Daniel Hruska Messagen iwwer iMessage schécken ass e populäre Wee fir tëscht iOS Apparater a Mac Computeren ze kommunizéieren. Zénger vu Millioune Messagen sinn vun Apple d'Serveren all Dag veraarbecht, a wéi Ofsaz vun Apple-gebass Apparater wuessen, sou mécht d'Popularitéit vun iMessage. Awer hutt Dir schons geduecht wéi Är Messagen vu potenziellen Ugräifer geschützt sinn?
Apple huet viru kuerzem verëffentlecht Dokument iOS Sécherheet beschreiwen. Et beschreift gutt d'Sécherheetsmechanismen déi am iOS benotzt ginn - System, Dateverschlësselung a Schutz, Uwendungssécherheet, Netzwierkkommunikatioun, Internetservicer an Apparat Sécherheet. Wann Dir e bëssen iwwer Sécherheet versteet an kee Problem mat Englesch hutt, fannt Dir iMessage op der Säit Nummer 20. Wann net, probéieren ech de Prinzip vun der iMessage Sécherheet sou kloer wéi méiglech ze beschreiwen.
D'Basis fir Messagen ze schécken ass hir Verschlësselung. Fir Laien ass dëst dacks mat enger Prozedur verbonnen, wou Dir de Message mat engem Schlëssel verschlësselt an den Empfänger et mat dësem Schlëssel entschlësselt. Esou e Schlëssel gëtt symmetresch genannt. De kritesche Punkt an dësem Prozess ass de Schlëssel un den Empfänger iwwerginn. Wann en Ugräifer et an de Grëff kritt, kënne se Är Messagen einfach entschlësselen an den Empfänger imitéieren. Fir ze vereinfachen, stellt Iech eng Këscht mat engem Schloss vir, an deem nëmmen ee Schlëssel passt, a mat dësem Schlëssel kënnt Dir den Inhalt vun der Këscht aginn an ewechhuelen.
Glécklecherweis gëtt et asymmetresch Kryptografie mat zwee Schlësselen - ëffentlech a privat. De Prinzip ass datt jiddereen Ären ëffentleche Schlëssel kennt, natierlech nëmmen Dir kennt Äre private Schlëssel. Wann iergendeen Iech e Message wëllt schécken, verschlësselt se se mat Ärem ëffentleche Schlëssel. De verschlësselte Message kann dann nëmme mat Ärem private Schlëssel entschlësselt ginn. Wann Dir Iech eng Mailbox nees op eng vereinfacht Manéier virstellt, da wäert et dës Kéier zwee Schleisen hunn. Mat dem ëffentleche Schlëssel kann jidderee se opmaachen fir Inhalter anzeginn, awer nëmmen Dir mat Ärem private Schlëssel kënnt et auswielen. Fir sécher ze sinn, addéieren ech datt e Message verschlësselt mat engem ëffentleche Schlëssel net mat dësem ëffentleche Schlëssel entschlësselt ka ginn.
Wéi Sécherheet funktionnéiert an iMessage:
- Wann iMessage aktivéiert ass, ginn zwee Schlësselpaaren um Apparat generéiert - 1280b RSA fir d'Donnéeën ze verschlësselen an 256b ECDSA fir z'iwwerpréiwen datt d'Donnéeën net laanscht de Wee verwéckelt goufen.
- Déi zwee ëffentlech Schlëssele ginn un den Apple's Directory Service (IDS) geschéckt. Natierlech bleiwen déi zwee privat Schlësselen nëmmen um Apparat gespäichert.
- An IDS sinn ëffentlech Schlëssele mat Ärer Telefonsnummer, E-Mail an Apparatadress am Apple Push Notification Service (APN) verbonnen.
- Wann iergendeen Iech e Message wëllt, fënnt hiren Apparat Ären ëffentleche Schlëssel (oder méi ëffentlech Schlësselen wann Dir iMessage op méi Apparater benotzt) an d'APN Adressen vun Ären Apparater an IDS.
- Hien verschlësselt de Message mat 128b AES an ënnerschreift et mat sengem private Schlëssel. Wann de Message Iech op e puer Apparater erreeche soll, gëtt de Message gespäichert a verschlësselt op Apple's Serveren separat fir jidderee vun hinnen.
- E puer Donnéeën, wéi Zäitstempel, si guer net verschlësselt.
- All Kommunikatioun gëtt iwwer TLS gemaach.
- Méi laang Messagen an Uschlëss sinn verschlësselte mat engem zoufälleg Schlëssel op iCloud. All esou Objet huet seng eege URI (Adress fir eppes op de Server).
- Wann de Message op all Ären Apparater geliwwert gëtt, gëtt se geläscht. Wann et net op d'mannst ee vun Ären Apparater geliwwert gëtt, gëtt et 7 Deeg op de Server gelooss an duerno geläscht.
Dës Beschreiwung kann Iech komplizéiert schéngen, awer wann Dir d'Bild hei uewen kuckt, wäert Dir sécher de Prinzip verstoen. De Virdeel vun esou engem Sécherheetssystem ass, datt et nëmme vu baussen duerch brutal Kraaft attackéiert ka ginn. Gutt, fir de Moment, well Ugräifer méi clever ginn.
Déi potenziell Bedrohung läit bei Apple selwer. Dëst ass well hien d'ganz Infrastruktur vu Schlësselen geréiert, also an der Theorie kéint hien en aneren Apparat (en anert Paar vun ëffentlechen a private Schlëssel) op Äre Kont zouginn, zum Beispill wéinst engem Geriichtsuerteel, an deem erakommen Messagen entschlësselt kënne ginn. Wéi och ëmmer, hei huet Apple gesot datt et net sou eppes mécht a wäert net maachen.
A virun wiem ass et verschlësselt? Géif normal SSL net duergoen, gëtt de Message un Apple geschéckt an Apple verschéckt dann de Message nach eng Kéier iwwer SSL? Apple huet d'Kraaft fir Messagen iwwerhaapt ofzelauschteren, also firwat all de Kaméidi ronderëm? Et geet op alle Fall just dorëms ze verhënneren, datt en Drëtte de Message oflauschtert, an dofir geet SSL duer.
Wa mir gleewen datt Apple keng privat Schlësselen schéckt, da wäert hien se och net liesen. An iwwerhaapt, SSL ass just eng Implementatioun vun asymmetrescher Verschlësselung op der Client-Server Verbindung.
Also schécken mir d'Botschaft 2x verschlësselt iwwer SSL an Apple kann et liesen, oder 2x onverschlësselt mat der Tatsaach datt mir d'ëffentlech Schlësselen am Viraus froen an deeselwechte Chiffer benotzen wéi am Fall vun SSL an net emol Apple wäert se an der Theorie liesen.
A firwat hunn d'Donnéeën och bei Apple verschlësselt? Well e puer Mataarbechter wäerten definitiv Zougang zu hinnen hunn. Hie gouf vu senger Frëndin gepëtzt, sou datt hien ufänkt hir Messagen erofzelueden - et leeft an Apple ass a Schwieregkeeten.
Witzeg Geruff..