Конфиденциальность Apple

И говоря о сборе данных (как в истории с GM, например). Вчера Apple существенно обновила страницу Конфиденциальность, как компания регулярно делает к выходу новых версий своих операционных систем. На этой странице пользователи могут узнать о тех шагах, которые предпринимает Apple для сохранения конфиденциальной информации своих пользователей и их данных от самой себя, от сторонних приложений и других интересующихся этой информацией. Тут же отражены и те изменения, которые Apple внесла в последние версии iOS и macOS, например улучшения Internet Tracking Prevention в браузере Safari для ограничения слежки за пользователями в интернете. Очень полезная страница для тех, кто верит в то, что Apple действительно считает себя ответственной за сохранность конфиденциальности пользовательских данных (тех, кто не верит и считает это все маркетингом, никакая страница, конечно, не убедит).
Continue reading

Про Apple Watch пропавшего журналиста

В интернете нарезает круги история про Apple Watch журналиста Washington Post, пропавшего после визита в консульство Саудовской Аравии (и, возможно, убитого там). Сама по себе история c его пропажей и возможным убийством ужасна, но я хотел поговорить именно о технологическом аспекте той части истории, где фигурирует Apple Watch. Если вкратце, то пишут, что журналист смог записать аудио своего убийства на Apple Watch, после чего это аудио то ли было передано в облако, то ли на телефон, и таким образом стало известно, что именно произошло с ним после того, как он зашел в здание посольства.

Если честно, то у меня есть большие сомнения в правдивости этой истории. Ноги у этой новости растут из статьи турецкой газеты Sabah, и изобилуют странными деталями, вроде той, что когда убийцы журналиста заметили, что часы ведут запись, они пытались разблокировать часы, прикладывая палец к экрану часов. Но в часах, как известно, нет сканера распознавания отпечатков пальцев.

На первоисточник ссылается Washington Post:

The newspaper also alleged Saudi officials tried to delete the recordings first by incorrectly guessing Khashoggi’s PIN on the watch, then later using the journalist’s finger.

Continue reading

Еще о китайских чипах в серверах

Меня самого эта тема уже немного утомила писать о ней каждый день, но это, наверно, по масштабам потенциально одна из основных новостей области информационной безопасности в этом году, поэтому появление новой информации по ней очень интересно.

Bloomberg пока что хранит гордое молчание по поводу обновлений истории, но зато за выходные высказалось Министерство национальной безопасности США. В их заявлении говорится, что они в курсе того, что это обсуждается в новостях, и у них нет поводов сомневаться в заявлениях компаний, фигурирующих в статье”. Не уверен, что участие в этой истории заявления МНБ вселяет в меня уверенность в правдивости заявлений компании, но формулировки заявления тоже достаточно однозначны. Напомню, что есть подобное заявление и от британского разведывательного агентства.

Buzzfeed пишет о том, что журналисты поговорили со своими источниками внутри Apple, и никто не может подтвердить историю Bloomberg. Вообще ничего близкого по теме, говорят источники.
Continue reading

Еще про китайский чип в серверах

Вчерашняя история с якобы китайским чипом, установленным в серверах Apple и Amazon за сутки, к сожалению, понятней не стала. С одной стороны есть издание Bloomberg, методы журналистских расследований которого известны и считаются одними из лучших в мире. Расследование этой темы заняло не один месяц, и прошло перед публикацией соответствующие проверки.

С другой стороны, есть вполне жесткие и однозначные ответы Apple и Amazon, которые во вполне конкретных формулировках опровергают утверждения из статьи Bloomberg про осведомленность компаний о расследовании и ситуации с чипами в целом. (Ниже в статье есть перевод на русский язык заявления Apple). Им вторит (втроит?) и заявление компании Supermicro, акции которой вчера провалились на 50% на новостях об устанавливаемых во время сборки на китайских фабриках секретных чипов. Надо понимать, что подобные статьи — это не просто PR-активность. Для публичных компаний подобные заявления — это официальные документы, которые проходят проверку у юристов и в случае сообщения ложных сведений руководство компании несет полную ответственность, включая уголовную, за ложные данные (подобные заявления регулируются Комиссией по ценным бумагам). Так что если ориентироваться на ситуацию “статья vs заявления”, тут уже каждый должен выбрать, кому верить.
Continue reading

История про китайский чип в серверах

Новость дня, безусловно, это статья на Bloomberg о микрочипе на платах для серверов компании Supermicro. Якобы во время сборки материнских плат для серверов компании Supermicro на платы устанавливался микроскопический чип, разработанный военным ведомством Китая. Эти материнские платы затем использовались в серверах, которые собирала компания Supermicro в США. А сервера, в свою очередь, использовались в дата-центрах других американских компаний, включая Amazon, Apple, Microsoft и еще несколько десятков компаний. Чип, исходя из материалов статьи, обеспечивал удаленный доступ к серверам, модифицируя код операционной системы (интересно, как это позволяло ему оставаться незамеченным?). Статья в Bloomberg изобилует массой деталей, как и информацией о многолетнем расследовании всей этой истории.

В статье говорится также о том, что якобы Apple заподозрила что-то еще в 2015 году, когда планировала большую закупку серверов для своих дата-центров (я даже припоминаю такие новости 3 года назад). Была вот еще такая история из 2017 года про проблемы в прошивках серверов. Но также нужно отметить, что и Amazon, и Apple заявили, что они не обладают информацией ни о подобных уязвимостях в серверах Supermicro, ни о расследовании этой истории, и сами неоднократно проводили аудиты серверов Supermicro, и никаких лишних чипов не обнаруживали. Правда, Apple также говорит, что однажды обнаружили зараженный драйвер в сервере, но никаких чипов не было. Вообще заявление Apple довольно жесткое и прямолинейное, утверждающее, что Bloomberg было бы неплохо усомниться в осведомленности или искренности их источников.

АПД А вот еще не менее жесткий ответ от Amazon:

There are so many inaccuracies in ‎this article as it relates to Amazon that they’re hard to count.

Правда, осадочек остается — дыма-то без огня не бывает, но непонятно, какой дым за какой огонь принимают журналисты Bloomberg.

Первые впечатления от Apple Watch Series 4

Перед ежегодным сентябрьским анонсом Apple я написал, что гораздо больше жду анонса новых Apple Watch. Должен отметить сразу, что во время презентации Apple не разочаровала анонсом новой модели часов. Более того, мне кажется, что новые часы Series 4 даже как-то оттенили анонс новых моделей iPhone. В общем, неудивительно, что я дождался 3 часов ночи в день начала предзаказов, и тут же заказал себе новую модель часов высотой 44 мм.

На Series 4 я перехожу с Series 2 высотой 42 мм. Series 3 в моем случае как-то не обладала достаточным количеством привлекательных причин для перехода на нее с Series 2. Правда, мне все равно удалось поиграться с Series 3 часов жены, и я отметил, что они ощутимо быстрее моих S2. В принципе, я и S2 не могу назвать медленными, для большинства моих задач мне их скорости хватало, но нужно было проявлять терпение, а с этим у меня в последнее время напряжённо. В любом случае, даже по презентации было очевидно, что такой переход с S2 на S4 будет основательным апгрейдом. Как и все предыдущие разы, я выбрал алюминиевый корпус; в основном потому, что мне жалко денег на стальной корпус, и я оправдываю это для себя тем, что алюминиевые часы тоже выглядят достаточно хорошо.
Continue reading

ФБР и разблокировка iPhone X

Сегодня в новостях фигурирует история, опубликованная в Forbes о том, что ФБР принудило подозреваемого в получении и обладании детской порнографией разблокировать его iPhone X путём использования функции Face ID. У агентов ФБР был соответствующий ордер суда на обыск помещения и обнаруженной электроники на предмет наличия незаконных материалов. Во время обыска агент ФБР сказал подозреваемому посмотреть в экран iPhone Х, после чего экран был разблокирован.

С точки зрения американского законодательства ситуация выглядит легитимно, так как ордер суда включал в себя информацию о смартфоне. Кроме того, как я уже как-то писал в канале, американское законодательство по-разному рассматривает информацию о биометрических данных и информации, находящейся в сознании человека. В первом случае отпечаток пальца или лицо не защищаются пятой поправкой к конституции США о возможности не свидетельствовать против себя, так как физические характеристики не являются «свидетельствованием». В отличие от пароля, который находится в сознании человека и он может не говорить его (даже если его принуждают к этому), так как это может быть расценено как свидетельствование против самого себя. Очень мутная тема, которая в очередной раз показывает, как законодательство может отставать от современных технологий.

Apple и Google со своей стороны пытаются, насколько это возможно, защитить пользователя от подобных ситуаций. iOS-устройства требуют пароль, если устройство не было разблокировано в течение последних 48 часов. Также есть опция мгновенной блокировки функции биометрии – на iPhone можно зажать кнопки для вызова экрана выключения смартфона, или вызвать режим Emergency SOS, после чего устройство потребует ввести пароль для его разблокировки. Можно, в конце концов, отключить функции биометрии полностью, хотя тогда теряется уровень удобства, который они предоставляют.

Интересно, что из статьи в Forbes следует, что агент ФБР прощёлкал и устройство в какой-то момент все-таки заблокировалось, после чего они больше не применяли разблокировку с помощью Face ID. Теперь, чтобы добыть данные из телефона, они собираются применить некое «технологическое устройство, которое может получить данные из заблокированного iPhone без знания пароля». Как известно, этим обычно занимаются компании Cellebrite и Grayshift. Для защиты от этого метода получения данных с телефонов у Apple есть другая функция – USB restrictions mode, которая отключает передачу данных по разъему Lightning через 1 час после последней разблокировки смартфона (плюс другие условия). Короче, it never ends, this shit.

Обход защиты данных в macOS Mojave

Ну и какой релиз новой macOS без 0-day по обходу ограничений на доступ к пользовательским данным?

На видео показано, как операционная система вначале отказывает в доступе к данным, но затем копирует полностью адресную книгу после запуска скрипта. Технических деталей уязвимости автор не раскрывает. Жалуется, что у Apple нет программы выплаты на обнаружение уязвимостей в macOS (для iOS такая программа есть).

macOS 10.14 Mojave – очевидные и скрытые новинки

Сегодня в публичный доступ выходит релизная версия macOS Mojave версии 10.14 (только сейчас обратил внимание, что с переходом на номенклатуру “macOS” Apple отказалась также и от числа Х в названии операционной системы). Так что для тех, кто не рискнул попробовать систему раньше в виде бета-версии, я решил поделиться впечатлениями о её использовании с июня — практически с первой беты, доступной для разработчиков (да, я люблю острые впечатления).


(в отличие от кошачьих, географические названия у Apple еще долго не закончатся)

Apple для этого релиза придумала слоган “Просто. Мощно.”, хотя это и не является прямым аналогом английского варианта “Simply powerful.”. Не могу сказать, что внезапно стало сильно проще или мощнее, хотя некоторые изменения в системе потребуют привыкания к ним.
Continue reading

Улучшения USB accessories mode в iOS 12

Я достаточно много писал в канале про USB Accessories Mode в iOS, который снижает риски по копированию данных с iPhone с использованием устройств от компаний Cellebrite и Grayshift. Там, напомню, начиная с iOS 11.4, разъем Lightning блокируется на передачу данных через час после последней разблокировки смартфона, что предотвращает доступ к информации на телефоне для “коробочек” Cellebrite и GrayKey.

А вот ребята из Элкомсофт обнаружили еще одно улучшение алгоритма блокировки порта Lightning в финальной версии iOS 12:

“In addition, on iOS 12 if it’s been more than three days since a USB connection has been established, the device will disallow new USB connections immediately after it locks. This is to increase protection for users that don’t often make use of such connections. USB connections are also disabled whenever the device is in a state where it requires a passcode to re-enable biometric authentication.”

Если пользователь три дня не подключал телефон к USB (используя, например, беспроводную зарядку для аккумулятора), то подключение к USB-устройствам с передачей данных будет заблокировано сразу после того, как экран устройства будет заблокирован. Apple все окапывается по защите доступа к телефону. Интересно будет узнать, поменялось ли что-то в новых iPhone Xs и Xs Max в плане получения доступа к файловой системе, как делают это Cellebrite/Grayshift.