More

    A verificação do certificado do Mac desperta o temor de que a Apple registre todos os aplicativos que você executa


    Na tarde da última quinta-feira, usuários de Mac em todos os lugares começaram a reclamar de uma lentidão paralisante ao abrir aplicativos. A causa: verificações de certificado online que a Apple realiza cada vez que um usuário abre um aplicativo não baixado da App Store. A atualização em massa para Big Sur, ao que parece, fez com que os servidores Apple responsáveis ​​por essas verificações ficassem muito lentos.

    A Apple corrigiu rapidamente a desaceleração, mas as preocupações com Macs paralisados ​​logo foram substituídas por uma preocupação ainda maior – a vasta quantidade de dados pessoais que a Apple, e possivelmente outros, pode obter de Macs executando verificações de certificado cada vez que um usuário abre um aplicativo que não vêm da App Store.

    Para as pessoas que entendiam o que estava acontecendo nos bastidores, havia poucos motivos para ver as verificações de certificado como uma captura de privacidade. Só para ter certeza, porém, a Apple publicou na segunda-feira um artigo de suporte que deve suprimir quaisquer preocupações persistentes. Mais sobre isso depois – primeiro, vamos fazer um backup e fornecer algumas informações básicas.

    Conheça OCSP

    Antes que a Apple permita um aplicativo na App Store, ele deve primeiro passar por uma análise que analisa sua segurança. Os usuários podem configurar o recurso macOS conhecido como Gatekeeper para permitir apenas esses aplicativos aprovados ou podem escolher uma configuração que também permite a instalação de aplicativos de terceiros, desde que esses aplicativos sejam assinados com um certificado de desenvolvedor emitido pela Apple. Para garantir que o certificado não tenha sido revogado, o macOS usa OCSP – abreviação de Online Certificate Status Protocol, padrão do setor – para verificar sua validade.

    Verificar a validade de um certificado – qualquer certificado – autenticar um site ou software parece bastante simples, mas há muito apresenta problemas em todo o setor que não são fáceis de resolver. O meio inicial era o uso de listas de revogação de certificados, mas à medida que as listas cresciam, seu tamanho as impedia de funcionar de maneira eficaz. O CRL deu lugar ao OCSP, que realizou a verificação nos servidores remotos.

    OCSP, descobriu-se, tinha suas próprias desvantagens. Os servidores às vezes caem e, quando isso acontece, as interrupções do servidor OCSP têm o potencial de paralisar milhões de pessoas que tentam fazer coisas como visitar sites, instalar aplicativos e verificar e-mails. Para se proteger contra esse perigo, o OCSP padroniza o que é chamado de “falha suave”. Em vez de bloquear o site ou software que está sendo verificado, o OCSP agirá como se o certificado fosse válido no caso de o servidor não responder.

    De alguma forma, o grande número de pessoas atualizando para Big Sur na quinta-feira parece ter causado a sobrecarga dos servidores em ocsp.apple.com, mas não caíram completamente. O servidor não pôde fornecer a eliminação total, mas também não retornou um erro que acionaria a falha suave. O resultado foi um grande número de usuários do Mac no limbo.

    A Apple corrigiu o problema com a disponibilidade de ocsp.apple.com, provavelmente adicionando mais capacidade de servidor. Normalmente, isso teria sido o fim do problema, mas não foi. Logo, a mídia social foi inundada com alegações de que o processo de verificação de aplicativos do macOS estava transformando a Apple em um Big Brother que rastreava a hora e o local sempre que os usuários abriam ou reabriam qualquer aplicativo não baixado da App Store.

    A paranóia atinge profundamente

    A postagem Seu computador não é seu foi um dos catalisadores da preocupação em massa. Ele observou que as solicitações simples de obtenção de HTML realizadas pelo OCSP não foram criptografadas. Isso significava que não só a Apple era capaz de criar perfis com base em nosso uso do Mac minuto a minuto, mas também os ISPs ou qualquer outra pessoa que pudesse ver o tráfego passando pela rede. (Para evitar cair em um loop de autenticação infinito, praticamente todo o tráfego OCSP não é criptografado, embora as respostas sejam assinadas digitalmente.)

    Felizmente, postagens menos alarmistas como essa forneceram um pano de fundo mais útil. Os hashes transmitidos não eram exclusivos do aplicativo em si, mas sim do certificado de desenvolvedor emitido pela Apple. Isso ainda permitia que as pessoas inferissem quando um aplicativo como Tor, Signal, Firefox ou Thunderbird estava sendo usado, mas ainda era menos granular do que muitas pessoas pensaram inicialmente.

    O ponto principal é que, na maioria dos aspectos, a coleta de dados pelo ocsp.apple.com não era muito diferente das informações que já eram transmitidas em tempo real pelo OCSP toda vez que visitamos um site. Para ter certeza, existem algumas diferenças. A Apple vê solicitações OCSP para todos os aplicativos Mac não baixados da App Store, o que provavelmente é um número enorme. As solicitações OCSP para outro software assinado digitalmente vão para centenas ou milhares de autoridades de certificação diferentes e geralmente são enviadas apenas quando o aplicativo está sendo instalado.

    Resumindo, porém, a conclusão foi a mesma: a potencial perda de privacidade do OCSP é uma troca que fazemos em um esforço para verificar a validade do certificado que autentica um site que desejamos visitar ou um software que desejamos instalar.

    Apple fala

    Em uma tentativa de garantir ainda mais os usuários do Mac, a Apple publicou esta postagem na segunda-feira. Ele explica o que a empresa faz e o que não faz com as informações coletadas por meio do Gatekeeper e um recurso separado conhecido como notarização, que verifica a segurança mesmo de aplicativos que não sejam da App Store. A postagem afirma:

    O Gatekeeper realiza verificações online para verificar se um aplicativo contém malware conhecido e se o certificado de assinatura do desenvolvedor foi revogado. Nunca combinamos os dados dessas verificações com informações sobre usuários da Apple ou seus dispositivos. Não usamos dados dessas verificações para saber o que usuários individuais estão iniciando ou executando em seus dispositivos.

    A notarização verifica se o aplicativo contém malware conhecido usando uma conexão criptografada que é resiliente a falhas do servidor.

    Essas verificações de segurança nunca incluíram o ID Apple do usuário ou a identidade de seu dispositivo. Para proteger ainda mais a privacidade, paramos de registrar endereços IP associados às verificações de certificado de ID de desenvolvedor e garantiremos que todos os endereços IP coletados sejam removidos dos registros.

    A postagem dizia que, no próximo ano, a Apple fornecerá um novo protocolo para verificar se os certificados de desenvolvedor foram revogados, fornecerá “fortes proteções contra falha de servidor” e apresentará uma nova configuração de sistema operacional para usuários que desejam cancelar tudo isso.

    A controvérsia sobre o comportamento que o macOS tem feito desde que, pelo menos, a versão Catalina foi lançada em outubro passado ressalta a compensação que às vezes ocorre entre segurança e privacidade. O Gatekeeper foi projetado para tornar mais fácil para usuários menos experientes evitar aplicativos que são conhecidos por serem maliciosos. Para usar o Gatekeeper, os usuários precisam enviar uma determinada quantidade de informações para a Apple.

    Não que a Apple seja totalmente isenta de falhas. Por um lado, os desenvolvedores não forneceram uma maneira fácil de cancelar as verificações OCSP. Isso tornou o bloqueio do acesso ao ocsp.apple.com a única maneira de fazer isso, e para usuários menos experientes do Mac, isso é muito difícil.

    O outro erro é confiar em OCSP. Devido ao seu design de falha suave, a proteção pode ser substituída, em alguns casos propositalmente por um invasor ou simplesmente devido a uma falha de rede. A Apple, no entanto, não está sozinha em sua dependência do OCSP. Um método de revogação conhecido como CRLite pode, em última análise, fornecer uma solução para essa falha.

    As pessoas que não confiam nas verificações OCSP para aplicativos Mac podem desativá-las editando o arquivo de hosts Mac. Todos os outros podem seguir em frente.


    Artigos Recentes

    O ex-executivo da EA Peter Moore retorna aos jogos como vice-presidente sênior de esportes e entretenimento ao vivo da Unity

    Peter Moore deixou sua marca nos videogames como um dos chefes da Electronic Arts, Microsoft Xbox e Sega of America....

    Rival Peak reality show interativo atinge 22 milhões de visualizações

    O reality show interativo semelhante a um jogo Pico Rival se tornou um sucesso no Facebook, com mais de 22 milhões de visualizações...

    Primeiros passos de Biden como presidente: Ação contra a cobiça e o clima

    Uma enxurrada de ordens executivas deve ocorrer nos próximos dias, do novo presidente dos Estados Unidos, quando ele passar a residir na Casa...

    Brave navegador da web adiciona suporte nativo para protocolo IPFS ponto a ponto

    A comunidade descentralizada de tecnologia tem como objetivo encontrar suporte para tecnologias que vão além do suporte à criptomoeda. Em uma postagem de blog...

    Uma analogia de tipos de aplicativos móveis e qual é a mais adequada para sua empresa

    Aplicativos ou aplicativos tornaram-se parte de nossas vidas diárias na última década. Aplicativos são programas ou softwares executados (geralmente) em dispositivos inteligentes...

    Artigos Relacionados

    DEIXE UMA RESPOSTA

    Por favor digite seu comentário!
    Por favor, digite seu nome aqui