क्या Apple आपके iMessage को पढ़ सकता है?

मैथ्यू ग्रीन के एक लेख का अनुवाद। क्रिप्टोग्राफी में मजबूत नहीं है, इसलिए, दवाओं में अशुद्धियों और शोधन के सभी सुधारों के लिए मैं बहुत आभारी रहूंगा। आपका धन्यवाद



लगभग एक साल पहले, मैंने iMessage में एन्क्रिप्शन के तकनीकी विवरण प्रकाशित करने के लिए Apple से आग्रह करते हुए एक छोटी पोस्ट लिखी थी। मैं कहना चाहूंगा कि Apple ने मेरे प्रभावशाली क्रिप्टोब्लॉग को देखा और विनिर्देशों को दिखाया। लेकिन नहीं, iMessage अभी भी वही ब्लैक बॉक्स है जैसा कि हमेशा से रहा है।



वास्तव में क्या बदला है कि लोगों को चिंता होने लगी है । यह आंशिक रूप से NSA के साथ Apple की कथित मित्रता के कारण है। भाग में, यह UBN के साथ इतने मैत्रीपूर्ण संबंधों का दोष नहीं है । किसी भी मामले में, लोग यह जानना चाहते हैं कि Apple के पास कौन सी जानकारी है और वह किसके साथ साझा की गई है।



और यह हमें iMessage में एन्क्रिप्शन के मुद्दे पर वापस लाता है। Apple ने ग्रह पर सबसे लोकप्रिय एन्क्रिप्टेड संचार सेवाओं में से एक का शुभारंभ किया: हर दिन iMessage में 2 बिलियन से अधिक संदेश। उनमें से प्रत्येक में व्यक्तिगत जानकारी होती है जिसे एनएसए और यूबीएन अपने हाथों में लेना चाहते हैं। लेकिन, वास्तव में, यहां तक ​​कि Apple भी उन्हें नहीं पढ़ सकता है :

सूचना की कई श्रेणियां हैं जो हम कानून प्रवर्तन एजेंसियों या किसी अन्य समूह को प्रेषित नहीं करते हैं, क्योंकि हमने उन्हें नहीं बचाने का फैसला किया है।

उदाहरण के लिए, iMessage या फेसटाइम के माध्यम से वार्तालाप एंड-टू-एंड एन्क्रिप्शन का उपयोग करते हैं , ताकि प्रेषक और रिसीवर के अलावा कोई भी उन्हें पढ़ न सके। Apple इस डेटा को डिक्रिप्ट नहीं कर सकता है।



यह विश्वसनीय लगता है, और मेरा अनुभव कहता है कि यह संभावना है। मेरा दृष्टिकोण एप्लाइड क्रिप्टोग्राफी पर ग्रीन कानून के कारण है, जो कहता है कि ज्यादातर लागू क्रिप्टोग्राफी बेकार है। क्रिप्टोग्राफी कभी भी बिना शर्त गारंटी नहीं देती है, जैसा कि आप चाहते हैं, और यह वही है जो उपयोगकर्ता से पीड़ित हैं ।



और यह iMessage के साथ समस्या है: उपयोगकर्ता पर्याप्त पीड़ित नहीं हैं! सेवा का उपयोग करने के लिए अविश्वसनीय रूप से आसान है, जिसका अर्थ है कि Apple ने एक समझौता किया, या बल्कि, प्रयोज्य और सुरक्षा के बीच संतुलन पाया। और जब समझौता करने में कुछ भी गलत नहीं है, तो आपके निजी जानकारी की बात आने पर उनके फैसलों का बहुत महत्व है। इन विवरणों को अपने आप में रखते हुए, Apple अपने उपयोगकर्ताओं को खुद को बचाने के लिए अनावश्यक कार्यों से मुक्त करता है।



इन ट्रेड-ऑफ का विवरण बिल्कुल वही है जो मैं इस पोस्ट में बात करना चाहता हूं। मैं जिस पद की शपथ लेता हूं वह अंतिम पोस्ट होगा जो मैं iMessage के बारे में लिखूंगा। अब से, केवल सिफर और कोई सबूत नहीं होगा।

Apple iCloud में iMessages की प्रतियां बचाता है

Apple की स्थिति के साथ सबसे बड़ी समस्या यह है कि यह सच नहीं है। यदि आप अपने iDevice के डेटा को बचाने के लिए iCloud बैकअप सेवा का उपयोग करते हैं, तो इस बात की बहुत अधिक संभावना है कि Apple iMessage में पिछले कुछ दिनों के पत्राचार को प्राप्त कर सकता है।



Apple इकोसिस्टम से अनजान लोगों के लिए: iCloud एक वैकल्पिक डेटा भंडारण सेवा है जो Apple द्वारा मुफ्त में प्रदान की जाती है। बैकअप, रमणीय हैं, लेकिन यदि iMessages बैकअप में आते हैं, तो उनकी सुरक्षा पर सवाल उठता है। कंपनी के शब्द में विश्वास (कि वे हमारे संदेश प्राप्त नहीं कर सकते हैं) हमें केवल दो विकल्प छोड़ते हैं:

1. IMessage बैकअप को एक कुंजी के साथ एन्क्रिप्ट किया गया है जो आपके डिवाइस को कभी नहीं छोड़ता है
2. IMessage बैकअप को एक कुंजी के साथ एन्क्रिप्ट किया जाता है जो आपके पासवर्ड से जुड़ा होता है

दुर्भाग्य से, इनमें से कोई भी विकल्प सही नहीं है, और यह साबित करना काफी सरल है। आपको बस एक आसान प्रयोग करने की आवश्यकता है: शुरुआत के लिए, अपना iPhone खो दें। फिर, Apple पासवर्ड रिकवरी सेवा का उपयोग करके पासवर्ड बदलें (आपको कुछ सवालों के जवाब देने की आवश्यकता होगी, या एक बैकअप ई-मेल दर्ज करें)। अब हम Apple स्टोर पर जाते हैं और एक नए फोन के लिए एक भाग्य बिछाते हैं।



यदि आप नए iPhone पर अपने खोए हुए संदेशों को पुनर्प्राप्त कर सकते हैं (जैसा कि मैंने आज दोपहर को Apple स्टोर में सही किया था ), तो Apple किसी भी कुंजी और पासवर्ड के साथ आपके iMessages की रक्षा नहीं करता है। अफसोस की बात है (अशकांत सोलानी ने उसी परीक्षण से कुछ स्क्रीनशॉट बनाए)।



बुरी खबर यह है कि कोई क्रिप्टोग्राफी नहीं है जो समझने लायक है। एक सरल और स्पष्ट तथ्य यह है: यदि आप इसे कर सकते हैं, तो Apple पर कोई भी कर सकता है। शायद कानून सेवाओं के अनुरोध पर। वे सभी की जरूरत है अपने गुप्त प्रश्न, कुछ है कि Apple शायद अपने आप में स्टोर * ।

Apple iMessage एन्क्रिप्शन कुंजियों को वितरित करता है

आप बैकअप का उपयोग नहीं कर रहे होंगे। इस मामले में, उपरोक्त सभी आपके बारे में नहीं है और Apple ईमानदारी से कहता है कि संदेश एंड-टू-एंड एन्क्रिप्शन का उपयोग करते हैं। इस मामले में आपको स्वयं से जो प्रश्न पूछने की आवश्यकता है वह यह है: क्या संदेश किसके लिए एन्क्रिप्ट किए गए हैं?



समस्या यह है कि एन्क्रिप्शन काम करता है अगर मेरे पास आपकी एन्क्रिप्शन कुंजी है। इसका मतलब यह है कि अगर मुझे आपसे बात करनी है, तो मुझे सबसे पहले चाबी मिलनी चाहिए। Apple ने इस समस्या का हल ढूंढ लिया है: उनके पास एक निर्देशिका है जिसे iMessage एक ईमेल पते या फोन नंबर से जुड़ी कुंजी खोजने के लिए उपयोग कर सकता है। यह बहुत अच्छा है, लेकिन यह एक और "समझौता" है: अब आप पूरी तरह से Apple को सही कुंजी देने पर निर्भर हैं।







खतरा यह है कि ऐप्पल (या हैकर जिसने ऐप्पल की कैटलॉग के साथ सर्वर पर हमला किया है) को सबसे पहले अपनी कुंजी आपको देनी होगी। अब से, आप यह नहीं जान पाएंगे कि आप इस व्यक्ति को संदेश भेज रहे हैं, न कि अपने मित्र को। **



इसके अलावा, iMessage आपको कई उपकरणों से कई कुंजियों को संबद्ध करने की अनुमति देता है। उदाहरण के लिए, आप अपने मैक को अपने फोन पर भेजे गए सभी संदेशों की प्रतियां प्राप्त करने के लिए जोड़ सकते हैं। इसके अलावा, iMessage उपयोगकर्ता को इस बात की जानकारी नहीं देता है कि एक खाते के साथ कितनी कुंजियाँ जुड़ी हैं और नई कुंजियाँ जोड़ने पर आपको सूचित नहीं करती हैं।



वास्तव में, iMessage की अखंडता इस बात पर निर्भर करती है कि Apple कैसे कुंजियों को सही ढंग से वितरित करता है। यदि Apple कोई गलती करता है (या हैकर iMessage सर्वर पर हमला करता है), तो एक आदमी के बीच में हमला संभव हो जाता है और iMessage डेटा को इंटरसेप्ट करने में ज्यादा कठिनाई नहीं होगी।



आज कुछ के लिए यह स्पष्ट है, दूसरों के लिए यह ज्यादा मायने नहीं रखता है। और हर कोई खुश है। लेकिन लोगों को कम से कम Apple द्वारा चुनी गई अवधारणा की ताकत और कमजोरियों को समझना चाहिए। इस ज्ञान के साथ, वे अपने लिए निर्धारित कर सकते हैं कि एप्पल पर कितना भरोसा किया जाना चाहिए।

Apple मेटाडेटा स्टोर कर सकता है

यद्यपि Apple आपके संदेशों की सामग्री को एन्क्रिप्ट कर सकता है, लेकिन उनके नियम उस व्यक्ति के डेटा को संग्रहीत करने की क्षमता को रोक नहीं सकते हैं जिससे आप बात कर रहे हैं। यह मेटाडेटा ज्ञात है कि एनएसए तुरंत खारिज कर देता है और (जैसा कि मैंने कहा ) कम से कम यह जानकारी एकत्र करना असंभव है, विशेष रूप से यह देखते हुए कि ऐप्पल आपके संदेशों को अपने सर्वर के माध्यम से वितरित करता है।



यह डेटा बाकी की तरह ही मूल्यवान हो सकता है। और जबकि Apple आपके संदेशों की सामग्री को संग्रहीत नहीं करता है, उनका समझौता इस सभी मेटाडेटा के बारे में कुछ नहीं कहता है।

Apple सर्टिफिकेट पिनिंग का उपयोग नहीं करता है

और अंतिम (बहुत गंभीर नहीं) बिंदु - iMessage क्लाइंट (iPhone और मैक के लिए) HTTPS प्रोटोकॉल का उपयोग करके Apple वितरण निर्देशिका के साथ संवाद (ध्यान दें कि यह संदेश इतिहास में खोज को संदर्भित करता है, वर्तमान iMessages अलग से एन्क्रिप्ट किए गए हैं और XMPP पुश का उपयोग करके यात्रा करते हैं- Apple सूचनाएं )।



HTTPS का उपयोग करना एक अच्छा विचार है और, मूल रूप से, यह अवरोधन के खिलाफ अच्छी सुरक्षा प्रदान करता है। लेकिन इसलिए सभी हमलों से बचाव न करें। अभी भी एक वास्तविक संभावना है कि एक हमलावर एक नकली प्रमाण पत्र प्राप्त कर सकता है (संभवतः प्रमाणन प्राधिकरण को नुकसान के साथ) और इस प्रकार एप्पल के साथ संपर्क को बाधित या बदल सकता है।



यहाँ यह मेरे लिए बहुत स्पष्ट नहीं है कि एक हमलावर को एक नकली प्रमाण पत्र क्यों मिलना चाहिए, प्रामाणिक नहीं। शायद इसका मतलब किसी हैकर द्वारा फर्जी प्रमाण पत्र पेश करना था?



इस तरह की चीजें उतनी क्रेजी नहीं हैं, जितना हम सोचते हैं। यह सैकड़ों ईरानी जीमेल उपयोगकर्ताओं के साथ हुआ और भविष्य में फिर से होने की संभावना है। इस समस्या का मानक समाधान सर्टिफिकेट पिनिंग है (अज्ञात प्रमाणपत्रों पर भरोसा नहीं करने के लिए आवेदन बताता है)। ट्विटर जैसे कई एप्लिकेशन ने ऐसा किया है। लेकिन Apple नहीं, जैसा कि मुझे इस पोस्ट के परीक्षण और लेखन के दौरान पता चला।

निष्कर्ष में

मैंने यह पोस्ट इसलिए नहीं लिखा क्योंकि मुझे Apple पसंद नहीं है। इसके विपरीत, मैं वास्तव में उनके उत्पादों को पसंद करता हूं और यहां तक ​​कि उनके साथ स्नान भी करेगा अगर (दुर्भाग्य से) यह गारंटी को कम नहीं करता है।



लेकिन मेरी प्रशंसा का दूसरा पहलू सरल है: मैं उनके उपकरणों पर भरोसा करता हूं और जानना चाहता हूं कि वे कितने संरक्षित हैं। मुझे कम से कम उच्च-स्तरीय विशेषज्ञों को यह समझाने में कोई Apple खामियां नहीं दिखती हैं, भले ही मैंने विवरण नहीं दिया हो। स्पष्टीकरण में एन्क्रिप्शन एल्गोरिदम के प्रकार और सिद्धांत, निर्देशिका सेवा का विवरण और प्रमुख समझौता प्रोटोकॉल शामिल होना चाहिए।

ऐप्पल बॉक्स के बाहर सोच सकता है, लेकिन जानकारी की सुरक्षा के लिए नियम उन पर लागू होते हैं। जल्दी या बाद में, कोई व्यक्ति iMessage सिस्टम को तोड़ देगा या फिर से लिखेगा। और फिर यह सब सामने आ जाएगा।

टिप्पणी:

* बेशक, यह संभव है कि एन्क्रिप्शन एन्क्रिप्शन कुंजी प्राप्त करने के लिए Apple आपके सुरक्षा प्रश्नों का उपयोग करता है। हालांकि, यह संभावना नहीं है। सबसे पहले, क्योंकि Apple शायद आपके प्रश्न / उत्तर को एक अलग फ़ाइल में संग्रहीत करता है। और यदि नहीं, तो यह संभावना नहीं है कि प्रश्नों के अधिकांश उत्तर डिक्रिप्शन के लिए पर्याप्त एन्ट्रापी संग्रहीत करते हैं। आखिरकार, दुनिया में बहुत सारे जन्मदिन और कार ब्रांड हैं। दो-चरणीय प्रमाणीकरण चीजों का सुधार कर सकता है यदि आप इसका उपयोग करते हैं। शीर्ष पर वापस जाएँ

** व्यवहार में, यह पूरी तरह से स्पष्ट नहीं है कि क्या Apple डिवाइस स्वयं कुंजी उत्पन्न करते हैं या OTR- जैसे कुंजी विनिमय की व्यवस्था करते हैं। यह स्पष्ट है कि iMessage में कुंजी की प्रामाणिकता को सत्यापित करने के लिए उपयोगकर्ताओं के लिए "फिंगरप्रिंट" या कुछ समान नहीं है, जो कि एन्क्रिप्शन में Apple के पूर्ण विश्वास का अर्थ है। इसके अलावा, iMessage आपको ऑफ़लाइन संदेश भेजने की अनुमति देता है। यह पूरी तरह से स्पष्ट नहीं है कि यह OTR के साथ कैसे काम करना चाहिए।