In questo articolo Indice dei contenuti 2 sezioni
Un computer Linux che dialoga con i servizi privati di Apple Find My, l’app che in Italia conosciamo come Dov’è, non è esattamente lo scenario che verrebbe in mente pensando all’ecosistema più chiuso del settore. Eppure è successo. Un ricercatore di sicurezza che online si firma Zerotistic ha mostrato come una macchina Linux possa registrarsi presso l’infrastruttura Apple come dispositivo autorizzato e, da lì, ricevere i dati di posizione delle persone che avevano già scelto di condividerli con quell’account.
Va detto subito, perché il fraintendimento è dietro l’angolo: non parliamo di localizzare sconosciuti né di pescare coordinate a caso. Il lavoro dimostra un’altra cosa, cioè che autenticazione, certificati, chiavi crittografiche e protocolli proprietari possono essere ricostruiti fuori da iOS e macOS, fino al punto di convincere i server di Cupertino che dall’altra parte ci sia un client compatibile.
Come Linux riesce a farsi accettare dai server Apple
Un po’ di contesto aiuta. Find My ha allargato le proprie funzioni nel 2019, con iOS 13, iPadOS 13.1 e macOS 10.15, aggiungendo il rintracciamento offline: i dispositivi Apple nelle vicinanze intercettano via Bluetooth gli apparecchi smarriti e ne inoltrano la posizione in forma cifrata. L’architettura viene descritta come end to end, con chiavi private che non finiscono mai sui server dell’azienda. La condivisione della posizione tra persone, però, segue una strada diversa. Un account riceve i dati dei contatti che hanno dato il permesso in modo esplicito, e l’accesso dal Web non offre tutto quello che si trova nell’app. Zerotistic ha lavorato proprio sui protocolli interni, senza alcuna intenzione di costruire una semplice interfaccia grafica alternativa per Linux.
Il primo scoglio è stato GrandSlam, il sistema di autenticazione degli account Apple. Con il materiale ottenuto è stata generata una richiesta di certificazione per arrivare a un certificato IDS, legato agli Apple Identity Services. La CSR usava una chiave RSA da 2048 bit e una firma SHA-1, scelta che con ogni probabilità serviva a restare compatibili con un endpoint legacy chiamato authenticateDS. Ottenuto il certificato, la macchina ha spedito una richiesta di registrazione che comprendeva sei sottoservizi, le capacità crittografiche supportate e le chiavi pubbliche necessarie. Il tutto firmato anche con un certificato APNs. A quel punto Linux ha tenuto aperta una connessione TLS binaria verso i server Apple, risultando a tutti gli effetti associato all’account come dispositivo compatibile.
Quali informazioni arrivano davvero al dispositivo
Essere registrati non significava ancora vedere le posizioni condivise. È servita una richiesta chiamata SubscribeAndFetch, che ha restituito una chiave cifrata collegata alla condivisione già autorizzata da un contatto. Il dettaglio conta parecchio: non si tratta di una chiave universale valida per tutte le posizioni gestite da Find My, ma solo del materiale crittografico relativo a una relazione già esistente. I dati che arrivavano dal servizio SearchParty erano ancora cifrati. Con uno script il ricercatore ha lavorato sull’envelope crittografico, ha estratto la chiave di posizione e ha decifrato coordinate, timestamp e indicazioni sull’accuratezza. Lo stesso meccanismo permetteva poi di ricevere gli aggiornamenti successivi.
Nessuna rottura diretta della crittografia, quindi. Il punto debole riguarda semmai il controllo sull’identità del client: Apple sembra verificare certificati, chiavi e capacità protocollari più che la reale provenienza dell’hardware. Se quegli elementi si possono riprodurre, un sistema non Apple ha una strada per guadagnarsi la fiducia normalmente riservata a iPhone, iPad e Mac.
Per arrivare in fondo all’esperimento servivano comunque un account nelle mani del ricercatore, certificati validi, una registrazione portata a termine e una condivisione della posizione già attiva. L’impatto riguarda insomma i confini della piattaforma, non un accesso indiscriminato alle coordinate degli utenti. Al momento della pubblicazione Apple non aveva comunicato interventi sui servizi coinvolti. Tra le contromisure ipotizzabili ci sono controlli più rigidi sull’attestazione dei dispositivi, restrizioni sull’endpoint legacy e verifiche aggiuntive prima della consegna delle chiavi.
