昨天 MacRumors 上看见此新闻,说苹果服务器故障导致 macOS 用户无法打开程序。macOS 在打开每个程序前都要给苹果服务器发送包含用户 IP 、地理位置、运营商、程序 hash 的信息。无连接时会自动跳过,但有网络但服务器故障时,问题就显露了出来。
Big Sur 更新后,新的问题出现了: https://sneak.berlin/20201112/your-computer-isnt-yours/。总结:新系统里,这个用来给苹果通讯的 trustd 程序被苹果加入了白名单,无法被 Little Snitch 控制了。
苹果作为硬件公司,在我心里的标准是要高于卖用户信息的谷歌脸书等广告公司的。但苹果长期鼓吹保护用户隐私,但传输这种信息却不给用户关闭的选项。如果 macOS 上都无法关闭,更别说 iOS 上了。这个信息也没有加密,所以 ISP 也能截取,然后通过比对常见软件 hash,就可以知道何时何地用户用了什么软件。
作为一个长期果粉,看到苹果这种操作还是很难受的。
1
kiwier 2020-11-14 07:59:55 +08:00
装 firewall,禁掉试试 https://github.com/objective-see/LuLu
|
2
hello2060 2020-11-14 08:05:14 +08:00 via iPhone
还有这种事?那没有网络怎么办?
|
3
XsterreX 2020-11-14 08:08:20 +08:00
Macrumors 原文不是只说了因为服务崩溃导致打不开或者变卡,没说后面的什么 IP 隐私加密不加密啊
|
4
XsterreX 2020-11-14 08:10:18 +08:00
|
6
tzm41 OP @kiwier #1 LuLu 跟 Little Snitch 一样的情况,基于 kext 的防火墙都不能在 Big Sur 上用了。
|
9
clrss 2020-11-14 08:38:55 +08:00 via iPhone
关了 SIP 好像就不会了(以及 Gatekeeper ?)
现在系统 Volume 分离,关了 SIP 也不会改变系统文件。 |
10
XsterreX 2020-11-14 08:45:16 +08:00
@tzm41 那个人也说是 ISP 级别的信息,还好吧……你手机只要联网这些信息不也是随便就拿到了,要说就是那个 App 的 hash 可以说道说道
|
13
SWYou 2020-11-14 09:37:35 +08:00 via iPhone
看了原文,有把 PRSM 联想到云上贵州,还蛮可怕的。
不过换别的系统:windows Android 未尝不是如此,说不定更夸张。 难道要用 unbuntu laptop + unbuntu 手机 |
14
lovestudykid 2020-11-14 10:03:58 +08:00
我记得昨天很多人说电脑变慢,原来是这个原因。但是有人让把相关域名加入 hosts 屏蔽就不会变慢,是不是这样就能防止被发送 log
|
15
lovestudykid 2020-11-14 10:04:56 +08:00
127.0.0.1 ocsp.apple.com
把这个加到 hosts |
16
felixcode 2020-11-14 10:16:33 +08:00 via Android 1
苹果的隐私就是阻止其他公司获取隐私,而苹果掌握所有信息。
|
17
szq98 2020-11-14 10:43:14 +08:00 via iPhone
不解苹果是为什么这么做,但如果单纯是为了获取用户数据,那获取信息的过程不应该影响应用启动
|
18
rainboat 2020-11-14 10:57:01 +08:00
之前我一直认为这个功能是验证应用是否安全的,感觉还挺好的。但是这把用户 ip,位置都给发出去就不太理解了,这一点都不隐私。
|
19
icyalala 2020-11-14 11:00:10 +08:00 18
OCSP 是一个标准的互联网协议: https://en.wikipedia.org/wiki/Online_Certificate_Status_Protocol
是用于证书吊销列表替代的,一般使用标准 http 协议,不是 https,通信请求和返回都是 ASN.1 编码。 我抓了十来分钟手机,就已经发现了 4 个 oscp 服务: ocsp.digicert.com ocsp.int-x3.letsencrypt.org ocsp.sectigo.com ocsp.apple.com 请求的数据可以先用 URL Decode 解码为 base64,然后再用 ASN.1 解码,里面就两个 sha1 值, 返回也可以用 ANS.1 解码,内容就是证书相关信息。 苹果在官网也列出了 Certificate validation 域名和作用: https://support.apple.com/en-us/HT210060 这都是长时间公开的东西,怎么突然就成新闻了呢。。 |
20
NoobX 2020-11-14 11:02:07 +08:00
为了实时更新证书,防止吊销,基本操作了
你打开 windows 应用的时候其实也会联系 Microsoft 服务器验证,只是没出这个服务器的事,你不知道罢了 |
21
geniussoft 2020-11-14 11:04:12 +08:00
有点怀疑。
苹果上哪知道你 Mac 的运营商是什么... 但是显然,这应该有选修关掉。 |
22
tsanie 2020-11-14 11:14:00 +08:00
国内不是因为 ocsp.int-x3.letsencrypt.org 经常被污染出过不少 OCSP 相关的幺蛾子么,我以为都习以为常了 😂
|
24
opengps 2020-11-14 11:45:43 +08:00 1
据我所知,lbs 服务后台,iphone 掌握的 wifi,ip,蓝牙等基站数据远远多于其他厂商,然而却只有自己用,这种所谓的保护隐私,不过是独占隐私而已
|
25
marcong95 2020-11-14 11:56:58 +08:00 1
如果只是 OCSP 的话估计又是你们又想搞个大新闻,这不是 HTTPS 的基本流程么,怎么可能让用户关掉呢,跟普通的 telemetry 不是同一个事情的。AppStore 不是玩全面 HTTPS 的么,这个自然就必不可少了。
你们这么重视隐私还是把自己藏 Tor 下面算了。。。 |
26
des 2020-11-14 12:17:09 +08:00
trustd 绕过防火墙,也不走代理了,难道这个不能算新闻吗?
|
28
venster 2020-11-14 13:12:17 +08:00 via iPhone
|
29
tzm41 OP Little Snitch blog 的解释: https://obdev.at/support/littlesnitch/245914647368270
|
31
iptables 2020-11-14 17:25:05 +08:00
我的第一反应是 Gatekeeper 在检测应用,不知道移除 com.apple.quarantine 的属性能否解决这个问题?
|
33
dingwen07 2020-11-14 21:09:05 +08:00 via iPhone
iOS 应该是一直有的,之前路由器 koolss 坏掉了把国外网站的连接全部丢掉,之后就出现 iOS 打开许多 app 跳出一个 iTunes 交易失败的提示,其中甚至包含 Safari
|
34
jim9606 2020-11-14 21:45:42 +08:00 2
OCSP 这玩意被谷歌的工程师 Adam Langley 嘲讽为“崩溃时扣上的安全带”。
而且确实存在向 OCSP 服务器暴露域名访问记录的问题,这个问题跟用不用加密无关。 而且部分 CA 的 OCSP 服务器质量确实不咋地,反正我的 win10 是把这功能关了。 |
38
shily 2020-11-15 00:23:23 +08:00 via Android 1
|
40
theolin 2020-11-15 02:03:30 +08:00
macOS 在 设置-安全性与隐私 里面不是提供了开关的么?而且也说得很清楚会收集哪些内容。为什么说没有给用户开关呢?
|
41
H0u5er 2020-11-15 02:08:41 +08:00 via iPhone
|
42
clearc 2020-11-15 02:51:00 +08:00 via iPhone 2
ocsp 是没用的协议
Google 没在用 Apple 用而且放在系统层面肯定有自己的利益考量,没准哪天 Mac 也只能从 App Store 下软件 路由加黑名单干掉,改机器配置万一未来规则严格可能变砖 |
43
dawn009 2020-11-15 04:54:10 +08:00 1
@icyalala 因为把 OCSP 用于应用签名验证,确实存在文章里所说的隐私泄漏问题。
由于应用场景变化,原本不是问题的协议变成了问题 |
45
zitengdu 2020-11-15 09:05:40 +08:00 via Android
naut.ca: Forbidden Commands to Speed Up macOS.
https://www.naut.ca/blog/2020/11/13/forbidden-commands-to-liberate-macos/ |
46
des 2020-11-15 09:46:03 +08:00 1
|
48
tzm41 OP @nikolai #23 新版 Little Snitch 和 LuLu 用 Network Extension API 的最大问题是,系统白名单中的软件无法被控制。除了无法禁止 trustd 的 call 以外,如#46 所分享,第三方软件也可以用这种方式绕过防火墙。
|
51
tzm41 OP 苹果回应: https://support.apple.com/en-us/HT20249
总结: 1.苹果没有交叉比对,也不储存用户的 Apple ID 或设备 UUID 。 2.苹果决定停止记录用户 IP 地址,并且会删除现存 log 中已储存的用户 IP 。 3.在明年苹果打算实现加密的开发者 ID 证书检测、增加防止服务器故障导致无法打开程序的保护,并且给用户提供关闭此检测的选项。 |