Apple zmore prestrezati sporočila prek iMessage

Ko se je začela afera Prism, je Apple na svoji spletni strani jasno in izrecno zapisal, da sporočil uporabnikov ne more prebirati. Komunikacija prek storitve iMessage, ki vključuje Applove mobilne naprave in računalnike z iOS, je šifrirana od pošiljatelja do prejemnika, zato ji ne more prisluškovati nihče. Sedaj pa so raziskovalci dokazali, da je Applova trditev neresnična. Apple že mogoče ne prestreza komunikacije, a bi jo lahko, če bi to želel oziroma bi to od njega zahtevala NSA.

Res je komunikacija prek iMessge šifrirana z zaupanja vrednimi algoritmi (AES, RSA, ECDSA) s ključi ustrezne dolžine, ki se ustvarijo s kodo, ki je odprta. Toda Apple nadzoruje vso infrastrukturo za komunikacijo, predvsem pa lahko zamenja šifrirne ključe in komunikacijo prestreza. Prav tako Apple pozna vsa gesla, saj se znotraj šifrirane povezave SSL pošiljajo v besedilnem formatu, tako da jim tretje osebe ne morejo prisluškovati, Apple pa jih seveda pozna. Če uporabljate isto geslo še kod drugod, imate vsaj na načelni ravni problem.

Dodatni problem je tudi implementacija, saj Apple dopušča uporabo kateregakoli podpisanega certifikata (torej brez tehnike certificate pinning). To zlikovcu omogoča premeten napad, saj lahko v napravo podtakne ponarejen certifikat, kar mu omogoča izvedbo MITM-napada. To sploh ni težko narediti, saj lahko z orodjem iPhone Configuration Utility v iPhone dodamo novega centralnega overitelja (CA), potem pa bo naprava vse njegove certifikate štela kot zaupanja vredne.

Predpostavimo, da Apple ni zlonamerno podjetje in da teh moči ne bo zlorabljal. Kljub temu je to razkritje problematično, saj kaže, da je Apple lagal. Prav tako pa je bistvena razlika, ali podjetje komunikacije ne bere ali je ne more brati, ko to prejme sodno odredbo FISA. V tem primeru mu siceršnja benevolentnost prav nič ne pomaga, prestrezanje bo pač treba izvesti.

Apple to ve, zato so se hitro odzvali in začeli popravljati ugled. Zapisali so, da bi se morali zelo potruditi, če bi želeli brati sporočila. Ranljivosti, ki so jih odkrili raziskovalci, bi lahko Apple izrabil le, če bi spremenil dobršen del sistema iMessage, česar pa ne nameravajo niti nočejo storiti, so zatrdili v Cupertinu.