דניאל הרוסקאַ שיקט אַרטיקלען דורך iMessage איז אַ פאָלקס וועג צו יבערגעבן צווישן יאָס דעוויסעס און מעק קאָמפּיוטערס. טענס פון מיליאַנז פון אַרטיקלען זענען פּראַסעסט דורך עפּל ס סערווערס טעגלעך, און ווי די פארקויפונג פון עפּל ביטאַן דעוויסעס וואַקסן, אַזוי אויך די פּאָפּולאַריטעט פון iMessage. אָבער האָבן איר אלץ געדאַנק וועגן ווי דיין אַרטיקלען זענען פּראָטעקטעד פון פּאָטענציעל אַטאַקערז?
עפּל לעצטנס באפרייט דאָקומענט דיסקרייבינג יאָס זיכערהייַט. עס באשרייבט די זיכערהייט מעקאַניזאַמז געניצט אין יאָס - סיסטעם, דאַטן ענקריפּשאַן און שוץ, אַפּלאַקיישאַן זיכערהייט, נעץ קאָמוניקאַציע, אינטערנעט באַדינונגס און מיטל זיכערהייט. אויב איר פֿאַרשטיין אַ ביסל וועגן זיכערהייַט און טאָן ניט האָבן אַ פּראָבלעם מיט ענגליש, איר קענען געפֿינען iMessage אויף בלאַט נומער 20. אויב נישט, איך וועל פּרובירן צו באַשרייַבן דעם פּרינציפּ פון iMessage זיכערהייַט ווי קלאר ווי מעגלעך.
די יקער פון שיקן אַרטיקלען איז זייער ענקריפּשאַן. פֿאַר ליימאַן, דאָס איז אָפט פארבונדן מיט אַ פּראָצעדור ווו איר ינקריפּט די אָנזאָג מיט אַ שליסל און דער באַקומער דעקריפּט עס מיט דעם שליסל. אַזאַ שליסל איז גערופן סיממעטריק. די קריטיש פונט אין דעם פּראָצעס איז איבערגעבן דעם שליסל צו די באַקומער. אויב אַ אַטאַקער האָט באַקומען עס, זיי קען פשוט דעקריפּט דיין אַרטיקלען און ימפּערסאַנייט די באַקומער. צו פאַרפּאָשעטערן, ימאַדזשאַן אַ קעסטל מיט אַ שלאָס, אין וואָס בלויז איין שליסל פיץ, און מיט דעם שליסל איר קענען אַרייַנלייגן און אַראָפּנעמען די אינהאַלט פון די קעסטל.
צומ גליק, עס איז אַסיממעטריק קריפּטאָגראַפי ניצן צוויי שליסלען - ציבור און פּריוואַט. דער פּרינציפּ איז אַז אַלעמען קענען וויסן דיין ציבור שליסל, פון קורס נאָר איר וויסן דיין פּריוואַט שליסל. אויב עמעצער וויל צו שיקן איר אַ אָנזאָג, זיי ינקריפּט עס מיט דיין ציבור שליסל. דער ענקריפּטיד אָנזאָג קענען זיין דעקריפּטיד בלויז מיט דיין פּריוואַט שליסל. אויב איר ימאַדזשאַן אַ בריווקאַסטן ווידער אין אַ סימפּלאַפייד וועג, דאָס מאָל עס וועט האָבן צוויי לאַקס. מיט דעם ציבור שליסל, ווער עס יז קענען ופשליסן עס צו אַרייַנלייגן אינהאַלט, אָבער בלויז איר מיט דיין פּריוואַט שליסל קענען אויסקלייַבן עס. צו זיין זיכער, איך וועט לייגן אַז אַ אָנזאָג ענקריפּטיד מיט אַ ציבור שליסל קענען ניט זיין דעקריפּטעד מיט דעם ציבור שליסל.
ווי זיכערהייט אַרבעט אין iMessage:
- ווען iMessage איז אַקטיווייטיד, צוויי שליסל פּערז זענען דזשענערייטאַד אויף די מיטל - 1280b RSA צו ענקריפּט די דאַטן און 256b ECDSA צו באַשטעטיקן אַז די דאַטן זענען נישט טאַמפּערד מיט דעם וועג.
- די צוויי ציבור שליסלען זענען געשיקט צו עפּל ס Directory סערוויס (IDS). פון קורס, די צוויי פּריוואַט שליסלען בלייבן סטאָרד בלויז אויף די מיטל.
- אין IDS, ציבור שליסלען זענען פֿאַרבונדן מיט דיין טעלעפאָן נומער, E- בריוו און מיטל אַדרעס אין די Apple Push Notification Service (APN).
- אויב עמעצער וויל צו אָנזאָגן איר, זייער מיטל וועט געפֿינען דיין עפנטלעך שליסל (אָדער קייפל עפנטלעך שליסלען אויב איר נוצן iMessage אויף קייפל דעוויסעס) און די APN אַדרעסז פון דיין דעוויסעס אין IDS.
- ער ינקריפּט די אָנזאָג מיט 128b AES און סיגנאַלז עס מיט זיין פּריוואַט שליסל. אויב דער אָנזאָג איז צו דערגרייכן איר אויף קייפל דעוויסעס, דער אָנזאָג איז סטאָרד און ינקריפּטיד אויף עפּל ס סערווערס סעפּעראַטלי פֿאַר יעדער פון זיי.
- עטלעכע דאַטן, אַזאַ ווי טימעסטאַמפּס, זענען נישט ינקריפּטיד.
- אַלע קאָמוניקאַציע איז דורכגעקאָכט דורך TLS.
- מער אַרטיקלען און אַטאַטשמאַנץ זענען ינקריפּטיד מיט אַ טראַפ שליסל אויף iCloud. יעדער אַזאַ כייפעץ האט זייַן אייגן URI (אַדרעס פֿאַר עפּעס אויף די סערווער).
- אַמאָל דער אָנזאָג איז איבערגעגעבן צו אַלע דיין דעוויסעס, עס איז אויסגעמעקט. אויב עס איז נישט איבערגעגעבן צו בייַ מינדסטער איינער פון דיין דעוויסעס, עס איז לינקס אויף די סערווערס פֿאַר 7 טעג און דעמאָלט אויסגעמעקט.
די באַשרייַבונג קען ויסקומען קאָמפּליצירט צו איר, אָבער אויב איר קוק אין די בילד אויבן, איר וועט זיכער פֿאַרשטיין דעם פּרינציפּ. די מייַלע פון אַזאַ אַ זיכערהייט סיסטעם איז אַז עס קענען זיין אַטאַקירט בלויז פון די אַרויס דורך ברוט קראַפט. נו, פֿאַר איצט, ווייַל אַטאַקערז ווערן סמאַרטער.
די פּאָטענציעל סאַקאָנע ליגט מיט עפּל זיך. דאָס איז ווייַל ער מאַנידזשיז די גאנצע ינפראַסטראַקטשער פון שליסלען, אַזוי אין טעאָריע ער קען באַשטימען אן אנדער מיטל (אן אנדער פּאָר פון ציבור און פּריוואַט שליסל) צו דיין חשבון, פֿאַר בייַשפּיל רעכט צו אַ פּלאַץ סדר, אין וואָס ינקאַמינג אַרטיקלען קען זיין דעקריפּטיד. אָבער, דאָ עפּל האט געזאגט אַז עס טוט נישט און וועט נישט טאָן אַזאַ זאַך.
און פאר וועמען איז עס ענקריפּטיד? וואָלט נאָרמאַל SSL ניט גענוג, דער אָנזאָג איז געשיקט צו עפּל און עפּל און דערנאָך שיקן די אָנזאָג ווידער דורך SSL? עפּל האט די מאַכט צו אָוזדראָפּ אויף אַרטיקלען סייַ ווי סייַ, אַזוי וואָס אַלע די ראַש אַרום אים? אין קיין פאַל, עס איז נאָר אַ ענין פון פּרעווענטינג אַ דריט טיילווייַז פון אָוזדראָפּינג די אָנזאָג, און SSL איז גענוג פֿאַר דעם.
אויב מיר גלויבן אַז עפּל טוט נישט שיקן פּריוואַט שליסלען, ער וועט נישט לייענען זיי אויך. און סייַ ווי סייַ, SSL איז בלויז אַ ימפּלאַמענטיישאַן פון אַסיממעטריק ענקריפּשאַן אויף די קליענט-סערווער פֿאַרבינדונג.
אַזוי מיר שיקן די אָנזאָג 2 קס ינקריפּטיד איבער ססל און עפּל קענען לייענען עס, אָדער 2 קס אַנענקריפּטיד מיט די פאַקט אַז מיר בעטן די ציבור שליסלען פריער און נוצן די זעלבע סייפער ווי אין די פאַל פון ססל און עפּל קענען נישט לייענען זיי אין טעאָריע.
און וואָס האָבן די דאַטן ינקריפּטיד אפילו ביי עפּל? ווייַל עטלעכע אָנגעשטעלטער וועט באשטימט האָבן צוטריט צו זיי. ער איז געווען טשיטיד דורך זיין כאַווערטע, אַזוי ער סטאַרץ דאַונלאָודינג איר אַרטיקלען - עס ליקס און עפּל איז אין קאָנפליקט.
מאָדנע שרייַען..