Даниел Хруска IMessage-ээр мессеж илгээх нь iOS төхөөрөмж болон Mac компьютеруудын хооронд харилцах түгээмэл арга юм. Apple-ийн серверүүд өдөр бүр хэдэн арван сая мессежийг боловсруулдаг бөгөөд Apple-д хазуулсан төхөөрөмжүүдийн борлуулалт өсөхийн хэрээр iMessage-ийн нэр хүнд нэмэгдсээр байна. Гэхдээ таны мессежийг болзошгүй халдагчдаас хэрхэн хамгаалах талаар бодож үзсэн үү?
Apple саяхан гаргасан баримт бичиг iOS-ийн аюулгүй байдлыг тайлбарлаж байна. Энэ нь iOS-д ашиглагдаж буй аюулгүй байдлын механизмууд - систем, өгөгдөл шифрлэлт, хамгаалалт, програмын аюулгүй байдал, сүлжээний харилцаа холбоо, интернетийн үйлчилгээ, төхөөрөмжийн аюулгүй байдлыг маш сайн тайлбарласан. Хэрэв та аюулгүй байдлын талаар бага зэрэг ойлгодог бөгөөд англи хэл дээр асуудалгүй бол iMessage-ийг 20-р хуудаснаас олж болно. Хэрэв тийм биш бол би iMessage-ийн аюулгүй байдлын зарчмыг аль болох тодорхой тайлбарлахыг хичээх болно.
Мессеж илгээх үндэс нь тэдний шифрлэлт юм. Энгийн хүмүүсийн хувьд энэ нь ихэвчлэн мессежийг түлхүүрээр шифрлэх, хүлээн авагч үүнийг энэ түлхүүрээр тайлах процедуртай холбоотой байдаг. Ийм түлхүүрийг тэгш хэмтэй гэж нэрлэдэг. Энэ үйл явцын чухал цэг бол түлхүүрийг хүлээн авагчид өгөх явдал юм. Хэрэв халдагчид үүнийг барьж авбал тэд зүгээр л таны мессежийг тайлж, хүлээн авагчийн дүрд хувирч болно. Хялбаршуулахын тулд зөвхөн нэг түлхүүр багтах цоожтой хайрцгийг төсөөлөөд үз дээ, энэ түлхүүрээр та хайрцагны агуулгыг оруулж, арилгаж болно.
Аз болоход нийтийн болон хувийн гэсэн хоёр түлхүүрийг ашигладаг тэгш хэмт бус криптограф байдаг. Таны нийтийн түлхүүрийг хүн бүр мэддэг байх зарчим нь мэдээжийн хэрэг зөвхөн та хувийн түлхүүрээ мэддэг. Хэрэв хэн нэгэн танд мессеж илгээхийг хүсвэл үүнийг таны нийтийн түлхүүрээр шифрлэх болно. Шифрлэгдсэн мессежийг зөвхөн таны хувийн түлхүүрээр тайлж болно. Хэрэв та шуудангийн хайрцгийг дахин хялбаршуулсан байдлаар төсөөлвөл энэ удаад хоёр цоожтой болно. Нийтийн түлхүүрээр хэн ч контент оруулахын тулд түгжээг тайлах боломжтой, гэхдээ зөвхөн та хувийн түлхүүрээрээ үүнийг сонгох боломжтой. Нийтийн түлхүүрээр шифрлэгдсэн мессежийг энэ нийтийн түлхүүрээр тайлах боломжгүй гэдгийг баттай нэмж хэлье.
iMessage-д аюулгүй байдал хэрхэн ажилладаг вэ:
- IMessage-г идэвхжүүлсэн үед төхөөрөмж дээр өгөгдлийг шифрлэх 1280b RSA болон 256b ECDSA гэсэн хоёр түлхүүрийг үүсгэнэ.
- Хоёр нийтийн түлхүүрийг Apple-ийн лавлах үйлчилгээ (IDS) руу илгээдэг. Мэдээжийн хэрэг, хоёр хувийн түлхүүр нь зөвхөн төхөөрөмж дээр хадгалагдсан хэвээр байна.
- IDS-д нийтийн түлхүүрүүд нь Apple-ийн түлхэх мэдэгдлийн үйлчилгээнд (APN) таны утасны дугаар, имэйл болон төхөөрөмжийн хаягтай холбоотой байдаг.
- Хэрэв хэн нэгэн тантай мессеж бичихийг хүсвэл тэдний төхөөрөмж таны нийтийн түлхүүр (эсвэл олон төхөөрөмж дээр iMessage ашиглаж байгаа бол олон нийтийн түлхүүр) болон IDS доторх төхөөрөмжийн APN хаягийг олж мэдэх болно.
- Тэрээр 128b AES ашиглан мессежийг шифрлэж, хувийн түлхүүрээрээ гарын үсэг зурдаг. Хэрэв мессеж танд олон төхөөрөмж дээр хүрэх гэж байгаа бол мессежийг Apple-ийн серверт тус тусад нь хадгалж, шифрлэнэ.
- Цагийн тэмдэг гэх мэт зарим өгөгдөл огт шифрлэгдээгүй байна.
- Бүх харилцааг TLS-ээр гүйцэтгэдэг.
- Урт зурвасууд болон хавсралтуудыг iCloud дээр санамсаргүй түлхүүрээр шифрлэдэг. Ийм объект бүр өөрийн гэсэн URI (сервер дээрх аливаа зүйлийн хаяг)-тай байдаг.
- Зурвас таны бүх төхөөрөмжид хүргэгдсэний дараа устгагдах болно. Хэрэв энэ нь таны ядаж нэг төхөөрөмжид хүргэгдээгүй бол серверүүд дээр 7 хоног үлдэж, дараа нь устгагдах болно.
Энэ тайлбар нь танд төвөгтэй мэт санагдаж болох ч дээрх зургийг харвал та зарчмыг ойлгох нь гарцаагүй. Ийм хамгаалалтын системийн давуу тал нь гаднаас нь зөвхөн харгис хэрцгий хүчээр дайрах боломжтой юм. Одоохондоо халдагчид илүү ухаалаг болж байна.
Болзошгүй аюул нь Apple-д байдаг. Учир нь тэр түлхүүрүүдийн бүх дэд бүтцийг удирддаг тул онолын хувьд тэрээр өөр төхөөрөмж (өөр нэг хос нийтийн болон хувийн түлхүүр) таны дансанд оноож болно, жишээлбэл шүүхийн шийдвэрийн дагуу ирж буй мессежийг тайлж болно. Гэсэн хэдий ч энд Apple ийм зүйл хийхгүй, хийхгүй гэж хэлсэн.
Энэ нь хэний өмнө шифрлэгдсэн бэ? Ердийн SSL хангалтгүй, мессежийг алим болон алим руу илгээж, SSL-ээр дахин мессеж илгээх үү? Apple ямар ч байсан мессежийг чагнаж чаддаг, яагаад эргэн тойрон дахь бүх чимээ шуугиантай байдаг вэ? Ямар ч байсан гуравдагч этгээд мессежийг чагнахаас сэргийлэх л асуудал бөгөөд үүнд SSL хангалттай.
Хэрэв бид Apple-аас хувийн түлхүүр илгээдэггүй гэдэгт итгэдэг бол тэр бас тэдгээрийг уншихгүй. Ямар ч байсан SSL бол үйлчлүүлэгч-серверийн холболт дээрх тэгш хэмт бус шифрлэлтийн хэрэгжилт юм.
Тиймээс бид мессежийг SSL-ээр шифрлэсэн 2 дахин илгээдэг бөгөөд Apple үүнийг унших боломжтой, эсвэл 2 дахин шифрлэгдээгүй бөгөөд бид нийтийн түлхүүрүүдийг урьдчилан хүсч, SSL-тэй ижил шифрийг ашигладаг бөгөөд Apple ч гэсэн онолын хувьд уншихгүй.
Яагаад Apple-д хүртэл өгөгдөл шифрлэгдсэн байдаг вэ? Учир нь зарим ажилтан тэдэнд хандах нь гарцаагүй. Тэр найз охиндоо хууртагдсан тул түүний мессежийг татаж эхэлсэн - энэ нь алдагдсан бөгөөд Apple асуудалд орсон.
Хөгжилтэй хашгирах..