5 votos

¿Filtra trustd información sobre el uso del software de los usuarios a Apple y/o a terceros?

Al hablar de una reciente interrupción del servidor OCSP de Apple, la gente en varias cuentas de Twitter (en los hilos siguientes este tuit ) y " El blog de fefe " afirmó que la forma en que trustd funciona en MacOS filtraría información sobre qué software se utilizó y cuándo a Apple y potencialmente también a terceros. Siempre pensé que trustd sólo enviaba los hashes hacia arriba y utilizaba Grapado OCSP para evitar la divulgación de ese tipo de información.

¿Existe alguna información fiable sobre las implicaciones para la privacidad de trustd en MacOS?

2voto

Oskar Puntos 1242

MacOS (tal y como se implementó en noviembre de 2020) envía ocasionalmente "cierta información opaca sobre el certificado de desarrollador de las apps" en función de los tiempos de espera y si detecta la posibilidad de conectarse a los servidores de Apple para comprobar la revocación del certificado.

Apple también ha anunciado algunas mejoras sustanciales como resultado de los acontecimientos de la semana pasada. También han corregido lo que yo llamé un "error de novato" de documentar inadecuadamente y se han comprometido públicamente a abordar la arquitectura de esta función. El tiempo dirá a qué velocidad se despliegan y si los sistemas son más resistentes sin comprometer la agilidad para contener el malware y reaccionar ante los certificados revocados.

Gatekeeper realiza comprobaciones en línea para verificar si una aplicación contiene malware conocido y si el certificado de firma del desarrollador está revocado. Nunca hemos combinado los datos de estas comprobaciones con información sobre los usuarios de Apple o sus dispositivos. No utilizamos los datos de estas comprobaciones para saber qué lanzan o ejecutan los usuarios individuales en sus dispositivos.

Estas comprobaciones de seguridad nunca han incluido el ID de Apple del usuario ni la identidad de su dispositivo. Para proteger aún más la privacidad, hemos dejado de registrar las direcciones IP asociadas a las comprobaciones de certificados de ID de desarrollador, y nos aseguraremos de que cualquier dirección IP recopilada se elimine de los registros.

Además, a lo largo del próximo año introduciremos varios cambios en nuestros controles de seguridad:

  • Un nuevo protocolo encriptado para las comprobaciones de revocación de certificados de ID de desarrollador
  • Fuertes protecciones contra los fallos del servidor
  • Una nueva preferencia para que los usuarios puedan optar por no utilizar estas protecciones de seguridad

Los dos mejores escritos técnicos que he visto de lo que en retrospectiva parece un error de novato de Apple sobre la documentación inadecuada sobre cómo trustd funciones hizo un mal día mucho peor para Apple y la gente que apoya o utiliza MacOS.

El mejor resumen no técnico (pero también basado en el análisis técnico y los antecedentes) es el de John Gruber.

Sólo un error embarazoso para Apple en un día de lanzamiento de alto perfil.

El servicio OCSP fallido o congestionado provocó una interrupción de servicio muy extendida en los ordenadores cliente MacOS el 12 de noviembre de 2020 durante más de 90 minutos.

Una diferencia crucial entre OCSP y la notarización es que esta última sólo se comprueba en el primer lanzamiento de la aplicación. El estado de la notarización se almacena en caché de forma permanente y no tiene caducidad, a diferencia del OCSP. Por lo tanto, la notarización sólo afecta a la capacidad de instalar nuevas aplicaciones, no afecta a la capacidad de lanzar aplicaciones ya instaladas.

Estoy seguro de que los investigadores de seguridad están sondeando mucho estos servicios y algunos publicarán artículos de opinión sobre si Apple ha cometido o no errores. Si Apple lo ha hecho, espero que algunos cobren una recompensa sustancial al informar responsablemente si la privacidad del usuario está siendo comprometida activamente.

2voto

Douglas Puntos 10417

¿Existe alguna información fiable sobre las implicaciones para la privacidad de trustd en MacOS?

No creo que sea necesario profundizar en los concers de privacidad de lo que trustd hace y cómo lo hace. Si nos fijamos en cuatro puntos de Blog de Jeffery Paul (al que se hace referencia en el primer enlace -Jacopo Jannone- suministrado por la respuesta de bmike) podemos ver de dónde provienen los problemas de privacidad:

  1. Las solicitudes OCSP contienen la fecha, la hora, la ubicación, el ISP y el hash de la aplicación
  2. Las solicitudes OCSP se transmiten sin cifrar.
  3. Está alojado en una empresa de terceros (Akamai)
  4. Apple es socio de PRISM que concede a las agencias policiales federales un acceso ilimitado a estos datos, sin necesidad de orden judicial.

¿Qué nos dice esto?

  • Hay un registro de qué aplicación ha utilizado, cuándo la ha utilizado y dónde está alojada por una empresa que tiene su propia política y procedimientos de privacidad.

  • Esta información puede obtenerse fácilmente a través de un simple ataque man-in-the-middle o por el ISP (de la cafetería en la que estás) simplemente olfateando el tráfico cuando pasa por su red. Incluso la propia cafetería podría olfatear este tráfico.

  • El acceso a PRISM se basa esencialmente en el "sistema de honor" de que el gobierno "no puede" acceder a la información de los estadounidenses sin obtener primero una orden judicial. Sin embargo, la historia reciente nos dice lo contrario .

Una reacción instintiva a estos puntos te llevaría por un camino que conduce a la "teoría de la conspiración". No es eso. Es que esta información pinta una imagen de ti y de tus actividades y esta información no está protegida ni se mantiene en los propios servidores de Apple - una compañía a la que le encanta promover su postura sobre la "privacidad".

Utilizando trustd para validar los certificados de las aplicaciones es una cosa, pero el hecho de que se crea y mantiene un registro de la actividad de un usuario en su ordenador, que supuestamente es de su propiedad, utilizando un software del que supuestamente tiene plenos derechos, sino también dónde y cuándo lo utiliza, es preocupante. Para empezar, esta información no debería existir. El hecho de que exista en los servidores de una empresa con la que los usuarios no contrataron directa y explícitamente para compartir estos datos es más que preocupante.

¿A quién pertenece este ordenador? ¿Apple o el usuario?

AppleAyuda.com

AppleAyuda es una comunidad de usuarios de los productos de Apple en la que puedes resolver tus problemas y dudas.
Puedes consultar las preguntas de otros usuarios, hacer tus propias preguntas o resolver las de los demás.

Powered by:

X