В Apple iOS присутствует ряд недокументированных и скрытых сервисов, которые могут быть использованы для обхода механизмов шифрования и извлечения личной информации пользователя. Несколько таких компонентов начинали как безобидные службы, но за последние годы превратились в мощный инструмент сбора пользовательских данных.

Уточнение от 31 июля: материал обновлен ссылками на реакцию Apple и дальнейший комментарий Здзярски.

Джонатан Здзярски (Jonathan Zdziarski), исследователь и IT-эксперт, много работавший с правоохранительными органами и разведслужбами, также известный участием в проектах по джейлбрейку ранних версий iOS, потратил немало времени, изучая потенциальные возможности iOS в отношении сбора данных. По его мнению, присутствие некоторых сервисов, запущенных на iOS-устройствах, на самом деле ничем не оправдано, и несколько таких служб позволяют обойти шифрование резервных копий. Одну из них, file_relay, можно активировать удаленно или при USB-подключении и с ее помощью расшифровать бэкап. Если устройство не было перезагружено после ввода PIN, получить доступ к защищенным данным смогут и злоумышленники, и правоохранительные органы.

«Используя этот инструмент в комбинации с другими сервисами, можно получить практически такую же информацию, как из полной резервной копии, — пояснил Здзярски, давая интервью. — Больше всего меня тревожит то, что шифровать бэкап в данном случае бесполезно. Хотя Apple и обещала, что при нажатии кнопки «Шифровать резервную копию» устройство будет отдавать все данные в зашифрованном виде».

С помощью file_relay можно просматривать список почтовых и социальных аккаунтов, книгу контактов, содержимое кэш-папки (скриншоты, данные автономной работы и т.п.), кэш клавиатуры и прочий пользовательский контент. Этот инструмент позволяет также получать логи текущего местоположения устройства.

Обход защитного шифрования с помощью скрытых сервисов не требует активации режима разработчика; многие из этих служб уже пять лет присутствуют в iOS. Здзярски, которому не раз доводилось извлекать данные с iOS-устройств для экспертизы, упомянул также инструмент для перехвата пакетов — pcapd. По словам эксперта, этот сервис работает в фоновом режиме и без ведома пользователя на каждом iOS-устройстве; он способен сливать все данные из входящего и исходящего HTTP-трафика. «Он установлен по умолчанию, и пользователя об этом не предупреждают, — сетует Здзярски. — Если вы собираетесь анализировать трафик на каждом устройстве, пользователей непременно следует ставить в известность».

Дебютировавший в iOS 7 сервисный элемент HFSMeta службы file_relay может создать полный образ файловой системы из одних метаданных. Предоставляемая им информация включает метаданные всех файлов, такие как время изменения, размер, дата создания, и всех установленных на устройстве приложений, имена всех вложений в письма и учетных записей электронной почты. «Некоторым из этих данных вообще не место на телефоне, — утверждает Здзярски. — HFSMeta создает образ диска из всего, что есть на устройстве, но копирует не контент, а метаданные. Это нельзя использовать даже в технических целях».

Судя по всему, некоторые недокументированные и скрытые сервисы iOS по своим возможностям сопоставимы с инструментарием АНБ, в частности с DROPOUTJEEP, о котором общественность узнала благодаря откровениям Эдварда Сноудена. Здзярски заявил, что отнюдь не расценивает раскрытые им iOS-службы как бэкдоры, установленные для спецслужб, однако допускает возможность такого применения. «Я вовсе не хочу сказать, что Apple работает на АНБ, — подчеркнул эксперт. — Но у меня есть веские причины подозревать, что АНБ знает об этих возможностях и использует их».

О своих находках Здзярски рассказал на недавно прошедшей конференции HOPE X, а также опубликовал презентацию и статью.

Дополнение от 31 июля: Apple отреагировала на опубликованные данные, дополнив свою онлайновую базу технической поддержки описанием вышеупомянутых сервисов. Компания называет их «диагностическими возможностями для корпоративных ИТ-департаментов, разработчиков и службы AppleCare». Об ответных комментариях Здзярски и реакции российских властей читайте здесь.

Категории: Аналитика, Главное, Хакеры