Të hënën në konferencën WWDC, kompania Apple . Ndryshe nga standardi , e cila mbështetet në infrastrukturën e lidhjeve celulare dhe GPS të pajisjes së humbur, funksioni “Gjej më” është i aftë të gjente edhe pajisje pa pa kartela SIM dhe GPS. Për shembull, laptopët ose madje , të prera në çdo send (Apple e përmendi këtë vetëm në kuptim të gjerë).
Ideja është të kthehet e gjithë rrjeti ekzistues i iPhone-ve në një sistem të gjerë crowdsourcing për ndjekjen e objekteve përreth. Çdo iPhone aktiv do të ndjekë vazhdimisht mesazhet e sinjaleve BLE që vijnë nga pajisje të tjera. Kur ai gjen një nga këto sinjale, ai shënon paketën me koordinatat e tij GPS - dhe i dërgon në serverat e Apple. Ky është një super mundësi për ata që humbasin, siç jam unë, që gjithmonë harroj sendet: nëse e lë çantën time në një autobus turistik në Kinë, do të vijë një moment kur dikush do ta gjejë sinjalin e saj - dhe unë do të di menjëherë ku ta gjej.
(Duhet të theksohet se ideja nuk u shpik nga Apple. Në fakt, kompani si kanë punuar që një kohë të gjatë. Dhe po, ata duhet të shqetësohen për biznesin e tyre).
Nëse përshkrimi më sipër nuk ju ka impresionuar, lejoni të theksoj pyetjen që duhet të bëni: si do ta mbrojë kjo sistem nga shkeljet masive të privatësisë?
Le të rendisim problemet e mundshme:
- Nëse pajisja transmeton vazhdimisht një sinjal BLE, që e identifikon qartazi, të gjithë kanë një (tjetër) mënyrë për t'ju ndjekur. Marketingu tashmë po përdor adresat MAC të WiFi dhe Bluetooth për këtë, dhe funksioni Find My krijon një kanal tjetër për ndjekjen.
- Ai gjithashtu zbardh ata që marrin pjesë në proces. Tani këta njerëz do të dërgojnë Apple pozitat e tyre aktuale (ndoshta ata tashmë e bëjnë këtë). Por tani ata do të duhet të ndajnë këtë informacion po ashtu me të panjohurit që ' humbasin' pajisjet e tyre. Kjo mund të përfundojë keq.
- Mashtruesit gjithashtu mund të kryejnë sulme aktive, ku falsifikojnë vendndodhjen e pajisjes suaj. Edhe pse kjo duket e pamundur, njerëzit gjithmonë surprizojnë.
Lajmi i mirë është se Apple pretendon se sistemi siguron të vërtetë privatësi falë përdorimit të duhur të kriptografisë. Por, si zakonisht, ata refuzuan të japin detajet e implementimit. Andy Greenberg në Wired tregoi një pjesërisht mbi fjalët e Apple, që ndihmon për të kuptuar shumë. Fatkeqësisht, ky tregim vazhdon të lërë boshllëqe të mëdha. Pikërisht këto do t’i mbush, duke ofruar një përshkrim më të mundshëm për atë që vërtetë po bën Apple.
Një paralajmërim i madh: shumë mund të rezultojnë krejtësisht të gabuara. Unë do ta përditësoj artikullin kur Apple të ndajnë më shumë.
Disa nga problemet kryesore
Për të paraqitur skenarin, është e nevojshme të prezantohen disa pajisje. Si frymëzim, le të marrë një serial televiziv nga viti 1950, "Lassie".
Pajisja e parë, që ne do ta quajmë Timmy, është "i humbur". Ai Timmy ka një transmetues BLE, por nuk ka GPS ose lidhje me internetin. Fatmirësisht, ai është tashmë çiftuar me pajisjen e dytë të quajtur Ruth, e cila dëshiron ta gjejë. Heroi ynë është Lassie: ky është iphone e një të huaji rastësor (dhe që nuk e di këtë), i cili (le të themi) ka të paktën një lidhje periodike me internetin dhe GPS të besueshëm. Dhe madje, Lessi është një vajzë shumë e mirë. Pajisjet rrjet, ndërveprojnë përmes serverëve iCloud të Apple, siç është treguar më poshtë:
(Pasi Timmy dhe Ruth duhet të lidhen paraprakisht, ndoshta të dy i përkasin të njëjtit person. E përmenda se duhet të blini dy herë pajisjet Apple, që sistemi të funksionojë? Kjo është e mjaftueshme për Apple).
Ne po shqyrtojmë një sistem sigurie, kështu që pyetja e parë është: kush është i keqi? В этой ситуации ответ неприятный: një potencial sulmues mund të jetë kushdo. Kjo është arsyeja pse problemi është aq interesant.
Ruajtja e anonimatit të Timmi
Aspekti më i rëndësishëm i sistemit - nuk duhet të lejojmë që njerëzit e jashtëm të ndjekin Timmy, veçanërisht kur ai nuk është humbur. Kjo përjashton disa zgjidhje mjaft të qarta, të tilla si kur pajisja Timmy thjesht thërret: "Përshëndetje, quhem Timmi, ju lutem thoni nënës sime Ruth që unë jam humbur". Kjo gjithashtu përjashton pothuajse çdo identifikues statik të pandryshuar, madje edhe atë të padukshëm dhe të ngjashëm me rastësorët.
Kërkesa e fundit është e bazuar në përvojën e hidhur të shërbimeve që abuzojnë me identifikuesit statikë (p.sh., ) për të ndjekur lëvizjet e pajisjeve. Apple po lufton me këtë ndjekje duke rastisur identifikuesit, si adresat MAC. Nëse Apple shton një identifikues statik të ndjekjes për 'Find My', të gjitha problemet vetëm do të përkeqësohen.
Kjo kërkesë do të thotë se çdo mesazh që transmetohet Timmy, duhet të jetë i padukshëm. Më tepër, përmbajtja e këtyre mesazheve duhet të ndryshohet relativisht shpesh në vlera të reja, të cilat nuk mund të lidhen me ato të vjetra. Një nga mënyrat e dukshme që pajisja e lidhur ta njohë këtë lloj mesazhi është të detyrojë Timmy dhe Ruth të pajtohet me një listë të gjatë të '' për Timmy, dhe le të Timmy zgjidhë gjithmonë një tjetër.
Kjo vërtet ndihmon. Çdo herë që Lassie sheh një pajisje (të panjohur) që transmeton një identifikues, ajo nuk do të dijë nëse i takon Timmy: por veçse ajo mund ta dërgojë atë në serverat e Apple së bashku me vendndodhjen e saj GPS. Në rast se Timmy shkarkohet, Ruth mund të kërkojë nga Apple të gjejë të gjithë pseudonimet e mundshme Timmy. Në këtë situatë, askush jashtë Apple nuk do ta dijë këtë listë, dhe madje edhe Apple vetë do ta dijë vetëm pasi dikush të humbasë, kështu që kjo qasje parandalon shumicën e mundësive të gjurmimit.
Një mënyrë pak më efikase për ta realizuar këtë ide është të përdorim një funksion kriptografik (siç është MAC ose funksioni i heshit) për të gjeneruar një listë pseudonimesh nga një 'sid' i shkurtër, kopja e të cilit ruhet Timmy dhe Ruth. Kjo është e mirë, sepse zvogëlon vëllimin e të dhënave të ruajtura. Por për të gjetur Timmy, Ruth ende duhet të dërgojë të gjitha pseudonimet — ose 'sid' — në kompaninë Apple, e cila do të duhet të kërkojë çdo pseudonim në bazën e saj të të dhënave.
Fshehja e vendndodhjes së Lesit
Qasja e përshkruar me pseudonime duhet të fshehë mirë identitetin Timmy nga Lassie edhe nga Apple (deri në atë moment, kur Ruth fillon ta kërkojë). Sidoqoftë, ka një mangësi të madhe: ai nuk fsheh koordinatat GPS. Lassie.
Kjo është e keqe, të paktën për disa arsye. Çdo herë kur Lassie nëse ndonjë pajisje me sinjal BLE zbulohet, ajo duhet të dërgojë në serverët e Apple vendndodhjen e saj aktuale (bashkë me pseudonimin që ajo sheh). Kjo do të thotë se Lassie ajo i thotë vazhdimisht Apple se ku ndodhet. Dhe më shumë se kaq, edhe nëse Apple premton se nuk do të ruajë identitetin Lassie, rezultati i të gjithë këtyre mesazheve është një bazë të dhënash qendrore enorme që tregon të gjitha vendndodhjet GPS, ku është zbuluar ndonjë pajisje Apple.
Kujdes, ky struks pompik i të dhënave jep shumë informacion. Po, identifikuesit e pajisjeve mund të jenë pseudonime — por kjo nuk e bën informacionin të padobishëm. Për shembull, nëse një pajisje Apple transmeton të njëjtat koordinata çdo mbrëmje, atëherë kjo tregon një adresë të mundshme të banesës së personit.
Një mënyrë e dukshme për të parandaluar zbërthimin e këtyre të dhënave nga Apple është enkriptimi i tyre, në mënyrë që informacionin ta shohin vetëm ata që vërtet nevojitet duhet të dinë vendndodhjen e pajisjes. Nëse Lassie merr një mesazh nga Timmy, atëherë personi i vetëm që vërtet e ka nevojën të dijë vendndodhjen e Lassie, kjo është Ruthështë Lassie duhet të enkriptojë koordinatat e saj me çelësin publik Ruth.
Sigurisht, lind pyetja: si Lassie do të marrë çelësin Ruth? Очевидное решение для Timmy — të bëjë thirrje për çelësin publik Ruth në çdo transmetim të saj. Por kjo do të krijojë një identifikues statik, që përsëri do të lejojë ndjekjen Timmy.
Për ta zgjidhur këtë problem, është e nevojshme që Ruth të ketë shumë çelësa publikë të pakufizuar, në mënyrë që Timmy të mund të lëshojë çelësa të ndryshëm me çdo transmetim. Një nga opsionet është të detyrohet Ruth dhe Timmy të gjenerojë shumë çifte të ndryshme çelësash të zakonshëm (ose të gjenerojë shumë prej këtyre çiftëve nga një farë e zakonshme). Por kjo është e lodhshme, dhe Ruth duhet të ruajë shumë çelësa sekretë. Dhe identifikuesit, të përmendur në seksionin e mëparshëm, mund të merren përmes hashing-it të çdo çelësi publik.
Një qasje pak më e mirë (që Apple mund ta përdorë ose jo) sugjeron randomizimin e çelësave. Kjo është një karakteristikë e disa sistemeve kriptografike, si : ajo , kështu që ai nuk do të lidhet në asnjë mënyrë me origjinalin. Pjesa më e mirë e kësaj funksionaliteti është se Ruth ‘in (tokenin e aksesit). një çelës sekret, pavarësisht se cila version i randomizuar i çelësit të hapur u përdor për kodimin.
E gjithë kjo çon në idenë përfundimtare të protokollit. Në çdo transmetim Timmy transmeton një pseudonim të ri dhe një kopje të randomizuar të çelësit të hapur Ruth. Kur Lassie merr transmetimin, kodon koordinatat e saj GPS me çelësin e hapur dhe dërgon një mesazh të koduar në Apple. Ruth mund të dërgojë pseudonime Timmy në serverët e Apple, dhe nëse Apple gjen një përputhje, atëherë do të mund të marrë dhe dekodojë koordinatat GPS.
A zgjidh kjo të gjitha problemet?
Gjëja e pakëndshme është se nuk ka zgjidhje perfekte për shumë situata të çuditshme në kufij. Për shembull, çfarë ndodh nëse Timmy ai ka qëllime të këqija dhe dëshiron të bëjë Lassie të zbulojë vendndodhjen e saj për Apple? Çfarë ndodh nëse Z. Smith përpiqet të rrëmbejë Lassie?
Në një moment, përgjigjja për këtë pyetje është se ne bëmë gjithçka që ishte e mundur: çdo problem që mbetet duhet të dalë jashtë modelit të rreziqeve. Ndonjëherë edhe Lassi e di kur të ndalojë.
Burimi: habr.com
