- 研究者がLinuxマシンをAppleのFind Myネットワーク上の信頼済みデバイスとして登録し、Apple本来なら自社ハードウェア専用としているリアルタイムの位置情報を取得することに成功
- 今回の手法は大規模監視につながるような悪用ではなく、あくまで友人があらかじめ同意していた位置情報共有を読み取るという限定的なものであり、無関係なApple製品ユーザーの位置を密かに特定できるわけではない
- プロトコルのリバースエンジニアリングにかかった期間は1週間足らずで、Appleは使用された手法についての問い合わせに対し沈黙を保っている
AppleはFind My機能を自社デバイスのみに限定していますが、セキュリティ研究者による最近の試みは、その壁が参入障壁としては比較的脆いものであることを示唆しています。
「Zerotistic」と名乗る22歳のセキュリティ研究者が、通常のLinuxマシンをAppleネットワーク上の信頼済みノードとして登録し、その新たなステータスを利用して、Appleが本来iPhoneやiPadといった自社デバイスにしか提供していないリアルタイムの人物位置情報を受信できた経緯を文書化しました。
Find MyはAirTag、iPhone、iPadなどのハードウェアを探すためのAppleの総合ツールですが、家族や友人と自分の居場所を共有する機能も備えています。Appleはこれまでこの機能を特に厳重に守ってきましたが、今回のセキュリティ研究者が標的にしたのも、まさにこの機能でした。これにより、本来Appleがエコシステムの一部として完全に管理していないデバイスを持ち込むことに成功した形です。
同意があって初めて成立する興味深いトリック
そもそも、この作業自体が容易ではありませんでした。LinuxのプロセスがAppleのエコシステムに属する正規のApple製デバイスであるとAppleのバックエンドに信じ込ませ、Find Myプラットフォーム経由で共有される情報を託されるようにするには、多くの試行錯誤が必要でした。
ここで明確にしておくべき重要な点は、Appleのシステムが厳密な意味で「侵害」されたわけではないということです。この手法でも、セキュリティ研究者が構築したLinuxクライアントが読み取れるデータを、友人側が共有する必要がある点は変わりません。
現在Appleは、受信側の端末がそのアカウントに属し、データを適切に扱えると信頼できた場合にのみ、自社のプライベートなプッシュ通知サービス経由で人物の位置情報を送信します。つまり、LinuxマシンがAppleのサーバーに問い合わせを行い、受信した情報を処理するには、Apple独自の「言語」を話せる必要があったということです。
そのためには、Apple Identity Services(IDS)証明書の取得が必要でした。これはAppleの内部フレームワークがApple Accountと特定のハードウェアを紐付けるために使う専用のデバイス・メッセージング認証情報で、さらにエンドツーエンド暗号化キーとプッシュ通知トークンも必要でした。具体的には、証明書署名要求(CSR)を作成し、Appleの旧式の登録用エンドポイントに送信する作業が伴いました。
これが完了すると、署名済み証明書を持つLinuxマシンは自身のリクエストに署名し、Find Myデバイスとして登録できるようになりますが、機能させるにはさらに6つの異なるサブサービスへの登録が必要でした。登録リクエストも、IDS証明書と、初期のネットワーク設定時に取得したAPNs証明書を使って署名する必要がありました。
その後、研究者はSubscribeAndFetchリクエストを発行し、友人のApple製デバイスから暗号化された位置情報キーを、Apple製デバイスになりすましたLinuxマシンへと引き渡しました。
Appleにとって懸念材料となりそうなのは、その速さです。一連のパイプライン構築は、わずか1週間で完成しました。しかもジェイルブレイクや流出した鍵、Macですら不要でした。代わりに用いられたのはオープンソースのクライアントとデコンパイルしたデーモンが中心で、試行錯誤を重ねた末に、最終的に成果を得た形です。
この手法には限界もあります。見ず知らずの相手を標的にすることはできず、友人であっても追跡には本人の同意が必要です。この事実は、Find Myを巡るAppleの防壁が暗号的な鍵というより、Appleが運用する分かりにくいプロトコルに支えられていることを示しています。あるデバイスがApple製であるかのように振る舞いさえすれば、エコシステムはそれを信頼できないノードではなく、いわば「家族の一員」として扱ってしまうのです。
Appleは、この実証されたトリックへの対処や、抜け穴の修正を近く予定しているかどうかについてのメディアからの問い合わせに対し、まだ回答していません。
