איך הכל התחיל?
הסיפור הזה התחיל ב-12 בנובמבר, כשמספר עצום של משתמשי Mac דיווחו
בעיקרון, אם ה- Mac שלך מחובר לאינטרנט,שומר הסף יבדוק אם בטוח להפעיל תוכנה כלשהי. נניח שאתה לוחץ על כפתור ההפעלה בפוטושופ והמחשב שלך עוקף עם שרת Apple כדי לוודא של- Adobe עדיין יש אישור מפתח תקף. תהליך זה בדרך כלל מהיר ובלתי נראה למשתמשים, אלא שמספר האנשים שמשדרגים ל- MacOS Big Sur הכריע את המערכת והאט אותה.
חוקרים המעוניינים במטרההאטות, החלו לנתח את הנתונים שהמחשבים שלהם שלחו לשרתי אפל. הם טענו שמערכת ההפעלה שלחה מידע מפורט אודות השימוש בו בטקסט רגיל ל- Apple HQ, מה שבאופן טבעי עורר אימה רבה. טענות כאלה נדחו על ידי החוקר ז'קופו יאנון, שהסביר כי פרוטוקול OCSP, או פרוטוקול סטטוס האישור המקוון, אינם פועלים כך.
"המחשב שלך כבר לא שלך"
בפוסט בבלוג שכותרתו "המחשב שלךלא שלך, "חוקר האבטחה ג'פרי פאולה אמר כי אפל אוספת חשיש (מזהה ייחודי) של כל תוכנית שהושק על ידי משתמש מק יחד עם כתובת ה- IP שלהם על חיבור לא מוצפן. התוצאה הסופית, כתב פול, היא שכל מי שמשתמש בגרסה מודרנית של MacOS אינו יכול לעשות זאת מבלי "להעביר ולשמור יומן של הפעילות [שלהם]."
"בגרסאות מודרניות של macOS, אתה פשוטאינך יכול להפעיל את המחשב שלך, להפעיל מעבד תמלילים או קורא ספרים אלקטרוניים, ולכתוב או לקרוא מבלי להעביר ולשמור יומן של הפעילויות שלך", אמר ג'פרי פול.
מכיוון שמק מבצע פעולות ברשת, השרתכמובן שהוא רואה את כתובת ה- IP שלך ויודע מתי הגיעה הבקשה. כתובת ה- IP מאפשרת מיקום גיאוגרפי מחוספס ברמת העיר וברמת ספק האינטרנט, אומר מומחה אבטחה
"זה אומר שאפל יודעת מתי אתה בבית.כשאתה בעבודה. אילו אפליקציות אתה פותח ובאיזו תדירות. הם יודעים מתי אתה פותח את הבכורה בבית של חבר ברשת האינטרנט שלהם, והם יודעים מתי אתה פותח את Tor Browser במלון בטיול לעיר אחרת. "
ולא מדובר רק באפל. מידע זה הולך רחוק יותר, מדגיש המומחה:
- בקשות OCSP נשלחות ללא הצפנה;
- מאז אוקטובר 2012, אפל הייתה שותפההמודיעין הצבאי האמריקני בתוכנית הריגול PRISM, המעניקה למשטרה הפדרלית ולצבא ארה"ב גישה בלתי מוגבלת לנתונים הללו ללא צו כאשר הם מבקשים זאת. זה קרה יותר מ-18,000 פעמים במחצית הראשונה של 2019, ועוד 17,500 פעמים במחצית השנייה של 2019;
- נתונים אלה מהווים כמות עצומה של נתוניםעל החיים וההרגלים שלך ואפשר למישהו שבבעלותך לזהות את התנועות ודפוסי הפעילות שלך. עבור אנשים מסוימים זה עלול אפילו להוות סכנה פיזית.
כפי שג'פרי פול מציין, עד בשבוע שעבר היהאפשר לחסום את איסוף הנתונים של Mac באמצעות תוכנית בשם Little Snitch. לגרסה שפורסמה של macOS 11.0, הידועה גם בשם Big Sur, יש ממשקי API חדשים שמונעים מה-Little Snitch לעבוד באותו אופן. ממשקי ה-API החדשים מונעים מה-Little Snitch לבדוק או לחסום תהליכים ברמת מערכת ההפעלה. בנוסף, כללים חדשים ב-macOS 11 מקשים על מערכות VPN לעבוד, כך שאפליקציות אפל פשוט עוקפות אותן.
הכל לא רע?
עם זאת, לא כולם הסכימו עם הניתוח של ג'פרי פול.פוסט בבלוג של סטודנט לאבטחת סייבר Jacopo Iannone מציין שהנתונים שנשלחים לשרת ה-OCSP של אפל מכילים מידע הקשור למפתח האפליקציה, אך לא לאפליקציה עצמה. הוא מוסיף ששירות ה-gatekeeper של אפל יכול לשלוח hash של קובץ ההפעלה, אבל בנפרד מ-OCSP ועל חיבור מוצפן. עמוד התמיכה של אפל עצמו מציין ש-gatekeeper משתמש ב"חיבור מוצפן שעמיד בפני כשלים בשרתים".
איך אפל הגיבה?
אפל נאלצה להבהיר כיצדפלטפורמת Gatekeeper שלה נגד תוכנות זדוניות פועלת לאחר שחוקרי אבטחה הציעו שהמערכת מפרה את הפרטיות. החברה, כפי שצוין על ידי 9to5Mac,
דובר אפל אומר ל- iPhone בקנדהבלוג שהחברה עדכנה תיעוד תומך כדי להסביר שהמערכת אינה עוקבת אחר מה המשתמשים שלה עושים. במקביל, אפל אמרה כי תשנה את אופן הפעולה של שומר הסף בעתיד כדי למזער עוד יותר את הסיכונים העתידיים.
"שומר הסף מבצע בדיקות מקוונות כדי לוודאבדוק אם האפליקציה מכילה תוכנה זדונית ידועה והאם אישור החתימה של המפתח נשלל", מסבירה אפל. "מעולם לא שילבנו נתונים מהסריקות האלה עם מידע על משתמשי אפל או המכשירים שלהם. אנחנו לא משתמשים בנתונים מהסריקות האלה כדי ללמוד אילו משתמשים בודדים מריצים או פועלים במכשירים שלהם", הסבירה החברה.
בנוסף לכך, אפל אומרת כי "במהלך השנה הבאה נבצע מספר שינויים בבדיקות האבטחה שלנו", כלומר:
- פרוטוקול מוצפן חדש לבדיקת ביטול תעודת מזהה מפתח;
- הגנה אמינה מפני כשל בשרת;
- העדפה חדשה למשתמשים לבטל את הסכמתם להגנות אלה.
אפל גם סיפקה את iPhone בבלוג של קנדהמידע טכני נוסף על המצב. בדיקות ביטול האישורים מבוצעות על מנת להבטיח כי אישורי מזהה המפתח המשמשים לחתימת היישום לא בוטלו על ידי החברה. שלב זה הוא קריטי לביטחון, מכיוון שניתן לאחזר את האישור אם היזם חושד שהוא נפגע על ידי צדדים שלישיים או שהוא משמש לחתימה על יישומים זדוניים.
MacOS משתמש בפרוטוקול סטנדרטי בתעשייהסטטוס האישור (OCSP) לאימות אישור חתימת קוד המפתח שהונפק למפתח היישום לא בוטל. בקשת OCSP זו אינה כוללת את מזהה Apple של המשתמש ואינה חושפת את המכשיר או היישום המושק.
אפל ציינה כי מאז OCSPהמשמשים לאימות אישורים אחרים, כולל אלה המשמשים לחיבורי אינטרנט מוצפנים, בקשות אלה נעשות באמצעות פרוטוקול HTTP לא מוצפן, כמקובל בכל הענף.
HTTP משמש למניעת מצבים,בעת אימות אישור המאבטח חיבור לשרת OCSP יכול להיות תלוי בתוצאה של בקשה לאותו שרת OCSP, ויצירת לולאה שלא תאפשר לפתור את הבקשה, על פי אפל.
אפל אומרת macOS Catalina ומעלהבגרסאות מאוחרות יותר, כברירת מחדל, כל היישומים הפועלים מאושרים על ידי החברה על ידי נוטריון כדי לציין שהם נבדקו על ידי אפל לגבי תוכנות זדוניות ידועות. כאשר אפליקציה מושקת, MacOS בודקת אם האפליקציה סומנה כזדונית על ידי אפל מאז אימותו הראשון. בדיקות אלו מתרחשות דרך חיבור מוצפן והן חסינות בפני קריסות שרתים. זה בדיוק מה שקרה לפני כמה ימים, והמשתמשים ראו שהיישומים שלהם קופאים ומושקים ללא הגבלת זמן.
מה גרם לבעיה בשרת OCSP?
אפל טוענת שזה היה בגללתצורה שגויה בצד השרת שמנעה במיוחד מ-macOS את היכולת לאחסן תגובות OCSP עבור מזהה המפתח. שגיאת תצורה זו, יחד עם תצורה שגויה של רשת אספקת התוכן הבלתי קשורה (CDN), היא הסיבה לביצועי יישומים גרועים בעת האתחול.
אפל הסבירה לאייפון בקנדה שכברתיקן את בעיית הביצועים הזו עם עדכון בצד השרת שיאפשר כעת ל- macOS לשמור את מזהה המפתח למזהה מפתח OCSP לתקופות ארוכות יותר. משתמשי MacOS לא צריכים לעשות שום דבר כדי לנצל את עדכון Apple זה.
משתמשים בבדיקות נוטריוניות של בקשותאישור כי אפל לא נחשבה זדונית על ידי יישומים הפועלים ב- macOS מאז אישורם הראשון של נוטריון. אפל אומרת שבדיקות אלה מתרחשות דרך חיבור מוצפן וחסינות מפני קריסות שרתים. בדיקות נוטריוניות לא הושפעו מבעיה בצד השרת שמנעה ביצוע בקשות OCSP.
קרא גם
קרחון יום הדין התגלה כמסוכן יותר ממה שחשבו המדענים. אנחנו מספרים את העיקר
Hyperloop מגיע למהירות של 1019 קמ"ש
האלגוריתם יצר 3,000 פוקימונים חדשים