Новые возможности обеспечения конфиденциальности в системах Apple

На недавней конференции разработчиков WWDC2021 в числе прочего Apple показала новые возможности своих операционных систем – iOS/ iPadOS/ macOS. Их на удивление в этом году очень много, списки новшеств для каждой просто огромные. Поэтому я при всем желании не смогу охватить все, но расскажу о том, что мне понравилось больше всего – об обновлениях, которые улучшают конфиденциальность пользовательских данных. Я эту тему люблю, и вообще одобряю всё, что эту самую конфиденциальность повышает. Там не все так просто и очевидно, но некоторые функции реально очень полезны и пригодятся многим, поэтому я хочу о них рассказать больше.

Защита от трекинга в интернете

В этом году Apple уже запустила в оборот функцию App Tracking Privacy, чем вызвала немало бурлений у Facebook и других рекламных агентств. (Там, напомню, речь идёт о том, что пользователь может запретить приложениям доступ к рекламному идентификатору устройства, что существенно усложняет связку различных активностей пользователей в сети и формирования его портрета). В iOS 15 появляются две очень полезные функции, которые еще больше затрудняют мониторинг активности пользователя.

Первая такая функция – это iCloud Private Relay, который уже успели окрестить VPN от Apple. Это не совсем VPN в привычном виде, точнее даже совсем не VPN – вот как его описывает Apple:

Private Relay – это новая встроенная функция iCloud для обеспечения конфиденциальности в интернете при подключении и просмотре сайтов. Private Relay кодирует весь исходящий трафик в Safari, чтобы его нельзя было перехватить и расшифровать даже на стороне Apple или оператора связи. Затем все запросы пользователя направляются через два автономных IRC‑сервера. Первый назначает пользователю анонимный IP‑адрес, соответствующий региону, где тот находится, но не раскрывающий точное местоположение. Второй расшифровывает нужный интернет‑адрес и перенаправляет пользователя на сайт. Такое разделение информации позволяет защитить конфиденциальность пользователя, потому что никто не может определить данные и о пользователе и о посещаемых им сайтах, а затем ещё и установить между ними соответствие.

Собственно, суть этого сервиса – спрятать от посещаемого сайта (и от промежуточных точек типа вашего провайдера) информацию о том, кто вы и куда идёте. Поэтому запрос для просмотра сайта в Safari сначала поступит на промежуточный сервер Apple, где ваш он будет лишён вашего IP-адреса (и получен новый, сгенерированный случайным образом). Адрес сайта при этом будет зашифрован так, чтобы даже Apple не знала его. Второй же сервер берет анонимизированное подключение со стороны Apple, расшифровывает адрес сайта – и отправляет пользователя по тому адресу, куда он хочет попасть. В этой связке Apple знает ваш IP-адрес, но не знает сайта-конечной точки, а партнер знает о конечном сайте, но уже не знает ничего о вашем IP-адресе. В этом ключ данного решения: есть два участника, но ни один из них никогда не обладает полной информацией о запросе из браузера и о вас. А сайт, на который вы идёте, в итоге не знает вашего IP-адреса, не знает вашего местоположения, которое можно вычислить из IP-адреса, и может ориентироваться только на примерное местоположение. Соответственно, создать некий «портрет IP-адреса» с его историей посещений тоже будет очень сложно. Поскольку соединение зашифрованное, то и ваш провайдер тоже не будет знать, куда именно вы ходите. Apple утверждает, что и она тоже ничего об этом не будет знать, поскольку для компании все максимально анонимизировано. В комбинации с блокировкой фингерпринтинга браузеров эти нововведения должны сильно огорчить интернет-трекеры.

Сразу несколько важных комментариев по поводу путаницы, которая возникла с этой функциональностью:

А) это будет работать для всех пользователей, которые оплачивают 50ГБ iCloud пространства или выше, включая тарифы Apple One;

Б) Работает это только для (На данный момент. Возможно, в перспективе что-то изменится):

– просмотра страниц в браузере Safari;

– Запросов DNS;

– трафика из приложений по http (таких должно быть мало, Apple достаточно давно начала требовать поддержку https в приложениях).

Не работает:

– для сторонних приложений;

– локального трафика;

– трафика через VPN.

В) Вы не сможете, как в случае с традиционными VPN-сервисами, изменить себе страну для доступа к каким-то сервисам;

Г) В разных странах для второго сервера будет использоваться локальный партнёр, сервера которого находятся в стране вашего пребывания, поэтому вряд ли это позволит обойти блокировки контента, которые могут быть в вашей стране. Вам, по сути, сгенерят некий IP-адрес из примерно вашего региона, поэтому с точки зрения доступа во внешний мир к «запрещенным ресурсам» ничего особо не изменится;

Д) Этот режим несовместим с традиционными VPN-сервисами. Если вы запускаете подключение к VPN, то Private Relay отключается.

Не очень понятно, как эта схема будет стыковаться, например, со следственными действиями и запросами правоохранительных органов про доступ с определенных IP-адресов к определённым ресурсам, но фраза про «вычислить по IP» определенно начинает терять свою актуальность.

Вторая важная функция минимизации мониторинга активности – блокировка трекинга в почте. Многие пользователи не знают этого, но огромное количество приходящей вам почты мониторит, когда и как вы открываете письма. Для этого в почте может быть встроен невидимый пиксель (картинка размером с 1х1 пиксель), вся суть которой – сообщить о вас информацию, когда вы откроете письмо. Этот пиксель может получить ваш IP-адрес, а, значит, примерно представлять себе ваше местоположение. Он также может сообщить информацию о самом факте открытия письма, количестве раз, которые вы открывали письмо, сообщить какую-то дополнительную информацию о характеристиках вашего устройства. Все это может быть использовано как для мониторинга активности и построения «интернет-портрета», так и для банальной слежки за вами. Для почтовых клиентов, в том числе родного Mail на macOS, бывают дополнительные модули, которые блокируют подобные пиксели:

Вот, например, такой плагин у меня в почтовом клиенте предотвращает загрузку трекера.

Но теперь это будет блокироваться на уровне системы, а точнее – на уровне, по сути, того же самого Private Relay Server. Картинки из письма в формате HTML, которые загружаются в письме, будут пропускаться через private relay сервер, анонимизируя ваш IP-адрес. Причём, если я правильно понял, загрузка картинок будет происходить в каком-то фоновом режиме для того, чтобы осложнить отметку о времени прочтения письма. Эту часть пока что я не очень понимаю, как именно это реализовано – надо будет подождать дополнительной информации по этому поводу в обновлении документа Platform Security или других разъяснений Apple. В любом случае, это тоже отличный механизм отсекания всяких любителей заглядывать через плечо, и это можно только приветствовать.

Проверка конфиденциальности приложений

В дополнение к обязательному заполнению формы разработчиками приложений, чтобы указать, что и как приложение собирает о пользователе, которая показывается в App Store, Apple добавила также функцию мониторинга приложений. Она выключена по умолчанию, потому что, я подозреваю, может пожирать немало ресурсов. Но если её включить, эта функция создает отчеты о работе приложений и всех ресурсах, к которым обращалось приложение. Это могут быть как системные ресурсы в виде микрофона или геолокации, так и всевозможные ресурсы в интернете. Большинству пользователей список доменных имен может и не сказать ничего, но исследователям безопасности может пригодиться такой отчет, в том числе и для детекции заражений системы шпионскими приложениями. Именно поэтому отчет сохраняется в виде JSON файла, и дальше уже те, кто знают, что с ним делать, смогут с этими данными разобраться.

Многие помнят скандалы, в том числе и с Apple, когда оказывалось, что часть запросов к голосовым помощникам оказывалась у подрядчиков, где реальные люди прослушивали эти запросы. Речь идет, как правило, о проверке качества распознавания запросов, случайных срабатываниях или о случаях нераспознанных запросов, но факт остается фактом: часть таких запросов могла содержать личные данные устройств, и они могли попадать к другим людям. В прошлом году Apple добавила опцию, с помощью которой можно было отказаться от обработки ваших запросов в оффлайне, но в этом году компания пошла даже дальше. Теперь все голосовые запросы к Siri обрабатываются по умолчанию на устройстве, в том числе и без подключения к интернету. Думаю, что самых упорных параноиков это не убедит, но они должны быть гораздо больше озабочены теориями заговоров о постоянном прослушивании разговоров через микрофон устройств.

Парочка дополнительных функций, которые тоже входят в состав iCloud+:

– расширена поддержка защищённого видео HomeKit – теперь те, кто платят за тариф с 2ТБ пространства, могут подключить неограниченное количество камер (записи с HomeKit Secure Video не учитываются в этом дисковом пространстве). Если у вас тариф с 50ГБ – подключить можно одну камеру, если с 200ГБ – до пяти камер;

– Добавлена функция генерации бесконечного количества случайных почтовых адресов, чтобы использовать их для регистрации в разных сервисах. Удобно, чтобы не отдавать свой настоящий адрес, но также удобно, когда надо проверить, кто же на самом деле сливает ваши данные направо и налево. Произвольный адрес «сделать» себе нельзя, но если повезет, то генератор «сбацает» вам что-то интересное.

Это самые крупные улучшения функциональности, но есть и другие, не такие заметные, но тоже полезные:

• Intelligent Tracking Prevention в Safari теперь умеет предотвращать доступ трекеров к вашему IP-адресу;

• В дополнение к тому, что раньше можно было дать доступ приложению только к определенному фото, что очень безопасно, но очень неудобно, теперь можно указать конкретную папку или альбом без того, чтобы давать доступ ко всем фото. Вот бы такое еще для адресной книги сделали!

• Добавили функцию безопасного копирования, в рамках которой разработчики могут сделать так, что информация, скопированная из их приложения, недоступна другим приложениям до момента вставки. То есть чужие приложения не могут прочесть информацию в буфере обмена «просто потому что им захотелось»;

• Разовый доступ к информации о геолокации с помощью специальной кнопки в приложении – по окончании сеанса у разработчика больше не будет доступа к этим данным;

• Safari автоматически загружает контент по HTTPS, если сайт поддерживает этот стандарт, но пользователь почему-то решил загрузить HTTP-версию;

• CVV-код Apple Card можно будет регулярно менять, чтобы обезопасить карту при онлайн-транзакциях;

• Телефон автоматически переключается на получение данных по 5G, если вы подключены к незащищенной сети WiFi;

• В macOS Monterey добавили индикатор использования микрофона рядом с иконкой Центра управления. В самом Центре можно посмотреть, какое именно приложение использовало микрофон.

Подозреваю, что «под капотом» есть еще интересные нововведения, о которых мы узнаем из обновленного документа Platform Security, регулярно публикуемого Apple. Apple отлично усвоила тот факт, что конфиденциальность может быть замечательной маркетинговой функцией устройств и программного обеспечения, но если от этого еще и выигрывают пользователи, то пусть и дальше развивают эту функцию!

Новые возможности обеспечения конфиденциальности в системах Apple

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365