selular dan GPS peranti yang hilang, ciri Cari Saya dapat mencari peranti yang sekata tanpa kad SIM dan GPS. Contohnya, komputer riba, atau pun , dilampirkan pada mana-mana item (Apple hanya membayangkan perkara ini dalam erti kata yang luas).
Ideanya adalah untuk menjadikan keseluruhan rangkaian iPhone sedia ada menjadi sistem sumber ramai berskala besar untuk menjejaki objek di sekeliling. Setiap aktif iPhone Ia akan sentiasa memantau mesej suar BLE daripada peranti lain. Apabila ia mengesan salah satu isyarat ini, ia akan menanda paket tersebut dengan koordinat GPSnya dan menghantarnya ke pelayan Apple. Ini bagus untuk mereka yang kurang peka seperti saya, yang sentiasa kehilangan barang: jika saya meninggalkan beg galas saya di pejabat di dalam bas pelancongan di China, lambat laun seseorang akan terjumpa isyaratnya, dan saya akan serta-merta tahu di mana hendak mencarinya.
(Perlu diingat bahawa Apple tidak menghasilkan idea itu. Malah, syarikat suka telah bekerja agak lama. Dan ya, mereka harus bimbang tentang perniagaan mereka).
Jika anda tidak kagum dengan penerangan di atas, izinkan saya mengemukakan soalan yang perlu anda tanya: Bagaimanakah sistem ini akan melindungi daripada pelanggaran privasi secara besar-besaran?
Berikut ialah senarai masalah yang berpotensi:
- Jika peranti sentiasa mengeluarkan isyarat BLE yang mengecamnya secara unik, semua orang kini mempunyai (lain) cara untuk menjejaki anda. Pemasar sudah menggunakan alamat MAC WiFi dan Bluetooth untuk ini, dan fungsinya Cari Saya mencipta saluran penjejakan lain.
- Ia juga menyahkelaskan mereka yang mengambil bahagian sedang berjalan. Sekarang orang ini akan menghantar lokasi semasa mereka kepada Apple (mereka mungkin sudah melakukan ini). Tetapi sekarang mereka perlu berkongsi maklumat ini juga dengan orang yang tidak dikenali yang "kehilangan" peranti mereka. Ini boleh berakhir dengan teruk.
- Penipu juga boleh melancarkan serangan aktif di mana mereka memalsukan lokasi peranti anda. Walaupun nampaknya tidak mungkin, orang sentiasa terkejut.
Berita baiknya ialah Apple mendakwa bahawa sistem itu menyediakan privasi yang kukuh melalui penggunaan kriptografi yang bijak. Tetapi, seperti biasa, mereka enggan memberitahu butiran pelaksanaan. Andy Greenberg dalam Wired memberitahu sebahagian menurut Apple, yang sangat masuk akal. Malangnya, naratif ini masih meninggalkan jurang yang besar. Ini adalah yang saya akan isi, menawarkan penerangan yang paling mungkin tentang perkara yang sebenarnya dilakukan oleh Apple.
Kaveat besar: banyak perkara boleh menjadi salah sama sekali. Saya pasti akan mengemas kini artikel ini apabila Apple mendedahkan lebih banyak lagi.
Beberapa masalah utama
Untuk meletakkan senario, beberapa peranti perlu dibawa ke dalam gambar. Untuk inspirasi, ambil siri televisyen 1950-an Lassie.
Peranti pertama yang akan kami panggil Timmy, "hilang". U Timmy Terdapat pemancar radio BLE, tetapi tiada GPS atau sambungan internet. Nasib baik, ia telah dipasangkan dengan peranti kedua yang dipanggil Ruthsiapa nak cari dia. Watak utama kami ialah Lassie: Ini ialah iPhone orang yang tidak dikenali secara rawak (dan tidak sedar) yang (dengan andaian) mempunyai sekurang-kurangnya sambungan internet terputus-putus dan GPS yang boleh dipercayai. Dan Lassie adalah seorang gadis yang sangat baik. Peranti rangkaian berkomunikasi melalui pelayan iCloud Apple seperti yang ditunjukkan di bawah:
(Kerana ia Timmy и Ruth mesti dah digandingkan dulu, mungkin kedua-duanya milik orang yang sama. Adakah saya menyebut bahawa anda perlu membeli два Peranti Apple untuk sistem berfungsi? Ini sesuai dengan Apple.)
Kami sedang melihat sistem keselamatan, jadi soalan pertama ialah: siapa orang jahat? Dalam keadaan ini jawapannya tidak menyenangkan: Sesiapa sahaja boleh menjadi penyerang yang berpotensi. Itulah sebabnya masalahnya sangat menarik.
Mengekalkan kerahsiaan Timmy
Aspek yang paling penting dalam sistem ialah orang yang tidak dibenarkan tidak dibenarkan untuk memantau Timmy, terutamanya apabila ia tidak hilang. Ini menghapuskan beberapa keputusan yang agak jelas, seperti apabila peranti Timmy hanya menjerit: "Hai, nama saya Timmy, sila hubungi ibu saya Ruth dan beritahu dia saya sesat.". Ini juga menolak hampir mana-mana pengecam statik tidak berubah, walaupun yang legap dan nampaknya rawak.
Keperluan terakhir ini datang daripada pengalaman malang perkhidmatan yang menyalahgunakan pengecam statik (mis. ) untuk mengesan pergerakan peranti. epal memerangi pengawasan ini dengan mengecam secara rawak seperti alamat MAC. Jika Apple menambah ID penjejakan statik untuk "Cari Saya", masalah akan menjadi lebih teruk.
Keperluan ini bermakna bahawa sebarang mesej dihantar Timmy, mestilah legap. Lebih-lebih lagi, kandungan mesej ini mesti berubah dengan kerap kepada nilai baharu yang tidak boleh dikaitkan dengan yang lama. Satu cara yang jelas untuk peranti berpasangan mengenali mesej sedemikian adalah dengan memaksa Timmy и Ruth bersetuju dengan senarai panjang rawak ""untuk Timmy, lepaskan Timmy memilih yang berbeza setiap kali.
Ini sangat membantu. Setiap kali bila Lassie melihat beberapa peranti (tidak diketahui) menyiarkan ID, dia tidak akan tahu sama ada ia milik Timmy: Tetapi dia boleh menghantarnya ke pelayan Apple bersama-sama dengan lokasi GPSnya sendiri. Jika Timmy akan tersesat Ruth boleh meminta Apple mencari semua kemungkinan alias Timmy. Dalam situasi ini, tiada sesiapa di luar Apple akan mengetahui senarai itu, malah Apple sendiri hanya akan mengetahuinya selepas seseorang tersesat, jadi pendekatan ini menghalang kebanyakan pilihan penjejakan.
Cara yang sedikit lebih cekap untuk melaksanakan idea ini ialah menggunakan fungsi kriptografi (seperti MAC atau fungsi cincang) untuk menjana senarai alias daripada satu benih pendek, salinannya disimpan Timmy и Ruth. Ini bagus kerana ia mengurangkan jumlah data yang disimpan. Tetapi untuk mencari Timmy, Ruth masih perlu menghantar semua alias - atau benih - kepada Apple, yang perlu mencari setiap alias dalam pangkalan datanya.
Menyembunyikan lokasi Lassie
Pendekatan yang diterangkan dengan alias harus disembunyikan dengan baik keperibadian Timmy daripada Lassie dan juga dari Apple (ke titik di mana Ruth mula mencari dia). Walau bagaimanapun terdapat kelemahan besar: ia tidak menyembunyikan koordinat GPS Lassie.
Ini buruk untuk sekurang-kurangnya beberapa sebab. Setiap kali bila Lassie mengesan mana-mana peranti dengan isyarat BLE, ia mesti menghantar lokasi semasanya (bersama-sama dengan alias yang dilihatnya) ke pelayan Apple. Maksudnya begitu Lassie sentiasa memberitahu Apple di mana ia berada. Dan lebih-lebih lagi, walaupun Apple berjanji untuk tidak menyimpan identiti anda Lassie, hasil daripada semua mesej ini ialah pangkalan data terpusat yang besar yang menunjukkan semua lokasi GPS yang dikesan mana-mana Peranti Apple.
Sila ambil perhatian bahawa susunan data sedemikian itu sendiri menyediakan banyak maklumat. Ya, ID peranti boleh menjadi alias - tetapi itu tidak menjadikan maklumat itu tidak berguna. Sebagai contoh, jika beberapa jenis Peranti Apple menyiarkan koordinat yang sama pada waktu malam, ini memberikan kemungkinan alamat kediaman orang itu.
Cara yang jelas untuk menghalang Apple daripada mendedahkan data ini adalah dengan menyulitkannya supaya hanya mereka yang benar-benar perlu melihat maklumat itu boleh melihatnya. perlu mengetahui lokasi peranti. Jika Lassie menerima mesej daripada Timmy, maka satu-satunya orang yang benar-benar perlu mengetahui lokasi Lassieadalah Ruth. Untuk merahsiakan maklumat ini, Lassie mesti menyulitkan koordinatnya dengan kunci awam Ruth.
Sudah tentu, persoalan timbul: bagaimana Lassie akan menerima kunci Ruth? Penyelesaian yang jelas untuk Timmy - jerit kunci awam Ruth dalam setiap siaran. Tetapi ini akan mencipta pengecam statik, yang sekali lagi membolehkan anda menjejaki Timmy.
Untuk menyelesaikan masalah ini anda perlu Ruth было banyak kunci awam yang dinyahpautkan, kepada Timmy boleh mengeluarkan kunci yang berbeza dengan setiap siaran. Satu pilihan ialah memaksa Ruth и Timmy menjana banyak pasangan kunci sepunya yang berbeza (atau menjana banyak pasangan sedemikian daripada benih sepunya). Tetapi ia menjengkelkan dan Ruth anda perlu menyimpan banyak kunci rahsia. Dan pengecam yang disebutkan dalam bahagian sebelumnya boleh diperolehi dengan mencincang setiap kunci awam.
Pendekatan yang sedikit lebih baik (yang Apple mungkin atau mungkin tidak gunakan) melibatkan rawak kunci. Ini adalah ciri beberapa sistem kripto, seperti : dia , jadi ia tidak akan dikaitkan dengan yang asal dalam apa jua cara. Bahagian terbaik ciri ini ialah Ruth boleh digunakan satu kunci rahsia tanpa mengira versi rawak kunci awamnya yang digunakan untuk penyulitan.
Semua ini membawa kepada idea akhir protokol. Dalam setiap siaran Timmy melepasi alias baharu dan salinan rawak kunci awam Ruth. Bila Lassie menerima siaran, ia menyulitkan koordinat GPSnya dengan kunci awam dan menghantar mesej yang disulitkan kepada Apple. Ruth boleh menghantar alias Timmy ke pelayan Apple, dan jika Apple menemui padanan, ia boleh mendapatkan dan menyahsulit koordinat GPS.
Adakah ini menyelesaikan semua masalah?
Perkara yang malang ialah tiada penyelesaian yang sempurna untuk banyak situasi kelebihan yang pelik. Sebagai contoh, bagaimana jika Timmy niat jahat dan dia nak paksa Lassie mendedahkan lokasi Apple anda? Bagaimana jika Old Man Smithers cuba menculik Lassie?
Pada satu ketika, jawapan kepada soalan ini datang kepada fakta bahawa kami telah melakukan segala yang mungkin: sebarang masalah yang tinggal harus dialihkan di luar skop model ancaman. Kadangkala Lassie pun tahu bila hendak berhenti.
Sumber: www.habr.com
