未分類
30 10 月 2020

分享一篇苹果用 http OSCP 协议校验每个程序的 HASH 的洗文，洗的有理有据

分享一篇苹果用 http OSCP 协议校验每个程序的 HASH 的洗文，洗的有理有据

資深大佬 : ericwood067 4

废话不多说，先上文章链接： Does Apple really log every app you run? A technical look

总结一下，作者通过实验得出的结论：

  • 苹果没有通过 OSCP 发送每个程序的 HASH，但是发送了每个开发者证书的 HASH （明文发送，意味着可以被截获）。
  • 可以通过第三方软件或者修改 hosts 文件来阻止 oscp.apple.com ，但是不推荐。

补充一点我的看法：

如果某个开发者只开发了一个应用，还是可以匹配到应用。所以如果你用的应用比较敏感，且这个开发者就只开发这方面的应用，那你可能需要阻止 oscp.apple.com ，其他情况为了安全性还是不阻止好一些。

大佬有話說 (9)

  • 資深大佬 : also24

    从隐私的角度来说，这里其实可以借鉴基于 hash 的 k-Anonymity 来保护隐私。

    1Password 的 Watchtower 功能，就使用了这个方案：
    https://support.1password.com/watchtower-privacy/#your-passwords-are-never-sent-to-us-or-anyone-else

    https://www.troyhunt.com/ive-just-launched-pwned-passwords-version-2/#cloudflareprivacyandkanonymity

  • 資深大佬 : tzm41

    https://news.ycombinator.com/item?id=25095438 上面关于此文的讨论我感觉也有道理。假设我们相信苹果不作恶，为啥苹果不能加密 payload，要明文发送呢？

  • 資深大佬 : wql

    @tzm41 因为 OCSP 协议的特殊性。给 OCSP 协议加 HTTPS，意味着 OCSP 服务器的服务器末端证书也要被验证一次。如果客户端没有针对 OCSP 缓存，就将无限查询下去，无异于套娃（查一个证书的 OCSP-查 OCSP 服务器证书的 OCSP-查 OCSP 服务器证书的 OCSP……）

  • 資深大佬 : tzm41

    @wql #3 但苹果自己的 notarization 验证，不一定要用 HTTPS 或 OCSP ？

  • 資深大佬 : WebKit

    @wql 可以对数据加密，然后接收到后解密啊

  • 資深大佬 : wql

    @tzm41
    @WebKit
    刚刚自己反复想了想，苹果自己的 notarization 似乎确实没有用 OCSP 的必要……

  • 資深大佬 : yzwduck

    @tzm41 终于有人提到 notarization 了，good job
    它才是传输了应用程序 cdhash 的验证机制 (online https/offline ticket)。

  • 資深大佬 : littiefish

    吓死我了，手机不能用了，赶紧扔吧

  • 資深大佬 : alfchin

    @wql 之前苹果用自己的内置证书验证，结果没想到使用过时版本的用户证书过期了。于是死循环，只能改日期强行绕过。