Эта история началась еще 12 ноября, когда огромное число пользователей Mac сообщило о сбоях при открытии сторонних приложений.

Проблема распространилась и на собственные платформы Apple, такие как iMessage и Apple Pay, которые работали хаотично в течение короткого периода времени. Оказалось, проблема была вызвана Gatekeeper, системой безопасности, которую Apple представила еще в Mountain Lion. Это операционная система для персональных компьютеров и серверов, разработанная Apple; девятая по счету версия OS X.

По сути, если ваш Mac подключен к интернету, Gatekeeper проверяет, безопасно ли запускать какое-либо программное обеспечение. Скажем, вы нажимаете кнопку «Запустить» в Photoshop, и ваш компьютер проверяет связь с сервером Apple, чтобы убедиться, что Adobe все еще имеет действующий сертификат разработчика. Этот процесс обычно быстр и невидим для пользователей. Но огромное количество людей, обновляющихся до macOS Big Sur, перегрузило систему и замедлило ее.

Исследователи, заинтересованные в причине замедления, начали анализировать данные, которые их компьютеры отправляли на серверы Apple. Они утверждали, что операционная система отправляла в Apple HQ подробные сведения в виде простого текста о том, что, когда и как именно вы использовали. Это, естественно, вызывало панику у пользователей.

«Ваш компьютер больше не ваш»

В сообщении блога, озаглавленном «Ваш компьютер не ваш», исследователь безопасности Джеффри Пол заявил, что Apple собирает хэш (уникальный идентификатор) каждой программы, запущенной пользователем Mac, вместе с их IP-адресом через незашифрованное соединение. Конечный результат, писал Пол, заключается в том, что любой, кто использует современную версию macOS, не может ничего сделать без «передачи и сохранения журнала [их] активности».

«В современных версиях macOS вы просто не можете включить компьютер, запустить текстовый редактор или программу для чтения электронных книг, писать или читать сообщения без передачи и сохранения журнала ваших действий», — заявил Джеффри Пол.

Поскольку Мас проводит операции по сети, сервер, конечно же, видит ваш IP-адрес и знает, в какое время пришел запрос, уверяет эксперт по безопасности.

«Apple знает, когда вы дома, когда вы на работе, какие приложения вы открываете и как часто. Они знают, когда вы открываете Premiere в доме друга по их Wi-Fi, и они знают, когда вы открываете Tor Browser в отеле во время поездки в другой город».

И дело не только только в Apple. Информация идет дальше, подчеркивает эксперт, и это — большая проблема. И вот почему.

• Запросы OCSP передаются в незашифрованном виде.
• С октября 2012 года Apple является партнером американской военной разведки в программе шпионажа PRISM, которая предоставляет федеральной полиции и вооруженным силам США беспрепятственный доступ к этим данным без ордера, когда они об этом просят. В первой половине 2019 года это произошло более 18 000 раз, а во второй половине 2019 года — еще 17 500 раз.
• Эти данные составляют огромное количество данных о вашей жизни и привычках и позволяют кому-то, кто владеет ими, выявлять ваши движения и модели активности. Для некоторых людей это может даже представлять физическую опасность.

Как отмечает Джеффри Пол, до прошлой недели было возможно заблокировать сбор данных Mac с помощью программы под названием Little Snitch. Выпущенная версия macOS 11.0, также известная как Big Sur, имеет новые API, которые не позволяют Little Snitch работать должным образом, а именно проверять или блокировать любые процессы на уровне ОС. Кроме того, новые правила в macOS 11 затрудняют работу VPN, так что приложения Apple просто обходят их.

Не все так плохо?

Однако не все согласились с анализом Джффри Пола. В сообщении блога студента факультета кибербезопасности Якопо Янноне отмечается, что данные, отправленные на сервер Apple OCSP, содержат информацию, относящуюся к разработчику приложения, но не к самому приложению. Он добавляет, что служба Apple Gatekeeper может отправлять хэш исполняемого файла, но отдельно от OCSP и через зашифрованное соединение. На собственной странице поддержки Apple отмечается, что Gatekeeper использует «зашифрованное соединение, устойчивое к сбоям сервера».

Как отреагировал Apple?

Компания Apple была вынуждена уточнить, как работает ее платформа защиты от вредоносных программ Gatekeeper после того, как исследователи безопасности предположили, что система нарушает конфиденциальность.

Представитель Apple сообщил iPhone in Canada Blog, что компания обновила вспомогательную документацию. Цель — объяснить, что система не отслеживает то, что делают ее пользователи. В то же время Apple заявила, что изменит работу Gatekeeper в будущем, чтобы «минимизировать будущие риски».

«Gatekeeper выполняет онлайн-проверки, чтобы проверить, содержит ли приложение известное вредоносное ПО и отозван ли сертификат подписи разработчика, — поясняет Apple. — Мы никогда не объединяли данные этих проверок с информацией о пользователях Apple или их устройствах. Мы не используем данные этих проверок, чтобы узнать, что отдельные пользователи запускают или запускают на своих устройствах», — сказали в компании.

Вдобавок к этому Apple заявляет, что «в течение следующего года мы внесем несколько изменений в наши проверки безопасности», а именно:

• новый зашифрованный протокол для проверки отзыва сертификата Developer ID;
• надежная защита от сбоя сервера;
• новое предпочтение для пользователей отказаться от этих средств защиты.

Apple также предоставила iPhone in Canada Blog дополнительную техническую информацию о ситуации. Проверки отзыва сертификатов выполняются, чтобы убедиться, что сертификаты Developer ID, используемые для подписи приложения, не были отозваны компанией. Этот шаг имеет решающее значение для безопасности. Дело в том, что если разработчик подозревает, что сертификат был скомпрометирован третьими сторонами или используется для подписи вредоносных приложений, он может быть изъят.

MacOS использует стандартный протокол состояния сетевого сертификата (OCSP) для проверки того, что сертификат подписи кода разработчика, выданный разработчику приложения, не отозван. Этот запрос OCSP не включает Apple ID пользователя и не раскрывает запускаемое устройство или приложение.

Протокол состояния сетевого сертификата — это интернет-протокол, используемый для получения статуса отзыва цифрового сертификата X.509. Механизм протокола описан в RFC 6960 и является одним из «стандартов интернета».

В Apple отметили: поскольку OCSP используется для проверки других сертификатов, включая те, которые используются для зашифрованных веб-соединений, эти запросы выполняются по незашифрованному протоколу HTTP, что является «стандартом для всей отрасли».

HTTP используется для предотвращения ситуаций, когда проверка действительности сертификата, который защищает соединение с сервером OCSP, потенциально может зависеть от результата запроса к тому же серверу OCSP. Это создает цикл, который делает невозможным разрешение запроса.

Apple заявляет, что в macOS Catalina и более поздних версиях по умолчанию все запущенные приложения нотариально заверяются компанией. Они проверены Apple на наличие известного вредоносного программного обеспечения. Когда приложение запускается, macOS проверяет, не было ли приложение помечено Apple как вредоносное с момента его первого нотариального заверения.

Эти проверки происходят через зашифрованное соединение и устойчивы к сбоям сервера. Именно это произошло на днях, когда пользователи заметили, что их приложения зависают и запускаются бесконечно долго.

Что вызвало проблему с сервером OCSP?

Apple утверждает, что это произошло из-за неправильной конфигурации на стороне сервера. Она специально препятствовала тому, чтобы macOS могла кэшировать ответы OCSP для идентификации разработчика. Это плюс неправильная конфигурация несвязанной сети доставки контента (CDN) и является причиной низкой производительности приложений при запуске.

Apple объяснила, что уже устранила эту проблему с производительностью с помощью обновления на стороне сервера. Пользователям macOS не нужно ничего делать, чтобы воспользоваться этим обновлением.

Нотариальные проверки приложений используются для подтверждения того, что приложения, запускаемые в macOS, не были признаны Apple вредоносными, поскольку они были впервые нотариально заверены. Компания заявляет, что эти проверки происходят через зашифрованное соединение и неуязвимы для сбоев сервера. На нотариальные проверки не повлияла проблема на стороне сервера, из-за которой запросы OCSP не выполнялись.