MediaNowościOprogramowanieRTV

Sprawdzenie certyfikatu Mac budzi obawy, że Apple rejestruje każdą uruchomioną aplikację

Cyfrowy obraz kompozytowy biznesmen za pomocą laptopa z ikonami na biurku

W ostatni czwartek po południu użytkownicy komputerów Mac na całym świecie zaczęli narzekać na paraliżujące spowolnienie podczas otwierania aplikacji. Przyczyna: certyfikat online sprawdza, czy Apple przeprowadza za każdym razem, gdy użytkownik otwiera aplikację, która nie została pobrana z App Store. Wydaje się, że masowe uaktualnienie do Big Sur spowodowało, że serwery Apple odpowiedzialne za te kontrole spowolniły do ​​indeksowania.

Firma Apple szybko naprawiła spowolnienie, ale obawy dotyczące sparaliżowanych komputerów Mac zostały wkrótce zastąpione jeszcze większym zmartwieniem – ogromną ilością danych osobowych, które Apple i prawdopodobnie inni mogą zebrać z komputerów Mac wykonujących testy certyfikatów za każdym razem, gdy użytkownik otworzy aplikację, która tego nie zrobiła pochodzą z App Store.

Dla osób, które rozumiały, co dzieje się za kulisami, nie było powodu, aby postrzegać weryfikację certyfikatu jako utratę prywatności. Jednak dla pewności Apple opublikował w poniedziałek artykuł pomocy, który powinien stłumić wszelkie utrzymujące się obawy. Więcej o tym później – najpierw zróbmy kopię zapasową i przedstawmy trochę tła.

Poznaj OCSP

Zanim Apple dopuści aplikację do App Store, musi najpierw przejść recenzję sprawdzającą jej bezpieczeństwo. Użytkownicy mogą skonfigurować funkcję macOS znaną jako Gatekeeper, aby zezwalała tylko na te zatwierdzone aplikacje, lub mogą wybrać ustawienie, które umożliwia również instalowanie aplikacji innych firm, o ile te aplikacje są podpisane certyfikatem programisty wydanym przez Apple. Aby upewnić się, że certyfikat nie został odwołany, macOS używa protokołu OCSP – skrótu od branżowego standardu protokołu stanu certyfikatu online – do sprawdzania jego ważności.

Sprawdzenie ważności certyfikatu – dowolnego certyfikatu – uwierzytelnienia witryny internetowej lub oprogramowania brzmi dość prosto, ale od dawna stwarza w całej branży problemy, które nie są łatwe do rozwiązania. Początkowym sposobem było użycie list unieważnionych certyfikatów, ale w miarę jak listy rosły, ich rozmiar uniemożliwiał ich efektywne działanie. Lista CRL ustąpiła miejsca OCSP, które sprawdzało zdalne serwery.

Okazało się, że OCSP ma swoje wady. Serwery czasami ulegają awarii, a kiedy tak się dzieje, awarie serwerów OCSP mogą potencjalnie sparaliżować miliony ludzi próbujących robić takie rzeczy, jak odwiedzanie witryn, instalowanie aplikacji i sprawdzanie poczty e-mail. Aby zabezpieczyć się przed tym zagrożeniem, OCSP domyślnie działa jako „miękka awaria”. Zamiast blokować sprawdzaną witrynę internetową lub oprogramowanie, protokół OCSP będzie działał tak, jakby certyfikat był ważny w przypadku braku odpowiedzi serwera.

W jakiś sposób masowa liczba osób przechodzących na Big Sur w czwartek spowodowała, że ​​serwery ocsp.apple.com zostały przeciążone, ale nie całkowicie się przewróciły. Serwer nie mógł zapewnić wszystkich jasnych informacji, ale również nie zwrócił błędu, który spowodowałby błąd oprogramowania. W rezultacie ogromna liczba użytkowników komputerów Mac pozostawała w zawieszeniu.

Firma Apple rozwiązała problem z dostępnością witryny ocsp.apple.com, prawdopodobnie dodając większą pojemność serwera. Zwykle to byłby koniec problemu, ale tak nie było. Wkrótce media społecznościowe zalały się twierdzeniami, że proces weryfikacji aplikacji macOS zmieniał Apple w Wielkiego Brata, który śledził czas i lokalizację za każdym razem, gdy otwieraliśmy lub ponownie otwieraliśmy aplikację, która nie została pobrana z App Store.

Paranoja uderza głęboko

Post “Twój komputer nie jest twój” był jednym z katalizatorów masowego koncernu. Zauważył, że proste żądania pobierania HTML wykonywane przez OCSP były niezaszyfrowane. Oznaczało to, że Apple nie tylko był w stanie budować profile w oparciu o nasze wykorzystanie komputerów Mac minuta po minucie, ale także dostawcy usług internetowych lub każdy inny, kto mógł zobaczyć ruch przechodzący przez sieć. (Aby zapobiec wpadnięciu w nieskończoną pętlę uwierzytelniania, praktycznie cały ruch protokołu OCSP jest niezaszyfrowany, chociaż odpowiedzi są podpisywane cyfrowo).

Na szczęście mniej alarmistyczne posty, takie jak ten, zapewniały bardziej pomocne tło. Przesyłane skróty nie były unikalne dla samej aplikacji, ale raczej certyfikatu programisty wydanego przez Apple. To wciąż pozwalało ludziom wnioskować, kiedy używana była aplikacja taka jak Tor, Signal, Firefox lub Thunderbird, ale nadal było mniej szczegółowe, niż początkowo przypuszczało wiele osób.

Większy punkt polegał na tym, że pod wieloma względami gromadzenie danych przez ocsp.apple.com nie różniło się zbytnio od informacji, które są już przesyłane w czasie rzeczywistym przez OCSP za każdym razem, gdy odwiedzamy witrynę internetową. Oczywiście istnieją pewne różnice. Apple widzi żądania OCSP dla wszystkich aplikacji Mac, które nie zostały pobrane z App Store, co prawdopodobnie jest ogromną liczbą. Żądania OCSP dotyczące innego oprogramowania podpisanego cyfrowo trafiają do setek lub tysięcy różnych urzędów certyfikacji i generalnie są wysyłane tylko podczas instalowania aplikacji.

Krótko mówiąc, wniosek był taki sam: potencjalna utrata prywatności przez OCSP to kompromis, którego dokonujemy, starając się sprawdzić ważność certyfikatu uwierzytelniającego witrynę, którą chcemy odwiedzić, lub oprogramowanie, które chcemy zainstalować.

Apple mówi

Chcąc dodatkowo zapewnić użytkowników komputerów Mac, Apple opublikował w poniedziałek ten post. Wyjaśnia, co firma robi, a czego nie robi z informacjami zebranymi za pośrednictwem Gatekeepera i osobną funkcją znaną jako notarialna, która sprawdza bezpieczeństwo nawet aplikacji spoza App Store. Post stwierdza:

Gatekeeper sprawdza online, aby sprawdzić, czy aplikacja zawiera znane złośliwe oprogramowanie i czy certyfikat podpisywania programisty został odwołany. Nigdy nie łączyliśmy danych z tych kontroli z informacjami o użytkownikach Apple lub ich urządzeniach. Nie używamy danych z tych kontroli, aby dowiedzieć się, co poszczególni użytkownicy uruchamiają lub uruchamiają na swoich urządzeniach.

Notarialność sprawdza, czy aplikacja zawiera znane złośliwe oprogramowanie, używając szyfrowanego połączenia odpornego na awarie serwera.

Te kontrole bezpieczeństwa nigdy nie obejmowały identyfikatora Apple ID użytkownika ani tożsamości jego urządzenia. Aby dodatkowo chronić prywatność, zaprzestaliśmy rejestrowania adresów IP związanych z weryfikacją certyfikatu programisty i zapewniamy, że wszystkie zebrane adresy IP zostaną usunięte z dzienników.

W poście napisano, że w przyszłym roku Apple dostarczy nowy protokół sprawdzający, czy certyfikaty deweloperów zostały odwołane, „silne zabezpieczenia przed awarią serwera” oraz nowe ustawienie systemu operacyjnego dla użytkowników, którzy chcą zrezygnować ze wszystkich tego.

Kontrowersje wokół zachowania, które zachowywał macOS od czasu, gdy przynajmniej wersja Catalina została wprowadzona w październiku ubiegłego roku, podkreślają kompromis, który czasami występuje między bezpieczeństwem a prywatnością. Gatekeeper został zaprojektowany, aby ułatwić mniej doświadczonym użytkownikom omijanie aplikacji, o których wiadomo, że są złośliwe. Aby skorzystać z Gatekeepera, użytkownicy muszą wysłać określoną ilość informacji do Apple.

Nie znaczy to, że Apple jest całkowicie bez winy. Po pierwsze, programiści nie zapewnili łatwego sposobu rezygnacji z kontroli OCSP. To sprawiło, że zablokowanie dostępu do ocsp.apple.com jest jedynym sposobem na to, a dla mniej doświadczonych użytkowników komputerów Mac jest to zbyt trudne.

Innym błędem jest poleganie w ogóle na OCSP. Ze względu na konstrukcję miękkiej awarii ochrona może zostać zastąpiona, w niektórych przypadkach celowo przez atakującego lub po prostu z powodu awarii sieci. Jednak Apple nie jest jedyną firmą polegającą na OCSP. Metoda odwołania znana jako CRLite może ostatecznie zapewnić rozwiązanie tego niepowodzenia.

Osoby, które nie ufają sprawdzeniom OCSP dla aplikacji na Maca, mogą je wyłączyć, edytując plik hostów komputera Mac. Wszyscy inni mogą się poruszać.

Zostaw komentarz

Maciek Luboński
Z wykształcenia jestem kucharzem , ale to nie przeszkadza mi pisać dla Was tekstów z wielu ciekawych dziedzin , których sam jestem fanem.Piszę dużo i często nie na tak jak trzeba , ale co z tego skoro tak naprawdę liczy się pasja.

Najlepsze recenzje

Video

gallery

Facebook