Изменения безопасности в iOS 13

Пока многие из вас устанавливают iOS 13 (пишут, что уже более 20% пользователей iOS-устройств переехали на новую систему), и знакомятся с новыми возможностями системы (и новыми багами), я хочу поговорить о других, менее заметных изменениях в самой системе, чем, например, темная тема. Эти изменения касаются конфиденциальности и безопасности в первую очередь пользовательской информации. Apple традиционно говорит о том, что компания старается оберегать пользовательские данные от лишних посягательств, и в целом, с переменным успехом, это демонстрирует на деле.

Как минимум, с одним из этих «подкапотных» изменений пользователи iOS 13 уже могли столкнуться. В iOS 13 теперь приложения, которые используют для своей работы Bluetooth, должны получить соглашение пользователя на это. Я думаю, что многие удивились тому, для скольких приложений требуется использование BT, и задались вопросом «а зачем?». Важно понимать, что приложения, которые воспроизводят аудио в Bluetooth-наушники, например, в доступе к самому беспроводному интерфейсу не нуждаются. Грубо говоря, такие приложения говорят системе «я хочу проиграть аудио», и уже затем система направляет звук в тот выход, которым в данный момент пользуется владелец смартфона. Поэтому когда доступ к Bluetooth просит Spotify, очевидно, что кроме воспроизведения аудио, приложение хочет что-то делать еще через Bluetooth.
Continue reading

Лаборатория Касперского, расследование ФАС, Apple и персональная информация

Вчера в новостях прошла информация о том, что Федеральная Антимонопольная Служба (ФАС) России возбудила дело в отношении Apple Inc. “в связи с действиями корпорации на рынке распространения приложений для iOS”. Дело возбуждено по заявлению Лаборатории Касперского (ЛК), и речь идет о том, что Apple отклоняла версии приложения ЛК для родительского контроля при просмотре в App Store, чем нанесла глубокую душевную травму компании. О подаче этой жалобы я писал еще в марте этого года, и вот наконец-то жернова госоргана провернулись. Честно говоря, я думал, что в рамках июньских изменений, которые внедрила Apple, ЛК могла уже и удовлетвориться, но, похоже, ЛК этого не достаточно.

Немного предистории. У ЛК и ряда других компаний есть приложения для родительского контроля, которые позволяют контролировать местоположение детей, запуск и время работы приложений, а также просмотр сайтов в браузере и активность в социальных сетях. На iOS подобные приложения требуют установки профиля по технологии Mobile Device Management, что до июня этого года означало нарушение условий соглашения разработчика для платформы Apple, а также правил для приложений, подаваемых в App Store. В конце прошлого и начале этого года Apple стала планомерно выпиливать подобные приложения с профилями MDM из App Store, так как само наличие профиля MDM означало контроль владельца этого профиля над устройством, на котором оно установлено. Пострадавшие возмутились (кто-то жаловался в прессу, кто-то, как ЛК, жаловался в госорганы), и в итоге Apple в июне внесла изменения в правила для приложений в App Store, разъяснив ситуацию:

Guideline 5.5. (New) Because MDM provides access to sensitive data, MDM apps must request the mobile device management capability, and may only be offered by commercial enterprises, such as business organizations, educational institutions, or government agencies, and, in limited cases, companies utilizing MDM for parental controls. MDM apps may not sell, use, or disclose to third parties any data for any purpose, and must commit to this in their privacy policy.

Continue reading

Прослушивание записей Siri

Последняя тема с голосовыми помощниками – материал в Guardian о том, что у Apple, как и у Google, Amazon и Яндекс, есть команда людей, которые получают небольшие сегменты голосовых записей команд Siri для последующей обработки и улучшения систем распознавания. В результате к прослушивающим попадают и записи от случайных срабатываний, в том числе содержащие какую-то личную информацию. Что отличает этот кейс от других – позиция Apple, которая давно и много говорит о защите частной информации. И хотя проверяемые аудиозаписи составляют небольшой объём от общего количества запросов (менее 1%) и отвязаны от данных типа Apple ID, но что-то личное просочиться все равно может.

Что, в общем-то, для людей, которые занимаются разработкой подобных алгоритмов не стало сюрпризом, потому что алгоритмы нужно обучать в том числе на реальных данных, полученных от пользователей. Как озвучил один мой знакомый, это примерно как возмущаться тому, что гинеколог смотрит на интимные места пациентов. Но для журналистов сенсационность материала заглушает голоса здравого смысла, и мы на выходе получаем подобные материалы, которые фокусируются совсем не на том аспекте проблемы.
Continue reading

WWDC 2019 — безопасность и конфиденциальность

Для меня показателем того, насколько интересной была в этом году конференция WWDC, является тот факт, что я до сих пор продолжаю публиковать свои заметки о том, что на ней показали. (да, уже прошел целый месяц после WWDC, просто я медленно пишу). К счастью, это последний материал, который я хотел написать по следам конференции.

Кроме всех новинок операционных систем, Mac Pro с новым монитором, и проч., я бы хотел отдельно выделить улучшения в продуктах, которые касаются безопасности и конфиденциальности пользовательской информации. О некоторых, как, например, Sign In with Apple или Find My я уже писал, а до остального руки дошли только сейчас. Хотя там тоже хватает интересного.


Список security-изменений в новых версиях iOS/macOS
Continue reading

Впечатления после WWDC2019 – iPadOS

Поскольку позавчера публичные беты iOS 13/iPadOS/macOS 10.15 начали раздавать всем желающим станцевать на граблях багов, расскажу свои впечатления от iPadOS (забавно, что она без номера). Тем более, что она была у меня установлена на iPad mini 5 с первого дня анонса, на iPad Pro 10.5 примерно дней 10, и какие-то мысли уже накопились.

Анонс iPadOS, с одной стороны, оказался одним из самых больших сюрпризов конференции, а с другой — вполне закономерным развитием тех шагов, которые предпринимала Apple для модификации операционной системы iOS для своих планшетов. Достаточно вспомнить тот задел по многозадачности (хотя, точнее было бы сказать “несколькозадачности”), который внедрила Apple в iOS пару лет назад. Apple давно и упорно продвигает тему iPad как современную альтернативу компьютеру, так что это был вопрос времени — выделения системы для планшетов в отдельную ветку. Меня этот анонс порадовал едва ли не больше всего, поскольку я достаточно много пользуюсь iPad, и в ограничения системы я периодически упираюсь. Забегая вперед, сразу спойлерну, что iPadOS эти ограничения не снимает, и не факт, что когда-либо снимет — парадигма платформы другая. Однако, развитие системы движет её в направлении снижения фрикций при использовании.
Continue reading

Find My

Один из самых интересных для меня анонсов на WWDC 2019 – это функция мониторинга устройств Apple пользователями, которую Apple назвала Find My. Общая идея возможности пользователю видеть свои устройства сама по себе не нова и присутствовала у Apple под названием Find My iPhone много лет (и со временем стала позволять обнаруживать не только iPhone, но и другие устройства Apple, в том числе Маки). Историй о том, как пользователи находили свои потерянные и украденные устройства, включая истории про погони по городам за ворами, достаточно много. В этом году Apple, объединив два приложения Find My iPhone и Find My Friends, представила новый сервис Find My, который должен стать единым местом для просмотра информации о местоположении людей и техники. С людьми и социальным аспектом в целом понятно, а вот мониторинг устройств приобрёл очень интересную функцию. Речь идёт о возможности пользователю видеть местоположение устройства, которое не подключено к интернету.


Continue reading

Впечатления от WWDC2019 – iOS 13

Продолжаю описывать то, что я узнал во время WWDC о новых продуктах Apple на основе кейноута, других сессий для разработчиков и обсуждений с людьми, которые знают больше, чем я. В этой заметке я собирался проанализировать новости об iOS, включая разделение операционной системы на “для смартфонов” и “для планшетов” (я уже писал раньше про tvOS и watchOS), но что-то пошло не так.

Изменений в iOS 13 даже с пользовательской стороны столько, что по масштабности я бы сравнил это обновление с версией iOS 7, представленной в 2013 году. Тогда, как помнят старожилы, Apple перешла в интерфейсе от скевоморфизма к более сдержанному и “плоскому” дизайну, и подгораниями у критиков по поводу этих изменений какое-то время можно было обогреть достаточно большой мегаполис. Существенные изменения в интерфейсе iOS 13 увеличивают сходство с тем периодом. Темная тема, новые способы отображения контента в специальных карточках, методы взаимодействия с этим карточками, новые визуальные элементы интерфейса, новая цветовая гамма для визуальных элементов — это основательные изменения в операционной системе, которые заметят все пользователи. Сторонним разработчикам займет какое-то время подтянуться за этими изменениями, но сессия про обновления интерфейса приложений для iOS 13 показалась мне одной из самых интересных на WWDC. Темная тема на любителя, хотя мне она в некоторых сценариях использования пригодится. Важно помнить заветы Джобса, что дизайн — это не просто то, как что-то выглядит, а то, как это работает. За кажущимися небольшими визуальными изменениями стоит гораздо больше, чем просто подсветка кнопок.

Главная инновация же, конечно, новый индикатор громкости – наконец-то не перекрывает пол-экрана, рисуется аккуратно сверху, и его еще пальцем можно регулировать! Много ли пользователю iPhone надо для счастья?


Continue reading

ZombieLoad

Обнаружен новый набор уязвимостей в процессорах Intel (вплоть до 2011 года), похожих на Meltdown/Spectre, эксплуатирующих “слабость” предположительных вычислений в современных процессорах. Новая атака называется ZombieLoad и состоит из 4 отдельных багов. Суть, как я понял, заключается в том, что специально подготовленный код позволяет заставить процессор выдать данные из других приложений. Проблема затрагивает как персональные компьютеры, так и виртуальные машины в облаке, где в результате атаки можно получить доступ к данным из других виртуальных машин. На данный момент следов реальных атак не было зафиксировано, но это не значит, что их не было. Для обычных пользователей это означает, что какое-то вредоносное ПО, установленное на компьютер, может запустить такую атаку и перехватить из процессора конфиденциальную информацию. Intel выпустила апдейт микрокода процессора, который, по словам представителя компании, может привести к снижению производительности персональных компьютеров до 3%, а компьютеров в облачных датацентрах — до 9%.

Ссылки по теме:
Информация об атаке

Производители компьютеров выпускают апдейты:
Apple выпустила 10.14.5, что предотвращает атаку через Safari. Для желающих защититься полностью от подобных угроз, в этом апдейте добавили также возможность полного отключения Hyper-Threading в процессоре, но это приведет к снижению производительности компьютеров на 40%
Continue reading

Cybersecus дайджест #81

Сразу две хорошие новости, я отлучился на небольшой отпуск, и за это время ничего катастрофического не произошло! Если, например, не считать того, что из-за проблем с сертификатом у Firefox, что привело к тому, что уже установленные расширения не запускались, а новые не устанавливались. Те 2,5 пользователя Firefox, которые пострадали, уже знают, что проблема была исправлена:
https://blog.mozilla.org/addons/2019/05/04/update-regarding-add-ons-in-firefox/

А вот в китайском аналоге AWS — на облачной платформе Alibaba Cloud — обнаружилась база данных жителей из нескольких районов Пекина, которую собрали власти города с помощью системы распознавания лиц. “Умный город”, говорили они, “общественный транспорт вовремя”, говорили они, устанавливая камеры наблюдения. Только базу забыли закрыть паролем, и она лежала доступной для кого угодно в интернете. Elasticsearch, гигабайты данных, включая данные о распознавании сотен лиц за несколько месяцев. Базу обнаружил эксперт по кибербезопасности Джон Ветингтон, рассказавший об этом изданию TechCrunch.
https://techcrunch.com/2019/05/03/china-smart-city-exposed/

Компания 1Password, разработчик одноименного менеджера паролей, предлагает бесплатную версию своего приложения для журналистов. Нужно зарегистрироваться на странице, компания проверит статус зарегистрировавшегося как журналиста, и после этого зарегистрировавшийся получит бесплатную версию приложения.
https://blog.1password.com/world-press-freedom-day-1password-journalism/
Continue reading

Apple vs мониторилки использования смартфонов

Пару недель назад я писал о том, как Лаборатория Касперского подала жалобу против Apple по поводу блокировки апдейтов для их приложения по мониторингу активности детей. Я там подробно разобрал и сам пост ЛК, и технические ограничения самой iOS, которые требуют определенных приседаний для того, чтобы такие приложения вообще работали (и как эти приседания, вероятней всего, нарушают требования Apple к мобильным приложениям в iOS).

На прошлой неделе к этой теме еще подключилась The New York Times, опубликовавшая материал на эту тему, в котором тоже активно педалируется месседж, что Apple ограничивает приложения сторонних разработчиков в пользу функции Screen Time в iOS 12. Статья изобилует цитатами разработчиков, которые жалуются, что их приложения начали блокировать с бухты-барахты, без всяких предупреждений. Вся эта активность привела к тому, что Фил Шиллер, вице-президент Apple по продуктовому маркетингу ответил в письме одному из пользователей, в котором описал позицию компании и отметил, что статья в NYT подала информацию только с одной стороны, не озвучив позицию компании полностью.
Continue reading