دانيال هروسكا يعد إرسال الرسائل عبر iMessage وسيلة شائعة للتواصل بين أجهزة iOS وأجهزة كمبيوتر Mac. تتم معالجة عشرات الملايين من الرسائل بواسطة خوادم Apple يوميًا، ومع نمو مبيعات الأجهزة التي تعمل بنظام Apple، تزداد أيضًا شعبية iMessage. ولكن هل فكرت يومًا في كيفية حماية رسائلك من المهاجمين المحتملين؟
صدر مؤخرا أبل dokument وصف أمان iOS. فهو يصف بشكل جيد آليات الأمان المستخدمة في iOS - النظام، وتشفير البيانات وحمايتها، وأمن التطبيقات، واتصالات الشبكة، وخدمات الإنترنت، وأمن الأجهزة. إذا كنت تفهم القليل عن الأمان وليس لديك مشكلة في اللغة الإنجليزية، فيمكنك العثور على iMessage في الصفحة رقم 20. وإذا لم يكن الأمر كذلك، فسأحاول وصف مبدأ أمان iMessage بأكبر قدر ممكن من الوضوح.
أساس إرسال الرسائل هو تشفيرها. بالنسبة إلى الأشخاص العاديين، غالبًا ما يرتبط هذا بإجراء تقوم فيه بتشفير الرسالة باستخدام مفتاح ويقوم المستلم بفك تشفيرها باستخدام هذا المفتاح. يسمى هذا المفتاح متماثل. النقطة الحاسمة في هذه العملية هي تسليم المفتاح للمستلم. إذا استولى أحد المهاجمين عليها، فيمكنه ببساطة فك تشفير رسائلك وانتحال شخصية المستلم. للتبسيط، تخيل صندوقًا به قفل، يتسع لمفتاح واحد فقط، وبهذا المفتاح يمكنك إدراج محتويات الصندوق وإزالتها.
لحسن الحظ، هناك تشفير غير متماثل باستخدام مفتاحين - عام وخاص. المبدأ هو أن الجميع يمكنهم معرفة مفتاحك العام، وبالطبع أنت فقط من يعرف مفتاحك الخاص. إذا أراد شخص ما أن يرسل لك رسالة، فسوف يقوم بتشفيرها باستخدام مفتاحك العام. لا يمكن بعد ذلك فك تشفير الرسالة المشفرة إلا باستخدام مفتاحك الخاص. إذا تخيلت صندوق بريد مرة أخرى بطريقة مبسطة، فهذه المرة سيكون به قفلين. باستخدام المفتاح العام، يمكن لأي شخص فتحه لإدراج المحتوى، ولكن لا يمكن لأحد سواك تحديده باستخدام مفتاحك الخاص. ومن المؤكد أنني سأضيف أن الرسالة المشفرة بمفتاح عام لا يمكن فك تشفيرها باستخدام هذا المفتاح العام.
كيف يعمل الأمان في iMessage:
- عند تنشيط iMessage، يتم إنشاء زوجين من المفاتيح على الجهاز - 1280b RSA لتشفير البيانات و256b ECDSA للتحقق من عدم العبث بالبيانات على طول الطريق.
- يتم إرسال المفتاحين العامين إلى خدمة دليل Apple (IDS). وبطبيعة الحال، يظل المفتاحان الخاصان مخزنين على الجهاز فقط.
- في IDS، ترتبط المفاتيح العامة برقم هاتفك وبريدك الإلكتروني وعنوان جهازك في خدمة Apple Push Notification (APN).
- إذا أراد شخص ما إرسال رسالة إليك، فسيكتشف جهازه مفتاحك العام (أو عدة مفاتيح عامة إذا كنت تستخدم iMessage على أجهزة متعددة) وعناوين APN الخاصة بأجهزتك في IDS.
- يقوم بتشفير الرسالة باستخدام 128b AES ويوقعها بمفتاحه الخاص. إذا كانت الرسالة ستصل إليك على أجهزة متعددة، فسيتم تخزين الرسالة وتشفيرها على خوادم Apple بشكل منفصل لكل منها.
- لا يتم تشفير بعض البيانات، مثل الطوابع الزمنية، على الإطلاق.
- تتم جميع الاتصالات عبر TLS.
- يتم تشفير الرسائل والمرفقات الأطول باستخدام مفتاح عشوائي على iCloud. كل كائن له عنوان URI خاص به (عنوان لشيء ما على الخادم).
- بمجرد تسليم الرسالة إلى جميع أجهزتك، يتم حذفها. إذا لم يتم تسليمها إلى جهاز واحد على الأقل من أجهزتك، فسيتم تركها على الخوادم لمدة 7 أيام ثم يتم حذفها.
قد يبدو لك هذا الوصف معقدًا، لكن إذا نظرت إلى الصورة أعلاه، ستفهم المبدأ بالتأكيد. وميزة هذا النظام الأمني هي أنه لا يمكن مهاجمته من الخارج إلا بالقوة الغاشمة. حسنًا، في الوقت الحالي، لأن المهاجمين أصبحوا أكثر ذكاءً.
التهديد المحتمل يكمن في شركة أبل نفسها. وذلك لأنه يدير البنية التحتية الكاملة للمفاتيح، لذلك من الناحية النظرية يمكنه تعيين جهاز آخر (زوج آخر من المفاتيح العامة والخاصة) لحسابك، على سبيل المثال بسبب أمر من المحكمة، حيث يمكن فك تشفير الرسائل الواردة. ومع ذلك، هنا قالت شركة أبل إنها لم ولن تفعل أي شيء من هذا القبيل.
وأمام من يتم تشفيره؟ ألن تكون طبقة المقابس الآمنة (SSL) العادية كافية، حيث يتم إرسال الرسالة إلى شركة Apple ثم تقوم شركة Apple بإرسال الرسالة مرة أخرى عبر طبقة المقابس الآمنة (SSL)؟ تتمتع شركة Apple بالقدرة على التنصت على الرسائل على أي حال، فلماذا كل هذه الضجة المحيطة بها؟ على أية حال، الأمر يتعلق فقط بمنع طرف ثالث من التنصت على الرسالة، وSSL كافية لذلك.
إذا اعتقدنا أن شركة Apple لا ترسل مفاتيح خاصة، فلن يقرأها أيضًا. وعلى أية حال، فإن SSL هو مجرد تطبيق للتشفير غير المتماثل على اتصال خادم العميل.
لذلك نرسل الرسالة مشفرة 2x عبر SSL ويمكن لشركة Apple قراءتها، أو 2x غير مشفرة مع حقيقة أننا نطلب المفاتيح العامة مسبقًا ونستخدم نفس التشفير كما في حالة SSL ولن تقرأها حتى Apple من الناحية النظرية.
ولماذا تم تشفير البيانات حتى في شركة أبل؟ لأن بعض الموظفين سيتمكنون بالتأكيد من الوصول إليهم. لقد تعرض للخيانة من قبل صديقته، لذلك بدأ في تنزيل رسائلها - حيث تسربت الرسائل ووقعت شركة Apple في مشكلة.
صرخة مضحكة..