Az Apple tényleg követ minden Mac alkalmazást? AZ OCSP-ről bővebben (3. rész)
Az előző részekben láttuk, hogy az OCSP rendszer végzi Mac-eken az alkalmazások fejlesztői tanúsítványainak ellenőrzését. Ez felelős azért, hogy a rendszer biztonságos maradjon és a piszkált, vírusos alkalmazások ne indulhassanak el. Láttuk azonban azt is, hogy offline módban az OCSP teljesen értelmét veszíti, és kiderül, hogy még online sem egészen tökéletes. Járjunk a dolog végére!
Kijátszható a rendszer?
A helyzet az, hogy a fejlesztői tanúsítványok általában alkalmazások csoportjához vannak rendelve és nem mindig kapnak egyedülálló alkalmazások egyedi tanúsítványt. Ha egy azonos tanúsítványú alkalmazáscsoportból indítunk el egy programot, akkor az Apple számára nem derül ki, hogy pontosan mely programot indítottuk. Ha elindítjuk például a Firefox-ot, akkor az Apple csak annyit lát, hogy egy Mozilla tanúsítvánnyal rendelkező alkalmazást akarunk használni. Lehet szó a Firefox-ról, de akár a Thunderbird-ről is. A rendszer tehát nem tökéletes.
Téma lett az is, hogy mi a helyzet a személyes, privát adatokkal. A lekérdezésekhez ugyanis szükség van IP címekre és időcímkékre is. Ez persze nem újdonság, hiszen az interneten szinte mindenhova küldjük ezeket az információkat tudtunk nélkül. Minden OCSP lekérdezés elküldi az Apple-nek IP címünket, földrajzi helyzetünket és az időt, amikor indítottuk az alkalmazást. 1-2 dolgot tehát megtudhatnak rólunk.
Az OCSP talán legnagyobb hibája, hogy nincs titkosítva. Nem csak az Apple kapja meg az előbb említett infókat, hanem bárki, aki kedvet kap becsatlakozni az adatfolyamba. Az internetszolgáltató, a rendszergazda és akár egy unatkozó hacker is meglesheti, hogy milyen adatokat küldünk az Apple-nek.
Az Apple sem ostoba
A főnök tudja, hogy a rendszer nem tökéletes és 2021-re fejlesztések fognak életbe lépni. A cég kijelentette, hogy tényleges Apple ID-k nem szerepelnek az adatfolyamban, de azt is kijelentették, hogy az IP címek tárolását is leállítják. A cég bejelentette azt is, hogy az OCSP hamarosan le lesz cserélve egy titkosított rendszerre, melyben az adatfolyam biztonságos és privát lesz. Ami praktikus, hogy a jövőben a felhasználók ki tudják majd kapcsolni ezeket az ellenőrzéseket, így nem kell az ellenőrző szervert a tűzfalban letiltani.
A végeredmény az lesz, hogy személyes adataink nem kerülnek mások kezébe és a fejlesztői tanúsítványok ellenőrzése is megmarad, de kikapcsolható lesz. Jelenleg a legegyszerűbb az, ha a router-ben letiltjuk az ocsp.apple.com domain-t, így az ellenőrzések abbamaradnak.
