Хакер - iOS 16. Изучаем новые способы защиты данных в последней iOS

https://t.me/hacker_frei

Олег Афонин

Содержание статьи

• Safety Check
• Новое разрешение: доступ к буферу обмена
• Защита скрытых и удаленных фотографий
• Функции, относящиеся к безопасности
• Lockdown Mode
• Passkeys
• Rapid Security Response
• Face ID в альбомной ориентации
• iOS 14 и 15: что мы пропустили
• Выводы

Бе­зопас­ность лич­ных дан­ных — нап­равле­ние, которое активно раз­вива­ют раз­работ­чики мобиль­ных ОС. В Apple защиту, по сути, прев­ратили в товар; это­му воп­росу пос­вящен це­лый раз­дел на сай­те ком­пании. Сегод­ня мы погово­рим о том, что нового в сфе­ре кон­фиден­циаль­нос­ти и безопас­ности появи­лось в све­жей вер­сии iOS 16, анон­сирован­ной 7 сен­тября.

SAFETY CHECK

Фун­кция Safety Check («про­вер­ка безопас­ности») поз­воля­ет про­верить или быс­тро сбро­сить нас­трой­ки кон­фиден­циаль­нос­ти, отве­чающие за дос­туп к дан­ным, который ты ког­да‑то пре­дос­тавлял людям, при­ложе­ниям или устрой­ствам.

Что это озна­чает на прак­тике? Допус­тим, ког­да‑то дав­но ты открыл кому‑то дос­туп к сво­ему мес­тополо­жению, а этот кто‑то тво­им довери­ем зло­упот­ребил. Напом­ню, в таком слу­чае у доверен­ного лица будет воз­можность в любой момент узнать, где ты находишь­ся, с доволь­но высокой точ­ностью. При некото­рой сно­ров­ке мож­но орга­низо­вать пол­ноцен­ную слеж­ку. Safety Check поз­волит прос­мотреть, у кого есть такой дос­туп, и отклю­чить его у не оправдав­ших доверие лиц. Под­робнее о том, как это сде­лать, мож­но про­читать в за­мет­ке, пос­вящен­ной фун­кции Safety Check.

Са­ма ком­пания Apple позици­они­рует Safety Check в качес­тве помощи людям в ситу­ациях домаш­него насилия, но ее воз­можнос­ти этим не огра­ничи­вают­ся. C исполь­зовани­ем этой фун­кции ты можешь сбро­сить нас­трой­ки дос­тупа и сис­темные раз­решения на кон­фиден­циаль­ность для при­ложе­ний (как всех ско­пом, так и по отдель­нос­ти). То же самое ты мог сде­лать и рань­ше, но тебе приш­лось бы хорошень­ко полазить по мно­жес­тву пун­ктов меню, отзы­вая нас­трой­ки для каж­дого при­ложе­ния по отдель­нос­ти, либо сбро­сить сра­зу все нас­трой­ки устрой­ства, что очень неудоб­но.

На­конец, при помощи Safety Check мож­но огра­ничить при­ем сооб­щений (SMS и iMessage) и звон­ков FaceTime одним устрой­ством. Она отклю­чает облачную фун­кци­ональ­ность, бла­года­ря которой ты можешь видеть тек­сто­вые сооб­щения и вхо­дящие звон­ки FaceTime не толь­ко на сво­ем iPhone, но и на дру­гих устрой­ствах Apple, при­вязан­ных к тво­ей учет­ной записи, нап­ример iPad или MacBook. Опять же ничего сверхъ­естес­твен­ного — то же самое мож­но сде­лать и вруч­ную, но имен­но в Safety Check все перечис­ленное соб­рано в одном мес­те, а сбро­сить выдан­ные раз­решения мож­но бук­валь­но в пару нажатий.

НОВОЕ РАЗРЕШЕНИЕ: ДОСТУП К БУФЕРУ ОБМЕНА

Пом­нишь, сколь­ко шума надела­ли появив­шиеся в iOS 14 бан­неры, уве­дом­ляющие о том, что при­ложе­ние про­чита­ло дан­ные из буфера обме­на?

Мно­гих эти бан­неры раз­дра­жали и про­дол­жают раз­дра­жать до сих пор, но отклю­чить эту воз­можность на уров­не сис­темы невоз­можно. В iOS 16 раз­работ­чики наконец приш­ли к оче­вид­ному решению: теперь для дос­тупа к буферу обме­на при­ложе­ния дол­жны зап­рашивать раз­решение.

Под­робнее об этом мож­но про­читать в статье UIPasteBoard’s privacy change in iOS 16, здесь же отме­чу, что, однажды раз­решив при­ложе­нию дос­туп к буферу обме­на, окош­ка с назой­ливым зап­росом ты боль­ше не уви­дишь.

Кста­ти, инте­рес­но, сбра­сыва­ется ли новое раз­решение новой фун­кци­ей Safety Check? Это мы смо­жем про­верить толь­ко пос­ле офи­циаль­ного выхода iOS 16. В бета‑вер­сиях iOS 16 еди­нож­ды выдан­ное раз­решение не отоб­ража­ется в общем спис­ке раз­решений получив­шего его при­ложе­ния, так что отоз­вать или сбро­сить его никак не получит­ся.

И еще одно наб­людение: зап­рос не появ­ляет­ся, если ты сам ини­циируешь встав­ку из буфера обме­на, кос­нувшись коман­ды «Вста­вить» во всплы­вающем меню. Соот­ветс­твен­но, новая фун­кция огра­ничи­вает лишь фоновый дос­туп к буферу, то есть такой дос­туп, который при­ложе­ния получа­ют без учас­тия и явно­го сог­ласия поль­зовате­ля. На дан­ный момент фун­кция выг­лядит сырой и нес­коль­ко недоде­лан­ной, но пос­мотрим, что будет в окон­чатель­ной вер­сии iOS 16.

ЗАЩИТА СКРЫТЫХ И УДАЛЕННЫХ ФОТОГРАФИЙ

Воз­можность скрыть фотог­рафии появи­лась в iOS доволь­но дав­но. Почитать об этой воз­можнос­ти мож­но, нап­ример, на офи­циаль­ном сай­те Apple. До выхода iOS 16 скры­тые фотог­рафии все­го лишь попада­ли в спе­циаль­ный аль­бом с «говоря­щим» наз­вани­ем. Кста­ти, ана­логич­ным обра­зом сис­тема пос­тупала и с уда­лен­ными фото и видео.

Скры­тые и уда­лен­ные фотог­рафии при этом исче­зали из основной лен­ты в при­ложе­нии Photo, но прос­мотреть содер­жимое этих аль­бомов было про­ще прос­того: дос­таточ­но лишь открыть пап­ку с соот­ветс­тву­ющим наз­вани­ем.

Мно­гих поль­зовате­лей такое положе­ние дел не устра­ива­ло: в слу­чаях, ког­да iPhone с пло­хо скры­тыми фотог­рафи­ями попадал в руки зло­умыш­ленни­ков или прос­то любопыт­ных, доходи­ло даже до уволь­нений.

В App Store рас­цвел целый букет раз­нооб­разных при­ложе­ний, скры­вающих или защища­ющих дос­туп к при­ват­ным фото и видео. Удобс­тво, безопас­ность и при­ват­ность подоб­ных при­ложе­ний вызыва­ли мас­су воп­росов. Наконец, в iOS 16 появил­ся механизм, поз­воля­ющий защитить при­ват­ные фото и видео от слу­чай­ного прос­мотра стан­дар­тны­ми средс­тва­ми опе­раци­онной сис­темы.

В новой вер­сии iOS аль­бомы скры­тых или уда­лен­ных фото и видео будут защище­ны: для дос­тупа к ним по умол­чанию пот­ребу­ется авто­риза­ция через Face ID, Touch ID или с помощью кода бло­киров­ки. При желании поль­зователь смо­жет отклю­чить такую авто­риза­цию в нас­трой­ках.

ФУНКЦИИ, ОТНОСЯЩИЕСЯ К БЕЗОПАСНОСТИ

Опи­сан­ные выше фун­кции име­ли отно­шение к защите кон­фиден­циаль­нос­ти поль­зовате­ля; теперь давай погово­рим о воз­можнос­тях, приз­ванных повысить безопас­ность устрой­ства или сде­лать исполь­зование преж­них фун­кций безопас­ности более удоб­ным. 

Lockdown Mode

Ин­терес­нее все­го в iOS 16, хотя, веро­ятно, этой воз­можностью и ред­ко поль­зуют­ся, спе­циаль­ный режим Lockdown Mode, раз­работан­ный для защиты людей, чья общес­твен­ная или про­фес­сиональ­ная деятель­ность под­верга­ет их рис­ку пер­сонали­зиро­ван­ных атак.

Для акти­вации режима пот­ребу­ется не толь­ко вклю­чить дан­ную нас­трой­ку, но и перезаг­рузить iPhone. Пос­ле это­го смар­тфон зарабо­тает в осо­бом безопас­ном режиме, некото­рые фун­кции устрой­ства будут огра­ниче­ны. В час­тнос­ти:

• В сооб­щени­ях будут бло­киро­вать­ся все вло­жения, кро­ме фотог­рафий. Так­же отклю­чают­ся некото­рые фун­кции, нап­ример пред­варитель­ный прос­мотр ссы­лок.
• В бра­узе­ре отклю­чают­ся некото­рые тех­нологии, нап­ример JIT-ком­пиляция JavaScript (за исклю­чени­ем сай­тов, добав­ленных в белый спи­сок).
• Бло­киру­ются вхо­дящие звон­ки, зап­росы и приг­лашения от нез­накомых або­нен­тов, которым поль­зователь рань­ше не зво­нил.
• Ак­тивиру­ется уже зна­комый режим огра­ниче­ния USB, в котором пос­ле бло­киров­ки экра­на iPhone зап­рещена переда­ча дан­ных меж­ду телефо­ном и компь­юте­ром или аксессу­аром.
• На­конец, режим бло­киров­ки не поз­воля­ет уста­новить про­филь кон­фигура­ции или зарегис­три­ровать устрой­ство в сис­теме внеш­него управле­ния MDM.

На­бор огра­ниче­ний такой, что­бы исполь­зование устрой­ства не сде­лалось сов­сем невоз­можным. Что‑то мне под­ска­зыва­ет, что в режим Lockdown будут перево­дить телефо­ны не столь­ко жур­налис­ты и полити­ки, сколь­ко родите­ли, жела­ющие обе­зопа­сить сво­их детей. Если тебя прив­лека­ет эта идея, то пос­ле вклю­чения дан­ного режима на iPhone ребен­ка не забудь наб­рать с защищен­ного таким обра­зом аппа­рата свой номер, ина­че ты боль­ше не смо­жешь до него доз­вонить­ся.

Passkeys

Раз­работ­чики Apple при­дума­ли оче­ред­ной спо­соб онлай­новой аутен­тифика­ции, который дол­жен заменить логины и пароли. Сог­ласно их замыс­лу, при регис­тра­ции на под­держи­вающем новую тех­нологию сай­те будет соз­дана пара клю­чей асим­метрич­ного шиф­рования, один из которых (пуб­личный) сох­раня­ется на самом сай­те, а вто­рой (при­ват­ный) — в связ­ке клю­чей тво­его устрой­ства (это может быть iPhone, iPad или компь­ютер Mac). При­ват­ные клю­чи син­хро­низи­руют­ся через iCloud с помощью облачной связ­ки клю­чей и защища­ются сквоз­ным шиф­ровани­ем.

Ког­да ты попыта­ешь­ся залоги­нить­ся на сай­те, тот сге­нери­рует сооб­щение, зашиф­рован­ное тво­им пуб­личным клю­чом. Рас­шифро­вать это сооб­щение смо­жешь толь­ко ты, как дер­жатель при­ват­ного клю­ча, который, напом­ню, хра­нит­ся на тво­ем iPhone.

Рас­шифро­вав сооб­щение, твой смар­тфон отпра­вит на сайт ответ, под­писан­ный при­ват­ным клю­чом. Сайт, в свою оче­редь, смо­жет про­верить под­линность откли­ка, верифи­циро­вав твою циф­ровую под­пись все тем же пуб­личным клю­чом. Как видишь, все прос­то, проз­рачно и в рам­ках клас­сичес­кой схе­мы асим­метрич­ного крип­то.

Пред­полага­ется, что вход на исполь­зующие дан­ную тех­нологию сай­ты будет совер­шенно проз­рачным, если для это­го исполь­зует­ся одно из при­вязан­ных к тво­ей учет­ной записи устрой­ств Apple. Если же ты захочешь вой­ти на сайт с дру­гого устрой­ства (нап­ример, с компь­юте­ра под Windows), то тебе при­дет­ся ска­ниро­вать QR-код, исполь­зовав для это­го свой iPhone. Для вхо­да пот­ребу­ется раз­бло­киро­вать устрой­ство, что дол­жно под­твер­дить твою лич­ность.

В Apple счи­тают, что новая сис­тема со вре­менем наберет популяр­ность. Для начала в ком­пании догово­рились с такими монс­тра­ми, как eBay, PayPal, Microsoft, NVIDIA, Best Buy, Cloudflare и Carnival. Веро­ятно, спи­сок будет со вре­менем рас­ширять­ся, по край­ней мере в США, где каж­дый вто­рой смар­тфон — iPhone. Под­робнее о новой сис­теме мож­но почитать на сай­те Crast.Net. 

Rapid Security Response

Эта фун­кция опи­сана на сай­те Apple нев­нятно, но ее суть дос­таточ­но прос­та: вклю­чение Rapid Security Response поз­воля­ет уста­нав­ливать про­межу­точ­ные обновле­ния сис­темы, ана­логом которых выс­тупа­ют еже­месяч­ные пат­чи безопас­ности Android.

Face ID в альбомной ориентации

Тут еще про­ще: на iPhone 13 и 14 исполь­зовать Face ID мож­но будет как в пор­трет­ной, так и в аль­бом­ной ори­ента­ции. Напом­ню, кста­ти, что отно­ситель­но недав­но в iOS 15.4 появи­лась воз­можность исполь­зовать Face ID на iPhone в слу­чаях, ког­да у челове­ка на лице медицин­ская мас­ка, а еще рань­ше, в iOS 14.5, такая же фун­кция добави­лась в часах Apple Watch. Если в Face ID опре­деля­лось, что поль­зователь в медицин­ской мас­ке, то с помощью надетых на руку и раз­бло­киро­ван­ных часов Apple Watch мож­но было раз­бло­киро­вать iPhone. Обра­ти вни­мание: обе этих воз­можнос­ти появи­лись в про­межу­точ­ных обновле­ниях сис­темы, хоть и были анон­сирова­ны заранее.

IOS 14 И 15: ЧТО МЫ ПРОПУСТИЛИ

Apple далеко не всег­да сра­зу внед­ряет фун­кции, анон­сирован­ные в момент выхода новой вер­сии iOS. Так, Отчет о кон­фиден­циаль­нос­ти при­ложе­ний появил­ся лишь с выходом iOS 15.2, хотя был анон­сирован во вре­мя релиза iOS 15.

В отчет попада­ет информа­ция о выдан­ных при­ложе­ниям раз­решени­ях, о том, как при­ложе­ния их исполь­зуют и ког­да они делали это в пос­ледний раз. Нап­ример, здесь мож­но узнать, что и ког­да зап­рашива­ло информа­цию о тво­ем мес­тополо­жении.

А еще рань­ше, в iOS 14.5, в при­ложе­ниях наконец зарабо­тала фун­кция, которую в Apple наз­вали App Tracking Transparency. С этой вер­сии iOS при­ложе­ния дол­жны зап­рашивать сог­ласие на при­вяз­ку поль­зовате­лей к уни­каль­ному иден­тифика­тору Advertising ID, который поз­воля­ет однознач­но иден­тифици­ровать устрой­ство на раз­личных сай­тах и в при­ложе­ниях. То есть сле­дить, какие сай­ты ты посеща­ешь и какими сер­висами поль­зуешь­ся. И если в пре­дыду­щих вер­сиях сис­темы дос­туп к рек­ламно­му иден­тифика­тору у при­ложе­ний по умол­чанию был, то, начиная с iOS 14.5, такого дос­тупа нет, и поль­зователь дол­жен в явном виде сог­ласить­ся со слеж­кой. К удив­лению раз­работ­чиков «шпи­онских» SDK, такое сог­ласие выдали все­го 4% поль­зовате­лей.

Ка­залось бы, что пло­хого в том, что за тобой нем­ного под­смот­рят, — тем более что иден­тифика­тор вро­де как ано­ним­ный? Суть кро­ется в сло­вах «вро­де как». Бук­валь­но на днях раз­разил­ся оче­ред­ной скан­дал: ока­залось, что в течение мно­гих лет полиция мас­сово и без каких‑либо юри­дичес­ких заморо­чек исполь­зовала дан­ные, любез­но пре­дос­тавля­емые сер­висом Fog Reveal. Сер­вис, в свою оче­редь, пред­лага­ет аме­рикан­ская ком­пания Fog Data Science LLC, которая была осно­вана высоко­пос­тавлен­ными выход­цами из Депар­тамен­та внут­ренней безопас­ности. Как показа­ло жур­налист­ское рас­сле­дова­ние, полиция и дру­гие государс­твен­ные агентства получи­ли дос­туп к информа­ции об исто­рии мес­тополо­жения более 250 мил­лионов устрой­ств.

По дей­ству­ющим пра­вилам, если полиция нап­равля­ет зап­рос в Google или Apple о том, какие устрой­ства находи­лись в ради­усе N миль от таких‑то коор­динат с такого‑то по такое‑то вре­мя, ей необ­ходимо иметь дол­жным обра­зом офор­млен­ное пос­танов­ление (читай: бумаги, волоки­та, риск отка­за). Более того, даже с кор­рек­тно офор­млен­ным пос­танов­лени­ем отве­та от Google или Apple иног­да при­ходит­ся ждать неделя­ми. Fog Reveal выдаст ответ на такой зап­рос авто­мати­чес­ки, момен­таль­но и без каких‑то там орде­ров.

Даль­ше начина­ется инте­рес­ное. Ока­залось, что необ­ходимые для обра­бот­ки зап­роса дан­ные Fog Reveal чес­тно покупал у рек­ламных меди­ато­ров, которые, в свою оче­редь, при­обре­тают дан­ные у вла­дель­цев рек­ламных SDK. В их чис­ло вхо­дят такие монс­тры, как Waze, Starbucks и круп­ней­шая в мире «экс­тре­мист­ская орга­низа­ция», вла­деющая популяр­ными соц­сетями, а так­же сот­ни дру­гих ком­паний.

Ра­зуме­ется, рек­ламные иден­тифика­торы пол­ностью ано­ним­ны. Пред­ста­вите­ли Fog утвер­жда­ют, что не име­ют воз­можнос­ти уста­новить кон­крет­ное устрой­ство или его вла­дель­ца на осно­ве име­ющих­ся дан­ных. Влас­ти с этим не спо­рят: «Свя­зи меж­ду рек­ламным иден­тифика­тором и лич­ной информа­цией нет». И сра­зу пос­ле это­го добав­ляют: «Но, если мы хорошо раз­бира­емся в том, что дела­ем, мы смо­жем уста­новить вла­дель­ца устрой­ства».

Прак­тика показа­ла, что проб­лем с выяв­лени­ем вла­дель­цев смар­тфо­нов на осно­ве даже такой ано­ним­ной информа­ции у полиции не воз­ника­ет (о том, как это дела­ется, мож­но про­честь, нап­ример, в статье «Call Detail Record. Как полиция вычис­ляет прес­тупни­ков без слож­ной тех­ники»).

ВЫВОДЫ

Ког­да я начинал работать над этой стать­ей, о фун­кци­ях при­ват­ности и безопас­ности в iOS 16 не было извес­тно поч­ти ничего. Со вре­менем появ­лялись все новые кусоч­ки паз­зла, которые наконец офор­мились в целос­тную кар­тину. Новов­ведений ока­залось на удив­ление мно­го, а под­робнос­тей их работы и деталей тех­ничес­кой реали­зации — на удив­ление мало. Наде­юсь, про­читан­ная статья поможет тебе разоб­рать­ся, какие новин­ки в iOS 16 смо­гут быть небес­полез­ны.

Читайте ещё больше платных статей бесплатно: https://t.me/hacker_frei