Re: [nexa] nexa Digest, Vol 139, Issue 21
Caro Alberto, Chi ha scritto quanto sotto non capisce il problema e non sa di che cosa sta parlando. 1) OCSP _deve_ essere in HTTP - essendo un protocollo per verificare scaricare i certificati pubblici delle certification authority. Non sarebbe possibile scaricare un certificato da verificare usando lo stesso certificato per cifrare la comunicazione (chicken and egg problem). 2) Il download di Big Sur richiede (giustamente!) la certificazione del server da cui scaricare l’update - per ovvi motivi. Il carico eccessivo ha fatto crollare i server OCSP. E quindi impedire ulteriori richieste di download. 3) Quanto sopra non c’entra NULLA con la raccolta di informazioni statistiche e di debug relative ad applicazioni in uso - che certo non avviene tramite protocollo OCSP su HTTP. Ipotizzo che il blocco del servizio OCSP abbia bloccato/reso malfunzionante anche questa raccolta dati in quanto il servizio non poteva usare cifratura per gli stessi motivi di cui sopra. 4) Durante l’installazione del SO, e ad ogni aggiornamento dell'SO, apple chiede espressamente se vuoi partecipare alla raccolta dati, con una pagina chiara e dedicata. Questo sia per MacOS, iOS, iPadOS. 5) Tale opzione si può cambiare in qualunque momento da pannello di controllo, con 3 semplici click (da pannello controll -> Sicurezza e Privacy -> Privacy -> Analisi e miglioramenti) 6) Nello stesso pannello ci sono chiare informazioni su che dati sono condivisi. Sotto un estratto delle stesse. In sostanza - tanto rumore per nulla. Un caro saluto M — I dati di analisi comprendono le specifiche hardware e software del tuo computer, inclusi i dati sui dispositivi connessi al Mac, la versione del sistema operativo e le app installate. Le informazioni che potrebbero consentire di identificarti non vengono salvate nei resoconti generati dal Mac e vengono trattate in conformità alle politica di tutela della privacy di tipo differenziale. In alternativa, prima di essere inviati ad Apple, tale tipo di dati viene eliminato dai resoconti. Se vuoi inviare una descrizione delle attività che stavi svolgendo nel momento in cui si è verificato il problema, fai clic sull’icona a triangolo e inserisci i tuoi commenti, facendo attenzione a non inserire informazioni personali. […] Per visualizzare le informazioni di analisi che vengono inviate ad Apple, puoi utilizzare l’app Console. Apri l'app Console, quindi nella barra laterale fai clic su “Dati di analisi Mac”. Console mostra le informazioni di analisi anche se non hai selezionato l’opzione per l’invio automatico dei resoconti. Gli elementi in SubmitDiagInfo indicano quando le informazioni di analisi sono state inviate ad Apple. […] Tutte le informazioni di analisi vengono inviate ad Apple in forma anonima. […] Puoi scegliere di non condividere i dati relativi ai blocchi e le statistiche d'uso con gli sviluppatori di terze parti. Per farlo, vai in Preferenze di Sistema > Sicurezza e Privacy > Privacy, fai clic su “Analisi e miglioramenti” e deseleziona “Condividi con gli sviluppatori di app”. […] — Prof. Marco Mellia SmartData@PoliTO coordinator - https://smartdata.polito.it Dipartimento di Elettronica e Telecomunicazioni Politecnico di Torino Corso Duca Degli Abruzzi 24 10129 - Torino - IT Tel: +39-011-090-4173 (DET / Polito) Tel: +39-011-090-3901 (SmartData / OGR) Cel: +39-331-6714789 Skype: mgmellia Home page: https://www.telematica.polito.it/member/marco-mellia/ Il giorno 15 nov 2020, alle ore 09:44, nexa-request@server-nexa.polito.it<mailto:nexa-request@server-nexa.polito.it> ha scritto: Message: 4 Date: Sun, 15 Nov 2020 08:44:51 +0000 From: Alberto Cammozzo <ac+nexa@zeromx.net<mailto:ac+nexa@zeromx.net>> To: Stefano Quintarelli <stefano@quintarelli.it<mailto:stefano@quintarelli.it>>, Nexa <nexa@server-nexa.polito.it<mailto:nexa@server-nexa.polito.it>> Subject: Re: [nexa] Jeffrey Paul: Your Computer Isn't Yours Message-ID: <63D56C0D-FEA8-42EC-A210-4D6D54A4E4BF@zeromx.net<mailto:63D56C0D-FEA8-42EC-A210-4D6D54A4E4BF@zeromx.net>> Content-Type: text/plain; charset="utf-8" Non saprei. Segnalo un commento che farebbe pensare di no. Se la sicurezza viene centralizzata diventa censura, anche concedendo che non sia censura by design... Does Apple really log every app you run? A technical look <https://blog.jacopo.io/en/post/apple-ocsp/> Apple?s launch of macOS Big Sur was almost immediately followed by server issues which prevented users from running third-party apps on their computers. While a workaround was soon found by people on Twitter, others raised some privacy concerns related to that issue. Hey Apple users: If you're now experiencing hangs launching apps on the Mac, I figured out the problem using Little Snitch. It's trustd connecting to https://t.co/FzIGwbGRan Denying that connection fixes it, because OCSP is a soft failure. (Disconnect internet also fixes.) pic.twitter.com/w9YciFltrb<http://pic.twitter.com/w9YciFltrb> ? Jeff Johnson (@lapcatsoftware) November 12, 2020 What is OCSP? OCSP stands for Online Certificate Status Protocol1. As the name implies, it is used to verify the validity of a certificate without having to download and scan large certificate revocation lists. macOS uses OCSP to make sure that the developer certificate hasn?t been revoked before an app is launched. As Jeff Johnson explains in his tweet above, if macOS cannot reach Apple?s OCSP responder it skips the check and launches the app anyway - it is basically a fail-open behaviour. The problem is that Apple?s responder didn?t go down; it was reachable but became extremely slow, and this prevented the soft failure from triggering and giving up the check. It is clear that this mechanism requires macOS to contact Apple before an app is launched. The sudden public awareness of this fact, brought about by Apple?s issues, raised some privacy concerns and a post from security researcher Jeffrey Paul2 became very popular on Twitter. He claims that In the current version of the macOS, the OS sends to Apple a hash (unique identifier) of each and every program you run, when you run it. That would be creepy indeed. To make things worse, it is common for OCSP to use HTTP - I?m talking about good old plaintext HTTP on port 80, none of that HTTPS rubbish. There is usually a good reason for this, that becomes especially clear when the OCSP service is used for web browsers: preventing loops. If you used HTTPS for checking a certificate with OCSP then you would need to also check the certificate for the HTTPS connection using OCSP. That would imply opening another HTTPS connection and so on. Of course while OCSP does not mandate encryption, it does require that responses are signed by the server. This still doesn?t solve the initial concern that anyone with a traffic analyzer on your network could evasdrop every app you open and when you open it. Diving deeper Knowing some OCSP basics, more questions arise. OCSP is about checking certificates; why should this have anything to do with sending out hashes of apps you run? Does macOS really compute the hash of each executable at each launch? What about very large ones? That would take a significant amount of time; is it possible that nobody noticed? Maybe the hash is computed only once (e.g. the first time you run the app) and it is stored somewhere. But I?m not convinced and I think these claims needs more research.[...] On November 14, 2020 9:53:31 PM UTC, Stefano Quintarelli <stefano@quintarelli.it<mailto:stefano@quintarelli.it>> wrote: ciao, non c'e' un setting nel sistema operativo per dire "non mandare info a apple" ? ciao, s. On 14/11/2020 22:31, Alberto Cammozzo via nexa wrote: <https://sneak.berlin/20201112/your-computer-isnt-yours/ <https://sneak.berlin/20201112/your-computer-isnt-yours/>> Your Computer Isn't Yours 12 November 2020 It?s here. It happened. Did you notice? I?m speaking, of course, of the world that Richard Stallman predicted in 1997. The one Cory Doctorow also warned us about. On modern versions of macOS, you simply can?t power on your computer, launch a text editor or eBook reader, and write or read, without a log of your activity being transmitted and stored. It turns out that in the current version of the macOS, the OS sends to Apple a hash (unique identifier) of each and every program you run, when you run it. Lots of people didn?t realize this, because it?s silent and invisible and it fails instantly and gracefully when you?re offline, but today the server got really slow and it didn?t hit the fail-fast code path, and everyone?s apps failed to open if they were connected to the internet. Because it does this using the internet, the server sees your IP, of course, and knows what time the request came in. An IP address allows for coarse, city-level and ISP-level geolocation, and allows for a table that has the following headings: Date, Time, Computer, ISP, City, State, Application Hash Apple (or anyone else) can, of course, calculate these hashes for common programs: everything in the App Store, the Creative Cloud, Tor Browser, cracking or reverse engineering tools, whatever. This means that Apple knows when you?re at home. When you?re at work. What apps you open there, and how often. They know when you open Premiere over at a friend?s house on their Wi-Fi, and they know when you open Tor Browser in a hotel on a trip to another city. ?Who cares?? I hear you asking. [...] _______________________________________________ nexa mailing list nexa@server-nexa.polito.it<mailto:nexa@server-nexa.polito.it> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa -- reserve your meeting with me at https://cal.quintarelli.it<https://cal.quintarelli.it/>
Carissimi, "MELLIA MARCO" <marco.mellia@polito.it> writes:
Caro Alberto,
Chi ha scritto quanto sotto non capisce il problema e non sa di che cosa sta parlando.
Jeffrey Paul (pare) ha fatto un grave errore nel dire che tra le informazioni inviate c'è l'"Application hash", Jacopo Jannone - come prontamente segnalato da Alberto - lo ha corretto in https://blog.jacopo.io/en/: --8<---------------cut here---------------start------------->8--- * No, macOS does not send Apple a hash of your apps each time you run them. * You should be aware that macOS might transmit some opaque information about the developer certificate of the apps you run. This information is sent out in clear text on your network. --8<---------------cut here---------------end--------------->8--- Da questo ricavarne che Jeffrey Paul non conosce quello di cui parla è almeno ingeneroso, anche perché nel suo articolo Paul dice delle cose interessanti oltre alla (presunta) sciocchezza in merito all'invio dell'hash: quella è solo una *parte* della storia, non "buttiamo" il resto come spazzatura, neh :-) D'altronde sarei curioso di leggere un commento di Jeffrey Paul in merito a quento riscontrato da Jannone.
1) OCSP _deve_ essere in HTTP - essendo un protocollo per verificare scaricare i certificati pubblici delle certification authority. Non sarebbe possibile scaricare un certificato da verificare usando lo stesso certificato per cifrare la comunicazione (chicken and egg problem).
...a meno che in macOS ci sia, in locale e scaricato tramite aggiornamenti non OCSP, il certificato X.509 del server OCSP interrogato... ma mi pare che proprio il protocollo OCSP non preveda minimamente questo use-case; ma questo non è il punto.
2) Il download di Big Sur richiede (giustamente!) la certificazione del server da cui scaricare l’update - per ovvi motivi. Il carico eccessivo ha fatto crollare i server OCSP. E quindi impedire ulteriori richieste di download.
No, non è così: le richieste OCSP non vengono fatte solo per il download delle applicazioni ma anche ad ogni esecuzione di software: (https://blog.jacopo.io/en/post/apple-ocsp/) --8<---------------cut here---------------start------------->8--- [...] As Jeff Johnson explains in his tweet above, if macOS cannot reach Apple’s OCSP responder it skips the check and launches the app anyway - it is basically a fail-open behaviour. The problem is that Apple’s responder didn’t go down; it was reachable but became extremely slow, and this prevented the soft failure from triggering and giving up the check. It is clear that this mechanism requires macOS to contact Apple before an app is launched. The sudden public awareness of this fact, brought about by Apple’s issues, [...] --8<---------------cut here---------------end--------------->8--- Quindi in macOS *ogni* esecuzione di una applicazione genera una richiesta del demone trustd al server OCSP di Apple. Se il server OSCP è estremamente lento - per esempio sotto attacco DoS - il meccanismo di "fallback" (ignora la richiesta) non scatta e l'applicazonenon parte. Come minimo si può dire che non è una scelta sistemistica molto brillante, lato sistema operativo Solo per *accennare* alla questione della sicurezza dei binari distribuiti in un sistema operativo, faccio notare che altri - si prenda ad es. Debian - hanno adottato un approccio del tutto diverso (e non fanno richieste OCSP ad ogni esecuzione di software).
3) Quanto sopra non c’entra NULLA con la raccolta di informazioni statistiche e di debug relative ad applicazioni in uso - che certo non avviene tramite protocollo OCSP su HTTP.
Per qualsiasi scopo venga usato OCSP la cosa importante è sapere che _esistono_ problemi di privacy *e* di sicurezza legati al suo utilizzo, Alberto ha già risposto (<ef4e770f-d9b1-f74a-6dd6-46773e135229@zeromx.net>) in merito a questi aspetti. Io aggiungo "solo" che OCSP è semplicemente la risposta sbagliata a una serie di seri problemi di sicurezza dell'intero sistema X.509. Punto. :-)
Ipotizzo che il blocco del servizio OCSP abbia bloccato/reso malfunzionante anche questa raccolta dati in quanto il servizio non poteva usare cifratura per gli stessi motivi di cui sopra.
No: da quello che leggo (non conosco nessuno che ha macOS) l'estremo rallentamento del server centrale OCSP di Apple ha reso impossibile utilizzare le applicazioni installate sul proprio sistema.
4) Durante l’installazione del SO, e ad ogni aggiornamento dell'SO, apple chiede espressamente se vuoi partecipare alla raccolta dati, con una pagina chiara e dedicata. Questo sia per MacOS, iOS, iPadOS.
Ah se è per questo Apple ne dice tante, bisogna "solo" saperle interpretare... e fidarsi. [...]
5) Tale opzione si può cambiare in qualunque momento da pannello di controllo, con 3 semplici click (da pannello controll -> Sicurezza e Privacy -> Privacy -> Analisi e miglioramenti)
--8<---------------cut here---------------start------------->8--- Le informazioni che potrebbero consentire di identificarti non vengono salvate nei resoconti generati dal Mac e vengono trattate in conformità alle politica di tutela della privacy di tipo differenziale. [...] Tutte le informazioni di analisi vengono inviate ad Apple in forma anonima. --8<---------------cut here---------------end--------------->8--- Quindi: Apple sa *tutto*, si tratta "solo" di avere abbastanza metadati per incrociare i dati e sappiamo come si fa.
In sostanza - tanto rumore per nulla.
Proprio per nulla no, perché comunque quel giorno molti utenti macOS non sono riusciti ad aprire le loro applicazioni. Purtroppo Jeffrey Paul ha (probabilmente) commesso un grave errore nel denunciare che con le richeste OCSP vengono trasmessi in chiaro (http) anche gli hash delle applicazioni, *ma* - e sottolineo *ma* - certe agenzie dedite alla sorveglianza globale non hanno bisogno di intercettare il traffico in chiaro per sapere quali applicazioni sono installate su un dispositivo, considerato che quelle informazioni sono senza dubbio conservate da Apple [1] e oggetto di richieste FISA: https://www.apple.com/legal/transparency/ (sezione United States National Security, si apre solo via JS non c'è un puntatore diretto): --8<---------------cut here---------------start------------->8--- U.S. National Security requests seek customer data in response to national security related investigations. National Security requests include orders received under the Foreign Intelligence Surveillance Act (“FISA”) and National Security Letters (“NSLs”). To date, Apple has not received any orders for bulk data. Apple reports national security requests received for Apple users/accounts (NSLs and orders received under FISA) within bands permissible by law pursuant to the USA FREEDOM Act of 2015 (“USA Freedom”). Though we want to be more specific, these are currently the ranges and level of detail permitted under USA Freedom for reporting U.S. National Security requests. --8<---------------cut here---------------end--------------->8--- Comunque sì, direi che questa storia sposta solo di uno zerovirgola la questione fondamentale in merito a privacy *e* sicurezza dei sistemi proprietari posta da Alberto Berti (<87361aqfvg.fsf@metapensiero.it>): --8<---------------cut here---------------start------------->8--- Viene da chiedersi se chi compra prodotti Apple non abbia già espresso più o meno coscientemente la volontà di farsi "controllare", quindi se non sia un po' vano discutere di libertà dell'utente di una piattaforma così chiusa. --8<---------------cut here---------------end--------------->8--- D'altronde sono tanti gli episodi storici documentati, ormai: https://www.gnu.org/proprietary/malware-apple.html.en Ovviamente la cosa non è limitata ad Apple o macOS, non facciamone una questione di marca e modello :-D [...] Saluti, Giovanni -- Giovanni Biscuolo
"Giovanni" == Giovanni Biscuolo <giovanni@biscuolo.net> writes:
Giovanni> Jeffrey Paul (pare) ha fatto un grave errore nel dire che tra le Giovanni> informazioni inviate c'è l'"Application hash", Jacopo Jannone - come Giovanni> prontamente segnalato da Alberto - lo ha corretto in Giovanni> https://blog.jacopo.io/en/: Giovanni> * No, macOS does not send Apple a hash of your apps each time you run Giovanni> them. Giovanni> * You should be aware that macOS might transmit some opaque information Giovanni> about the developer certificate of the apps you run. This information Giovanni> is sent out in clear text on your network. [...] Giovanni> D'altronde sarei curioso di leggere un commento di Jeffrey Paul in Giovanni> merito a quento riscontrato da Jannone. C'è, in un aggiornamento in fondo al post. Argomenta di come spesso vi sia una relazione uno a uno tra lo sviluppatore e la app. Comunque resta la questione che ciò avvenga ad ogni avvio delle applicazioni: mi pare che possa essere sfruttato per creare una associazione tra un certo momento (quando la richiesta viene fatta), un certo luogo, non necessariamente preciso: una zona direi (l'IP) e una applicazione o al massimo un gruppo di applicazioni. Giovanni> No: da quello che leggo (non conosco nessuno che ha macOS) l'estremo Giovanni> rallentamento del server centrale OCSP di Apple ha reso impossibile Giovanni> utilizzare le applicazioni installate sul proprio sistema. già, o parafrasando: I server OCSP di Apple hanno dovuto far fronte ad una mole di richieste riguardo all'avvio delle applicazioni tale da creare un degrado nella qualità del servizio. >> 4) Durante l’installazione del SO, e ad ogni aggiornamento dell'SO, >> apple chiede espressamente se vuoi partecipare alla raccolta dati, con >> una pagina chiara e dedicata. Questo sia per MacOS, iOS, iPadOS. Giovanni> D'altronde sono tanti gli episodi storici documentati, ormai: Giovanni> https://www.gnu.org/proprietary/malware-apple.html.en ah, grazie, non conoscevo. Giovanni> Ovviamente la cosa non è limitata ad Apple o macOS, non Giovanni> facciamone una questione di marca e modello :-D quindi ne faccio una questione *anche* di Apple o macOS.... saluti -- Alberto Berti - Information Technology Consultant PGP: 9377 A68C C5B5 B534 36BD F20B E3B5 C559 99D6 7CF9 "gutta cavat lapidem"
Buongiorno Alberto, come sospettavo, forse Jeffrey Paul non è proprio così del tutto sprovveduto come ho malignamente pensato. Alberto Berti <alberto@metapensiero.it> writes:
"Giovanni" == Giovanni Biscuolo <giovanni@biscuolo.net> writes:
[...]
Giovanni> D'altronde sarei curioso di leggere un commento di Giovanni> Jeffrey Paul in merito a quento riscontrato da Jannone.
C'è, in un aggiornamento in fondo al post.
Ho visto adesso grazie, quando avevo scritto in lista nexa ancora non c'era l'aggiornamento (ho aspettano anche un po' per vedere se arrivava). Paul è stato anche così paziente da rispondere all'email che gli ho inviato per chiedergli chiarimenti, dicendo sostanzialmente quello che spiega nell'update di oggi delle 16:06 UTC del suo post (https://sneak.berlin/20201112/your-computer-isnt-yours/) L'aggiornamento è da leggere, c'è poco da aggiungere; mi permetto solo di riportare un'ulteriore interessante considerazione: --8<---------------cut here---------------start------------->8--- (All of you that are too-clever-by-half incorrectly commenting about TLS trust circular dependencies and how OCSP has to be unencrypted to work can stop now.) It sucks that they’ve let the NSA, CIA, your ISP, et al slurp up this unencrypted pattern-of-life data off the wire for the last 2+ years, and they’re still going to transmit the data (encrypted) to Apple in realtime, on by default every single mac, but at least the 0.01% of mac users who know about it now can turn it off, so Apple will only get a realtime log of what apps you open, when, and where for the other 99.99% of mac users. Cool. It’s possible they’ll use a bloom filter or some other privacy-preserving way of distributing the certificate revocation data that doesn’t actually transmit app launch activity, but given that every single version of iOS now begs me to re-enable analytics no matter how many times I repeatedly opt out, I’m not holding my breath here. We won’t know until they update this process, which they’ve only committed to doing sometime in the next year, which shows you how much of a priority your privacy is to them. --8<---------------cut here---------------end--------------->8--- Giusto per mettere i puntini sulle u in merito a OCSP, dati trasmessi sulle applicazioni eseguite e opt-out dalla telemetria (ma non dovrebbe essere opt-in, cioè *esattamente* l'opposto di quello che accade?). ...non che macOS sia meno sicuro per questo, comunque.
Argomenta di come spesso vi sia una relazione uno a uno tra lo sviluppatore e la app. Comunque resta la questione che ciò avvenga ad ogni avvio delle applicazioni: mi pare che possa essere sfruttato per creare una associazione tra un certo momento (quando la richiesta viene fatta), un certo luogo, non necessariamente preciso: una zona direi (l'IP) e una applicazione o al massimo un gruppo di applicazioni.
Sì certo: telemetria dell'utente di un sistema macOS. Niente di più e niente di meno. [...] Bene, chiarezza è stata fatta? :-D Saluti, Giovanni -- Giovanni Biscuolo
Ciao Giovanni,
"Giovanni" == Giovanni Biscuolo <giovanni@biscuolo.net> writes:
Giovanni> Bene, chiarezza è stata fatta? :-D Solo un'ultima news al riguardo: https://sixcolors.com/link/2020/11/in-wake-of-server-outage-new-apple-suppor... Dove viene riportata l'affermazione di Apple di non utilizzo ti tali dati e la promessa futura di rendere più "sicuro" lo scambio di dati. Saluti, Alberto -- Alberto Berti - Information Technology Consultant PGP: 9377 A68C C5B5 B534 36BD F20B E3B5 C559 99D6 7CF9 "gutta cavat lapidem"
participants (3)
-
Alberto Berti -
Giovanni Biscuolo -
MELLIA MARCO