Az Apple fejlesztői konferenciájának bejelentésdömpingjében kis híján elsikkadt egy új funkció, a Find My. Pedig itt valami komoly történt.

A WWDC-n a sok nagyszerű újdonság mellett jelentett be az Apple az új operációs rendszerek kapcsán egy látszólag apróságnak tűnő változást: egy alkalmazásba vonta össze az elveszett telefonok helyének felderítésére szolgáló Find My iPhone-t és az ismerősök tartózkodási helyének meghatározására szolgáló – és annak idején a Foursquare apple-ös ellenfelének szánt – Find My Friends-et. Az új app, a Find My, bármilyen elveszett Apple-eszköz helyét megmutatja.

Az már szinte alapszolgáltatás a mobiloknál, hogy ha elvesznek, távolról zárolhatók, kikapcsolhatók, törölhetők. Hol van akkor az újdonság? Ott, hogy az iOS 13-mal és a MacOS Catalinával ősszel debütáló új Find My a kikapcsolt Apple eszközök helyét is felderíti, ha van bennük Bluetooth adapter.

A Bluetooth LE hozta a megoldást

Az Apple arra építette a nyomkövetését, hogy a készülékei akkor is sugároznak Bluetooth jelet (alacsony energiaigényű Bluetooth LE-ről van szó, melynek elméleti hatótávolsága 100 méter), ha kikapcsolt állapotban vannak. Már csak azt kellett kitalálni, hogy mivel lehet befogni ezt a jelet. Természetesen egy másik, közelben lévő Apple-készülékkel. Ha bármely Apple-felhasználó az elveszett készülék közelében (értelemszerűen a Bluetooth LE hatótávolságán belül) jár, eszköze detektálja az eltűnt eszköz jelét, és továbbíthatja az iCloudon keresztül a lokációs adatait a tulajdonosnak. (A T2-es csipekkel rendelkező készülékeknél itt be lehet vetni az Activation Lock-ot, azaz a készülék lezárható illetéktelenek előtt úgy, hogy a merevlemezt sem lehet formázni.)

Amikor a felhasználó beállítja a Find My-t (ehhez értelemszerűen legalább két Apple-eszközre lesz szüksége), az app generál egy magánkulcsot, amit megoszt az összes regisztrált készülékekkel. Minden eszköz generál egy nyilvános kulcsot is. Ez a nyilvános kulcs szolgál a lokációs adatok titkosítására, amit csak a magánkulccsal lehet visszafejteni. A nyilvános kulcs bizonyos időközönként változik, de úgy, hogy az új és a régi kulcsok között nincs korreláció.

Hogy néz ki ez a gyakorlatban? A tolvaj ellop egy MacBookot, lekapcsolja a netről, és kikapcsolja a gépet. A laptop ennek ellenére a Bluetooth-on keresztül folyamatosan sugározza a nyilvános kulcsát. Ha a Bluetooth hatótávolságán belülre ér egy bármilyen működő és online állapotban lévő Apple készülék, például egy iPhone, arra a MacBook automatikusan átküldi nyilvános kulcsot. Az iPhone a nyilvános kulccsal kódolja saját anonimizált helyadatait, majd az adatokat és a kulcs hash-ét felküldi az Apple szervereire. Mivel az Apple nem rendelkezik a magánkulccsal, nem tudja visszafejteni az információt.

A MacBook tulajdonosa a másik regisztrált készülékéről bejelentkezik az iCloudba, és ott a Find My megkeresi a MacBookhoz tartozó hash-t és a lokációs adatokat.

És el is érkeztünk ahhoz, amire a biztonsági kutatók is felkapták a fejüket: minden eddiginél tökéletesebb Nagy Testvért épít az Apple? Hiszen végső esetben bármely időpillanatban pontos térképet lehet rajzolni az Apple-felhasználók mozgásáról. A fejlesztők számítottak erre a támadásra, mert hangsúlyozzák, hogy a rendszer teljesen anonim módon és erős végponti titkosítással működik.

A Find My szolgáltatással Matthew Green titkosítási szakértő, a Johns Hopkins Egyetem professzora is foglalkozott blogjában. Ő úgy látja, hogy az Apple lényegében egy hatalmas elosztott nyomkövető hálózatot épített ki. Miközben elismeri, hogy az Apple titkosítási szisztémája akár működhet is, három veszélyre hívja fel a figyelmet.

Mindenkit nyomon lehet követni? Lehetséges forgatókönyvek

Először is. Ha egy készülék folyamatosan kibocsát olyan Bluetooth jelet, ami egyedileg azonosítja, azt elméletileg bárki nyomon követheti. Mint Green írja, a marketingesek már használnak wifi és Bluetooth MAC-címeket erre, a Find My pedig egy újabb kiaknázható lehetőség.

Ehhez azonban vissza kellene fejteni a lokációs adatokat, ami az Apple szerint lehetetlen a folyamatosan változó nyilvános kulcsú titkosítási rendszer miatt. A visszafejtéshez szükséges kulcs pedig csak a készüléken található meg, ahhoz nem lehet hozzáférni az iCloudon keresztül.

Másodszor. A követésbe bevonódnak azok is, akinek a készüléke csak továbbítja az elveszett/ellopott eszközök jelét, mivel elküldik jelenlegi tartózkodási helyüket az Apple-nek. Veszélyt hordoz az is, hogy potenciálisan megosztják helyadataikat azokkal is, akik elveszítették a készüléküket. (Itt Green valószínűleg arra gondolt, hogy valaki szándékosan helyez el valahol egy készüléket, majd jelenti eltűntnek, hogy azon keresztül jusson adatokhoz.)

Az Apple szerint ez sem lehetséges. A lokációs adatokat ugyanis a "megtaláló" készülék anonimizálva küldi el. Így azonosító hiányában nem lehet visszakeresni és követni az adatforrást.

Harmadszor. A csalók a Find My rendszerén keresztül aktív támadásokat is futtathatnak.

Hogy ez lehetséges-e, arra csak az idő fogja megadni a választ.

Green elképzelhetőnek tartja, hogy az Apple által alkalmazott okos titkosítási szisztéma működőképes. Mivel azonban a rendszer működéséről nagyon kevés az információ, ezért nem lehetünk biztosak semmiben. Ráadásul – írja titkosítási szakértő – ez egy olyan rendszer, ahol még azt is nehéz azonosítani, hogy ki a rossz fiú, ugyanis bármelyik szereplő lehet az.

Biztonság

Lepacsizott az Amazon a német versenyhivatallal, de máris jön az újabb ügy

Az online birodalom megússza a bírságot, és 30 napon belül megteszi a szükséges változtatásokat, amelyekre az év eleje óta zajló trösztellenes vizsgálat értelmében szükség lehet. Ugyanakkor az EU pont ma indított újabb, drágának ígérkező aktát.
 
Könnyen érthető, de fejlett védelmi megoldások nélkül nehezen elhárítható módszert követnek a bizalmas információk ellopására utazó kiberbűnözők.
A VISZ éves INFOHajó rendezvényén az agilitás nagyvállalati alkalmazhatósága és tanulhatósága volt az egyik kerekasztal témája. Az ott elhangzottakat gondolta tovább Both András (Idomsoft), a kerekasztal egyik résztvevője.

Ez a nyolc technológia alakítja át a gyártást

a Bitport
a Vezető Informatikusok Szövetségének
médiapartnere

Az Oracle átáll a féléves verzió-életciklusra, és megszünteti az ingyenes támogatást üzleti felhasználóknak. Mire kell felkészülni? Dr. Hegedüs Tamás licencelési tanácsadó (IPR-Insights Hungary) írása.
Ön sem informatikus, de munkája során az információtechnológia is gyakran befolyásolja döntéseit? Ön is informatikus, de pénzügyi és gazdasági szempontból kell igazolnia a projektek hasznosságát? Mi közérthetően, üzleti szemmel dolgozzuk fel az infokommunikációs híreket, trendeket, megoldásokat. A Bitport kilencedik éve közvetít sikeresen az informatikai piac és a technológiát hasznosító döntéshozók között.
© 2010-2019 Bitport.hu Média Kft. Minden jog fenntartva.