| 15 ноября 2020 г. — 8:25 вечера PT
Вчера, когда Apple выпустила свою новую операционную систему macOS для общественности, произошли серьезные сбои серверов, которые привели к широкомасштабным сбоям загрузки/установки Big Sur, отключению iMessage и Apple Pay, но более того, даже к проблемам с производительностью у пользователей, работающих на macOS Catalina и более ранних версиях. Мы узнали, почему это произошло на высоком уровне вчера, а теперь исследователь безопасности Джеффри Пол поделился глубоким анализом своего понимания, а также своими опасениями по поводу конфиденциальности и безопасности Mac, особенно с Apple Silicon.
Обновление: Apple ответила на опасения Пола в обновленном документе поддержки, который включает информацию о том, как macOS защищает вашу конфиденциальность и безопасность, и три новых шага, которые она предпримет в будущем для большей конфиденциальности и гибкости.
Обновление 15.11. 20:25 PT: Сегодня Apple обновила документ поддержки по безопасности и конфиденциальности Mac, поделившись подробностями о Gatekeeper и процессе OCSP. Важно отметить, что Apple подчеркивает, что не смешивает данные из процесса проверки приложений на наличие вредоносных программ с какой-либо информацией об пользователях Apple и не использует процесс нотаризации приложений для определения того, какие приложения пользователи запускают.
Компания также детализирует, что идентификаторы Apple ID и идентификаторы устройств никогда не были связаны с этими проверками безопасности программного обеспечения.
Но в будущем «в течение следующего года» Apple внесет некоторые изменения, чтобы предложить больше безопасности и гибкости для Mac. Во-первых, Apple прекратит записывать IP-адреса в процессе проверки нотариальных свидетельств приложений.
Во-вторых, она внедряет новые меры защиты для предотвращения проблем со сбоями серверов. И, наконец, отвечая на общую обеспокоенность, поднятую Джеффри Полом, Apple выпустит обновление, позволяющее пользователям отказаться от использования этих защитных механизмов macOS.
Защита конфиденциальности
macOS разработана для обеспечения безопасности пользователей и их данных при уважении их конфиденциальности.
Gatekeeper выполняет онлайн-проверки, чтобы убедиться, что приложение не содержит известных вредоносных программ и отозван ли сертификат подписи разработчика. Мы никогда не объединяли данные из этих проверок с информацией о пользователях Apple или их устройствах. Мы не используем данные из этих проверок, чтобы узнать, что запускают или запускают отдельные пользователи на своих устройствах.Нотаризация проверяет, содержит ли приложение известные вредоносные программы, используя зашифрованное соединение, устойчивое к сбоям сервера.
Эти проверки безопасности никогда не включали Apple ID пользователя или идентификацию его устройства. Для дальнейшей защиты конфиденциальности мы прекратили регистрацию IP-адресов, связанных с проверками сертификатов Developer ID, и позаботимся о том, чтобы любые собранные IP-адреса были удалены из журналов.
Кроме того, в течение следующего года мы внесем несколько изменений в наши проверки безопасности:
*Новый зашифрованный протокол для проверки отзыва сертификатов Developer ID
*Надежная защита от сбоев сервера
*Новая настройка для пользователей, чтобы отказаться от этих мер безопасности
Мы также узнали больше технических деталей о том, как все это работает, от Apple, что соответствует тому, что ранее сообщал независимый исследователь безопасности Якопо Янноне.
Процесс macOS по использованию OCSP является очень важной мерой безопасности для предотвращения запуска вредоносных программ на Mac. Он проверяет, был ли отозван сертификат Developer ID, используемый приложением, из-за компрометации программного обеспечения или таких событий, как использование сертификата разработчика для подписи вредоносного программного обеспечения.
Протокол состояния сертификата в Интернете (OCSP) используется в отрасли, и причина, по которой он работает через незашифрованные соединения HTTP, заключается в том, что он используется для проверки не только сертификатов программного обеспечения, но и сертификатов шифрования веб-соединений. Если бы использовался HTTPS, это создало бы бесконечный цикл. Янноне лаконично объяснил: «Если бы вы использовали HTTPS для проверки сертификата с помощью OCSP, вам пришлось бы также проверить сертификат для HTTPS-соединения с помощью OCSP. Это подразумевало бы открытие еще одного HTTPS-соединения и так далее».
Два примечательных момента: не является странным, что macOS использует незашифрованные запросы для этого, поскольку это отраслевой стандарт, и то, что приверженность Apple безопасности и конфиденциальности, она инвестирует в создание нового, зашифрованного протокола, который выходит за рамки OCSP.
В дополнение к процессу OCSP, который в настоящее время используется Apple, macOS Catalina и более поздние версии также имеют другой процесс, при котором все приложения нотариально заверяются Apple после проверки на наличие вредоносных программ. При запуске приложения macOS выполняет еще одну проверку, чтобы убедиться, что приложение не стало вредоносным с момента первой нотариальной проверки. Этот процесс зашифрован, обычно не затрагивается проблемами с сервером, и действительно не был затронут проблемой OCSP.
Что касается проблем с производительностью, которые мы наблюдали в macOS Catalina и более ранних версиях во время проблем с серверами Apple на прошлой неделе, то они были вызваны неправильной конфигурацией на стороне сервера, усугубленной несвязанной неправильной конфигурацией CDN. Эти проблемы были устранены на стороне Apple через несколько часов после их начала, и пользователям не потребовалось никаких действий.
Между объяснением того, как все здесь работает, и обязательствами по будущим изменениям, описанными выше, Apple демонстрирует, что она прислушивается к пользователям и ставит конфиденциальность и безопасность на первое место.
Обновление 15.11. 9:00 PT: Больше подробностей об использовании OCSP Apple было предоставлено исследователем в области кибербезопасности Якопо Янноне. Он говорит, что macOS не отправляет хэш каждого приложения в Apple при их запуске и объясняет, почему стандартный отраслевой OCSP не использует шифрование. Кроме того, он говорит, что анализ Пола «не совсем точен» и, что важно, отмечает, что Apple использует этот процесс для проверки и предотвращения запуска вредоносных приложений на вашем Mac. Читайте больше от Янноне здесь.
Исходный пост: Вскоре после официального запуска macOS Big Sur для всех пользователей мы начали видеть сообщения об очень медленном времени загрузки, сбоях загрузки, а в случаях, когда загрузка прошла успешно, ошибке в конце, которая препятствовала установке.
В то же время мы видели, как сайт Apple Developer вышел из строя, за ним последовали перебои в работе iMessage, Apple Maps, Apple Pay, Apple Card и некоторых сервисов для разработчиков. Затем поступили сообщения о сторонних приложениях на Mac с Catalina и более ранними версиями, которые не запускались или зависали, а также о других проблемах с производительностью.
Разработчик Джефф Джонсон был одним из первых, кто указал на то, что происходит: проблема с подключением Mac к серверу Apple: OCSP. Затем разработчик Panic уточнил, что это связано с функцией Gatekeeper от Apple, проверяющей действительность приложений.
Теперь исследователь безопасности и хакер Джеффри Пол опубликовал подробный анализ того, что он увидел, и связанные с этим опасения по поводу конфиденциальности и безопасности в своей статье «Ваш компьютер вам не принадлежит».
В современных версиях macOS вы просто не можете включить компьютер, запустить текстовый редактор или программу для чтения электронных книг, а также писать или читать, не передавая и не сохраняя журнал вашей активности.
Оказывается, что в текущей версии macOS операционная система отправляет в Apple хэш (уникальный идентификатор) каждой программы, которую вы запускаете, при ее запуске. Многие люди не осознавали этого, потому что это бесшумно и невидимо, и мгновенно и корректно сбоит при работе в автономном режиме, но сегодня сервер стал очень медленным, и код обработки ошибок не сработал, и все приложения перестали открываться, если они были подключены к Интернету.
Он далее объясняет, что видит Apple в результате этого процесса:
Поскольку это делается через Интернет, сервер видит ваш IP-адрес, конечно, и знает, когда поступил запрос. IP-адрес позволяет грубую геолокацию на уровне города и провайдера, и позволяет создать таблицу со следующими заголовками:
Date, Time, Computer, ISP, City, State, Application HashЭто означает, что Apple знает, когда вы дома. Когда вы на работе. Какие приложения вы там открываете и как часто. Они знают, когда вы открываете Premiere у друга дома через их Wi-Fi, и они знают, когда вы открываете Tor Browser в отеле во время поездки в другой город.
Пол продолжает, выдвигая аргумент, который может подумать многие читатели: «Кого это волнует?» Он отвечает, объясняя, что запросы OCSP не зашифрованы, и к данным имеет доступ не только Apple:
1. Эти запросы OCSP передаются без шифрования. Все, кто может видеть сеть, могут видеть эти данные, включая вашего интернет-провайдера и любого, кто подключился к их кабелям.
2. Эти запросы поступают на сторонний CDN, управляемый другой компанией, Akamai.
3. С октября 2012 года Apple является партнером программы шпионажа PRISM американского военного разведывательного сообщества, которая предоставляет федеральной полиции и военным США неограниченный доступ к этим данным без ордера, в любое время, когда они их запрашивают. В первой половине 2019 года они сделали это более 18 000 раз, а во второй половине 2019 года — еще 17 500+ раз.
Эти данные представляют собой огромный массив информации о вашей жизни и привычках, и позволяют любому, кто обладает всем этим, определять ваши модели передвижения и активности. Для некоторых людей это может даже представлять физическую опасность.
Пол упоминает некоторые обходные пути для предотвращения этого отслеживания, но подчеркивает, что они могут быть устранены с появлением macOS Big Sur.
Теперь, до сегодняшнего дня было возможно блокировать подобные вещи на вашем Mac с помощью программы под названием Little Snitch (действительно, единственное, что заставляет меня использовать macOS в данный момент). В конфигурации по умолчанию она автоматически разрешает все это общение между компьютером и Apple, но вы можете отключить эти правила по умолчанию и одобрить или отклонить каждое из этих соединений, и ваш компьютер будет продолжать работать нормально, не выдавая вас Apple.
Версия macOS, выпущенная сегодня, 11.0, также известная как Big Sur, имеет новые API, которые не позволяют Little Snitch работать так же. Новые API не разрешают Little Snitch проверять или блокировать какие-либо системные процессы. Кроме того, новые правила в macOS 11 даже ограничивают работу VPN, так что приложения Apple просто обходят их.
@patrickwardle сообщает нам, что
trustd, демон, ответственный за эти запросы, находится в новомContentFilterExclusionListв macOS 11, что означает, что его не может заблокировать ни один пользовательский брандмауэр или VPN. На его снимке экрана также показано, что CommCenter (используется для совершения звонков с вашего Mac) и Maps также будут проходить мимо вашего брандмауэра/VPN, потенциально компрометируя ваш голосовой трафик и будущую/планируемую информацию о местоположении.
Пол подчеркивает, что новые Mac от Apple на базе M1 не будут работать ни с чем, кроме macOS Big Sur, и говорит, что это выбор:
вы можете иметь быструю и эффективную машину, или вы можете иметь конфиденциальную. (Мобильные устройства Apple уже такие уже несколько лет.) За исключением использования внешнего устройства сетевой фильтрации, такого как туристический/VPN-маршрутизатор, который вы можете полностью контролировать, не будет способа загрузить какую-либо ОС на новые Mac с Apple Silicon, которая не будет передавать данные, и вы не сможете модифицировать ОС, чтобы предотвратить это (или они вообще не будут загружаться из-за аппаратных криптографических защит).
Он обновил пост, сообщив, что возможен обходной путь через инструмент bputil, но ему нужно будет протестировать его, чтобы подтвердить это.
В заключение Пол говорит: «ваш компьютер теперь служит удаленному хозяину, который решил, что имеет право шпионить за вами.
Apple считает конфиденциальность и безопасность одними из своих основных принципов, поэтому нам придется подождать и услышать, что скажет компания по поводу опасений, поднятых Полом. Мы связались с Apple для получения комментариев и обновим этот пост при получении какой-либо информации.
Полную статью Джеффри Пола можно найти здесь.