Daniel Hruska Ngirim talatah via iMessage mangrupakeun cara populér pikeun komunikasi antara alat ios jeung komputer Mac. Puluhan juta pesen diolah ku server Apple unggal dinten, sareng nalika penjualan alat-alat Apple-bitten tumbuh, popularitas iMessage ogé ningkat. Tapi naha anjeun kantos mikir kumaha pesen anjeun dijagi tina panyerang poténsial?
Apple nembe ngarilis dokumén ngajéntrékeun kaamanan ios. Ieu nicely ngajelaskeun mékanisme kaamanan dipaké dina ios - sistem, enkripsi data jeung panyalindungan, kaamanan aplikasi, komunikasi jaringan, jasa Internet sarta kaamanan alat. Upami anjeun ngartos sakedik ngeunaan kaamanan sareng henteu ngagaduhan masalah dina basa Inggris, anjeun tiasa mendakan iMessage dina nomer halaman 20. Upami henteu, kuring bakal nyobian ngajelaskeun prinsip kaamanan iMessage sacara jelas.
Dasar ngirim pesen nyaéta énkripsina. Pikeun jalma awam, ieu sering dikaitkeun sareng prosedur dimana anjeun énkripsi pesen nganggo konci sareng panampi ngadekrip ku konci ieu. Konci sapertos kitu disebut simetris. Titik kritis dina prosés ieu handing leuwih konci ka panarima. Upami panyerang nangkep éta, aranjeunna ngan saukur tiasa ngadekrip pesen anjeun sareng niru panampi. Pikeun nyederhanakeun, bayangkeun kotak kalayan konci anu ngan ukur hiji konci anu pas, sareng kalayan konci ieu anjeun tiasa nyelapkeun sareng nyabut eusi kotak.
Untungna, aya kriptografi asimétri ngagunakeun dua konci - publik jeung swasta. Prinsipna nyaéta sadayana tiasa terang konci publik anjeun, tangtosna ngan ukur anjeun anu terang konci pribadi anjeun. Upami aya anu hoyong ngirim pesen ka anjeun, aranjeunna bakal énkripsi nganggo konci umum anjeun. Pesen énkripsi teras ngan ukur tiasa didekripsi ku konci pribadi anjeun. Upami anjeun ngabayangkeun kotak surat deui dina cara anu saderhana, maka waktos ieu bakal gaduh dua konci. Kalayan konci umum, saha waé tiasa muka konci éta pikeun nyelapkeun eusi, tapi ngan anjeun sareng konci pribadi anjeun tiasa milih éta. Anu pasti, kuring bakal nambihan yén pesen anu énkripsi sareng konci umum teu tiasa didekripsi nganggo konci umum ieu.
Kumaha kaamanan jalan dina iMessage:
- Nalika iMessage diaktipkeun, dua pasangan konci dihasilkeun dina alat - 1280b RSA pikeun encrypt data jeung 256b ECDSA pikeun pariksa yen data teu acan tampered sapanjang jalan.
- Dua konci umum dikirim ka Apple's Directory Service (IDS). Tangtosna, dua konci pribadi tetep disimpen dina alatna.
- Dina IDS, konci umum pakait sareng nomer telepon, email, sareng alamat alat anjeun dina layanan Apple Push Notification (APN).
- Upami aya anu hoyong pesen ka anjeun, alatna bakal mendakan konci umum anjeun (atanapi sababaraha konci umum upami nganggo iMessage dina sababaraha alat) sareng alamat APN alat anjeun dina IDS.
- Anjeunna énkripsi pesen nganggo 128b AES sareng ditandatanganan ku konci pribadina. Upami suratna kedah dugi ka anjeun dina sababaraha alat, pesenna disimpen sareng énkripsi dina server Apple sacara misah pikeun masing-masing.
- Sababaraha data, sapertos cap waktu, henteu énkripsi pisan.
- Sadaya komunikasi dilakukeun ngaliwatan TLS.
- Pesen sareng lampiran anu langkung panjang énkripsi nganggo konci acak dina iCloud. Unggal obyék misalna boga URI sorangan (alamat pikeun hal on server).
- Sakali talatah geus dikirimkeun ka sadaya alat Anjeun, eta bakal dihapus. Upami teu dikirimkeun ka sahenteuna salah sahiji alat anjeun, éta ditinggalkeun dina server salami 7 dinten teras dihapus.
Katerangan ieu sigana rumit pikeun anjeun, tapi upami anjeun ningali gambar di luhur, anjeun pasti bakal ngartos prinsipna. Kauntungannana sistem kaamanan sapertos kitu ngan ukur tiasa diserang ti luar ku gaya kasar. Nya, pikeun ayeuna, sabab panyerang beuki pinter.
Ancaman poténsial perenahna di Apple sorangan. Ieu kusabab anjeunna ngatur sakabéh infrastruktur konci, jadi dina téori anjeunna bisa napelkeun alat sejen (pasangan sejen tina konci publik jeung swasta) kana rekening Anjeun, contona alatan hiji paréntah pangadilan, nu pesen asup bisa decrypted. Nanging, di dieu Apple parantos nyarios yén éta henteu sareng moal ngalakukeun hal sapertos kitu.
Sareng sateuacan saha énkripsi? Naha SSL normal henteu cekap, pesen dikirim ka apel sareng apel teras ngirim pesen deui liwat SSL? Apple boga kakuatan pikeun eavesdrop on pesen atoh, jadi naha sagala noise sabudeureun éta? Dina naon waé, éta ngan ukur pikeun nyegah pihak katilu pikeun nguping pesen, sareng SSL cekap pikeun éta.
Upami urang yakin yén Apple henteu ngirimkeun konci pribadi, maka anjeunna ogé moal maca. Sareng kumaha waé, SSL mangrupikeun palaksanaan énkripsi asimétri dina sambungan klien-server.
Janten kami ngirim pesen 2x énkripsi liwat SSL sareng Apple tiasa maca éta, atanapi 2x henteu énkripsi ku kanyataan yén kami nyuhunkeun konci umum sateuacanna sareng nganggo cipher anu sami sareng dina kasus SSL sareng Apple henteu tiasa maca sacara téori.
Sareng naha data énkripsi bahkan di Apple? Kusabab sababaraha pagawe pasti bakal boga aksés ka aranjeunna. Anjeunna ditipu ku kabogohna, janten anjeunna mimiti ngaunduh pesenna - éta bocor sareng Apple aya dina kasulitan.
Ngagorowok lucu..