Apple lahko bere vaša sporočila

Applove mobilne naprave z operacijskim sistemom iOS in njihovi namizni računalniki z Mac OS X lahko med seboj komunicirajo s sporočili prek protokola iMessage, ki na mobilnih napravah predstavlja brezplačno alternativo klasičnim sporočilom SMS, MMS in podobnim. Protokol je sicer zaprt in lastniški, a Apple je doslej zagotavljal, da je varen. Izrecno so zapisali, da nekaterih podatkov, med njimi vsebine pogovorov, ne morejo posredovati tretjim osebami (torej niti organom pregona), ker je komunikacija šifrirana. Izkazalo se je, da to ni res.

Strokovnjaki so objavili analizo Applovega protokola iMessage, ki so ga uspeli razstaviti z vzvratnim inženiringom. Ugotovili so, da Apple lahko bere sporočila. Nihče ne trdi, da jih dejansko bere, a tehnološke možnosti za to imajo. Res je, da je komunikacija med sogovornikoma šifrirana s primernimi algoritmi primerne jakosti, a Apple nadzoruje celotno infrastrukturo za prenos, vključno s šifrirnimi ključi. Komunikacija se vrši prek tunela SSL, tako da tretje stranke ne morejo prisluškovati.

Problem pa je, da se geslo in uporabniško ime znotraj tunela pošiljata v obliki besedila (cleartext), čeprav za to ni nobene potrebe. To pomeni, da Apple pozna vaše geslo. Če ga uporabljate še kod drugod, recimo za e-bančništvo ali elektronsko pošto, je to problem. Sicer lahko pričakujemo, da ga Apple ne bo zlorabil, a vseeno je to povsem nepotrebno tveganje, ki se mu da izogniti. Ranljiva pa je tudi celotna zasnova, čeprav je komunikacija šifrirana, saj iMessage ne uporablja strogih meril za priznavanje certifikatov (certificate pinning) S podtikanjem lažnega certifikata je tako mogoče izvesti MITM (man-in-the-middle) napad, čeprav povprečni napadalec temu verjetno ne bo kos, strokovnjaki pač. 

http://blog.quarkslab.com/imessage-privacy.html