Version imprimable du sujet

Cliquez ici pour voir ce sujet dans son format original

Forums MacBidouille _ Macbidouille Articles & News : Vos Réactions _ Comment Apple veut nous permettre de retrouver un appareil même déconnecté du réseau

Écrit par : Lionel 6 Jun 2019, 08:59

iOS 13 et macOS 10.15 vont pousser plus loin la possibilité de retrouver un appareil perdu ou dérobé.
Actuellement, ce n'est possible que si ce dernier est connecté au réseau, cellulaire ou Wi-Fi.
Les prochains systèmes vont transformer tout appareil compatible en un émetteur-récepteur capable de détecter les autres appareils (compatibles) via le Bluetooth.
Si un appareil a été déclaré perdu ou volé, il pourra donc être localisé via un autre appareil sous iOS 13 ou macOS 10.15 et cette position vous sera envoyée.

Apple promet que toutes les données seront chiffrées et anonymisées. La confidentialité sera garantie.
C'est plus que souhaitable car sinon, on sera en permanence suivi à quelques mètres près dans tous nos déplacements.

http://macbidouille.com/news/2019/06/06/comment-apple-veut-nous-permettre-de-retrouver-un-appareil-meme-deconnecte-du-reseau


Écrit par : Hebus 6 Jun 2019, 09:04

L'article de Wired sur le sujet : https://www.wired.com/story/apple-find-my-cryptography-bluetooth/

Écrit par : VDAC 6 Jun 2019, 09:21

L'article de Wired ne dit pas si on peut opt-out :
- À l'écoute, par exemple en désactivant Bluetooth.
- À l'émission, par exemple en désactivant cette fonctionnalité dans le compte Apple.
D'ailleurs peut-être que conformément au RGPD cette fonctionnalité devrait être exclusivement opt-in.

L'article ne dit pas non plus si tous les iDevices qui supporteront iOS13 / Catalina supporteront cette fonctionnalité.

À voir donc...

Écrit par : raoulito 6 Jun 2019, 09:22

Article très intéressant, merci Hebus

Écrit par : Lionel 6 Jun 2019, 09:23

Heureusement qu'il est donné en source de la brève...

Écrit par : ekami 6 Jun 2019, 10:43

Donc même quand on va désactiver le Bluetooth dans les réglages il continuera à être activé "en sourdine" ?
Et quand on va "éteindre" l'iPhone il restera électriquement actif pour cette fonction d'envoi de "pings" BlueTooth ?

Écrit par : ManiX 6 Jun 2019, 11:27

Citation (VDAC @ 6 Jun 2019, 10:21) *
D'ailleurs peut-être que conformément au RGPD cette fonctionnalité devrait être exclusivement opt-in.

Il me possible que le RGPD soit respecté, puisque de toute façon la fonctionnalité "find my iphone/mac" est en opt-in lors de l'activation du compte iCloud.

Écrit par : JayTouCon 6 Jun 2019, 11:28

Citation (Lionel @ 6 Jun 2019, 08:59) *
Si un appareil a été déclaré perdu ou volé, il pourra donc via un autre appareil sous iOS 13 ou macOS 10.15 être localisé et cette position vous sera envoyée.

Apple promet que toutes les données seront chiffrées et anonymisées. La confidentialité sera garantie.
C'est plus que souhaitable car sinon, on sera en permanence suivi à quelques mètres près dans tous nos déplacements.

ca laisse entrevoir aussi toutes les possibilités qu'à la pomme sur ses téléphones. a encadrer très très très fortement

Écrit par : iAPX 6 Jun 2019, 11:55

Grosse arnaque leur système de chiffrage "end-to-end" comme à chaque fois que j'entend cette expression marketing: ça a été conçu soit par des idiots, soit par la NSA.

Le point le plus évident est que la faiblesse se trouve non dans le protocole ni le chiffrement, mais dans l'appareil retransmettant le message chiffré et forcément à proximité du premier, à commencer par l'adresse IP utilisée pour la communication: en WiFi ou Ethernet, échec-et-mat.

Ensuite, en émettant du trafic Bluetooth régulièrement, même chiffré, l'adresse MAC Bluetooth de l'appareil sera publiquement exposé même éteint, permettant de capturer ces informations: on devient un Beacon ambulant même appareils éteints.

Pour finir quoi de mieux pour un voleur qu'un Mac dans un sac ou ailleurs signale tout seul sa présence?!?

PS: comme pour Messages c'est -aussi- susceptible d'être utilisé pour retracer via un appareil virtuel créé au moment où l'utilisateur fourni son compte/mot-de-passe à Apple, même faille de conception comme par hasard.

Écrit par : djdoxy 6 Jun 2019, 12:40

Les voleurs vont s'equiper de brouilleur BT capable d'empecher le téléphone de transmettre ses infos...

Écrit par : iAPX 6 Jun 2019, 12:41

Citation (djdoxy @ 6 Jun 2019, 07:40) *
Les voleurs vont s'equiper de brouilleur BT capable d'empecher le téléphone de transmettre ses infos...

Pas besoin de hi-tech, du papier d'alu suffit, ou un emballage de chips pour un iPhone.

Écrit par : BZB 6 Jun 2019, 13:09

La CIA avait juste de l'avance lorsqu'elle a inventé les transfert de données via les haut parleurs / micro des ordinateurs.

Écrit par : prijker 6 Jun 2019, 13:46

CODE
Apple promet que toutes les données seront chiffrées et anonymisées. La confidentialité sera garantie.
C'est plus que souhaitable car sinon, on sera en permanence suivi à quelques mètres près dans tous nos déplacements.


Hé hé, quelle belle remarque pleine de bons sentiments!
Quand l'expérience va-t-elle nous enseigner la lucidité?
Ça, je n'en sais rien, et ce n'est pas à lire ce voeu pieux que ça va s'arranger!

Écrit par : Albook 6 Jun 2019, 14:52

Ce qu'ils sont gentils, chez Apple !

Écrit par : Homer Simpson 6 Jun 2019, 15:20

L'émission BT est elle permanente ou seulement à partir du moment où l'appareil a été déclaré volé auprès d'Apple ?

Le fait que tout appareil Apple fasse relais (éventuellement contre son gré) dès que le BT est activé, n'induit-il pas une baisse d'autonomie ?

Écrit par : iAPX 6 Jun 2019, 15:27

Citation (Homer Simpson @ 6 Jun 2019, 10:20) *
L'émission BT est elle permanente ou seulement à partir du moment où l'appareil a été déclaré volé auprès d'Apple ?

Le fait que tout appareil Apple fasse relais (éventuellement contre son gré) dès que le BT est activé, n'induit-il pas une baisse d'autonomie ?

Permanente bien sûr puisque par définition l'appareil peut ne pas avoir les capacités de contacter Apple par lui-même.
La baisse d'autonomie serait très faible sur un Mac ou un iPhone, mais à vérifier.

Il semble aussi que la puce Bluetooth pourrait continuer à émettre appareil éteint, à vérifier.

Écrit par : marcmame 6 Jun 2019, 15:50

Citation (iAPX @ 6 Jun 2019, 15:27) *
Permanente bien sûr puisque par définition l'appareil peut ne pas avoir les capacités de contacter Apple par lui-même.
La baisse d'autonomie serait très faible sur un Mac ou un iPhone, mais à vérifier.

Il semble aussi que la puce Bluetooth pourrait continuer à émettre appareil éteint, à vérifier.

Evitons les "bien sûr" péremptoires...

Personnellement je ne le pense pas.
Il me parait assez évident que cette fonction ne sera active qu'exclusivement lorsque son propriétaire légitime l'aura déclaré sur son compte iCloud.
Et qu'elle ne se déclenchera que si l'appareil en question est allumé ne serait-ce que quelques secondes, même si le "voleur" ne peut s'identifier et même après extinction.
Elle sera donc probablement inactive par défaut.
Dans le cas contraire, imaginez vous que le milliard d'appareil iOS communique avec ses proches en permanence ??
Ca me parait exclu en plus de ne pas être souhaitable.

Écrit par : iAPX 6 Jun 2019, 16:24

Citation (marcmame @ 6 Jun 2019, 10:50) *
Citation (iAPX @ 6 Jun 2019, 15:27) *
Permanente bien sûr puisque par définition l'appareil peut ne pas avoir les capacités de contacter Apple par lui-même.
La baisse d'autonomie serait très faible sur un Mac ou un iPhone, mais à vérifier.

Il semble aussi que la puce Bluetooth pourrait continuer à émettre appareil éteint, à vérifier.

Evitons les "bien sûr" péremptoires...

Personnellement je ne le pense pas.
Il me parait assez évident que cette fonction ne sera active qu'exclusivement lorsque son propriétaire légitime l'aura déclaré sur son compte iCloud.
Et qu'elle ne se déclenchera que si l'appareil en question est allumé ne serait-ce que quelques secondes, même si le "voleur" ne peut s'identifier et même après extinction.
Elle sera donc probablement inactive par défaut.
Dans le cas contraire, imaginez vous que le milliard d'appareil iOS communique avec ses proches en permanence ??
Ca me parait exclu en plus de ne pas être souhaitable.

Évidemment, une fois "Find My..." activé sur son Mac ou son appareil iOS, celui-ci émettra régulièrement sa position en Bluetooth pour être relayé par tout appareil Apple à proximité.

Le fonctionnement actuel est que l'appareil enregistre sa position régulièrement quand connecté en WiFi ou cellulaire à Internet une fois "Find My Mac" activé dessus.
Le changement n'est pas que l'appareil enregistre sa position régulièrement une fois la fonction activée, mais qu'il le fasse aussi sans être connecté en utilisant d'autres appareils Apple comme relais via du Bluetooth.
Il se pourrait que ça fonctionne aussi appareil éteint, j'ai cru le lire quelque part mais ça n'est pas certain (et peut-être aussi dépendant de l'appareil).

Apple ne sait d'ailleurs pas quand un appareil est volé, et c'est facilement vérifiable en activant "Find My Mac", puis en allant regarder sa localisation: le vol ou la perte n'est pas le déclencheur de l'enregistrement de géolocalisation, elle est fait constamment.

Écrit par : Hebus 6 Jun 2019, 16:51

De toute façon nos appareil sont continuellement connectés, émettent des ondes, la question c'est l'association avec un individu, la confidentialité.

Et oui, restons prudents quand aux affirmation péremptoires... relisez ce que vous avez sortis immédiatement sans aucunes informations sur le sujet.

Bien que je me doute qu'il y aura surement des failles à ce système, c'est couru, complexité -> fragilité

Écrit par : otto87 6 Jun 2019, 17:30

Marrant je sort d'un séminaire de recherche dont le dernier exposé parlait en partie d'anonymisation des données et la conclusion était en gros : l'anonymisation est inefficace face à la montagne de datas qui existent (et permettent donc de la casser) sauf à ne plus rien transmettre laugh.gif . Merci Apple de participer a ta manière a cette dictature numérique qui s'installe!

Écrit par : mR_Zlu 6 Jun 2019, 17:35

Superbe option, j'attendais ça depuis longtemps.

On va bien sur trouver les même hystériques ici a crier "NSA", perso j'ai bien plus peur du voleur à la tire et de toutes les données perso&bancaire qu'il pourrait me soutirer en cas de vol/


Citation (iAPX @ 6 Jun 2019, 17:24) *
Apple ne sait d'ailleurs pas quand un appareil est volé, et c'est facilement vérifiable en activant "Find My Mac", puis en allant regarder sa localisation: le vol ou la perte n'est pas le déclencheur de l'enregistrement de géolocalisation, elle est fait constamment.


Bien sur que le vol n'est pas le déclencheur de la localisation, c'est l'activation de la localisation qui l'est. Comment Apple pourrait de toute façon bien le savoir, il n'y a pas de mode "volé" a activer, seulement un "perdu". Par contre je suis bien content que apple "sache" que je veuille effacer mon téléphone a distance.

Écrit par : marcmame 6 Jun 2019, 17:53

Citation (otto87 @ 6 Jun 2019, 17:30) *
l'anonymisation est inefficace face à la montagne de datas qui existent (et permettent donc de la casser) sauf à ne plus rien transmettre laugh.gif . Merci Apple de participer a ta manière a cette dictature numérique qui s'installe!

Je trouve ça un peu stupide comme conclusion. Ce qui revient à dire : ne vous emmerdez pas à anonymiser vos données puisqu'une montagne d'autres ne le sont pas.
Votre voisin est armé ? Armez vous et tirez le premier en somme.
Quant à ta propre conclusion elle est l'inverse même de ce que souhaite faire Apple.

Citation (iAPX @ 6 Jun 2019, 16:24) *
Le fonctionnement actuel est que l'appareil enregistre sa position régulièrement quand connecté en WiFi ou cellulaire à Internet une fois "Find My Mac" activé dessus.

Transmet et non pas enregistre. La nuance est importante.



Citation (iAPX @ 6 Jun 2019, 16:24) *
Apple ne sait d'ailleurs pas quand un appareil est volé, et c'est facilement vérifiable en activant "Find My Mac", puis en allant regarder sa localisation: le vol ou la perte n'est pas le déclencheur de l'enregistrement de géolocalisation, elle est fait constamment.

La géolocalisation est active constamment si on se rend sur "Find my mac" (justement en cas de perte et non de vol). Mais en dehors de ça, ce n'est pas constant.

Écrit par : marc_os 6 Jun 2019, 17:56

Citation (iAPX @ 6 Jun 2019, 12:41) *
Citation (djdoxy @ 6 Jun 2019, 07:40) *
Les voleurs vont s'equiper de brouilleur BT capable d'empecher le téléphone de transmettre ses infos...

Pas besoin de hi-tech, du papier d'alu suffit, ou un emballage de chips pour un iPhone.

Dans ces conditions, ça risque de ne pas être évident d'utiliser l'iPhone, car ça ne touchera pas que le BT, mais toutes connexions ! laugh.gif
Donc les voleurs ne seraient pas détectés, mais ils ne pourraient pas non plus utiliser leur butin ! biggrin.gif

Écrit par : otto87 6 Jun 2019, 18:04

Citation (marcmame @ 6 Jun 2019, 18:47) *
Je trouve ça un peu stupide comme conclusion.


Que tu trouve ça stupide c'est une chose, mais quand un bac+8 dont c'est le domaine de recherche en parle, je suis étonnement plus enclin à lui faire confiance.
Citation (marcmame @ 6 Jun 2019, 18:47) *
ne vous emmerdez pas à anonymiser vos données puisqu'une montagne d'autres ne le sont pas

Pas très scientifique ton compréhension de la chose...Le problème c'est que plus il y a de données disponibles, y comprit les données qui te semblent sans doute parfaitement anodines, plus il est facile de casser l'anonymisation. Il faut donc transmettre des infos de plus en plus parcellaires (inutile poussé à l’extrême) en mode anonymisé.
Pour te donner une idée, il était question de la fin masqué du secret médicale par le plan Villani sur l'ia et la centralisation de toutes les données médicales... avec une recherche avec résultat anonymisés, il suffit de 3 critères bien choisis pour lire tout ton dossier médical. Avec quelques critères plus basiques et un peu plus nombreux (6), je retrouve aussi ton dossier médical...

Écrit par : kwak-kwak 6 Jun 2019, 18:13

Cela implique donc de construire un maillage d'Iphone, avec un réseau improvisé en temps réel transmettant une donnée de localisation jusqu'à temps de pouvoir trouver un appareil connecté à internet. Le réseau autorisera ainsi combien de rebond avant l'accès à internet ?

De plus cela implique d'avoir son appareil être constamment connecté et en train d'émettre dans le seul but de pouvoir être retrouvé un peu plus rapidement au grand max 1 fois par an (Pour un téléphone, il faut qu'il soit hors réseau mais pas hors réseau d'un appareil connecté). Cela me semble être d'un très faible intérêt alors que le risque en terme de sécurité est important (mais certain s'en foutent).
Cela dit le coût en terme d'énergie consommée semble être négligeable (https://fr.wikipedia.org/wiki/ZigBee#ZigBee_par_rapport_%C3%A0_d'autres_protocoles_sans_fil)... sauf pour le premier appareil connecté directement à internet s'il n'est pas en Wifi, car il verra quelques données transiter.

Autre question technique : le BLE (Blutooth Low Energy) tel qu'implémenté dans le Blutooth v5 permet-il de créer et gérer des réseaux à la volée (recherche et appariement de pairs en continu). Pour les technologies sous-jacentes (recherche d'une unité spécifique depuis le cloud), je ne suis pas trop inquiet les dictionnaires partagés (qui connait qui) étaient légions à) la grande époque du P2P. (exemple Kademlia, emule, ..., gnutella)

Écrit par : kwak-kwak 6 Jun 2019, 18:34

Citation (marcmame @ 6 Jun 2019, 10:50) *
Permanente bien sûr puisque par définition l'appareil peut ne pas avoir les capacités de contacter Apple par lui-même.
La baisse d'autonomie serait très faible sur un Mac ou un iPhone, mais à vérifier.

Il semble aussi que la puce Bluetooth pourrait continuer à émettre appareil éteint, à vérifier.

Si l'implémentation est en BLE, le coût énergétique devrait être négligeable vers les autres pair en bluetooth. Et ce, sauf pour le premier appareil connecté à internet si la connexion est cellulaire et de mauvaise qualité. (avec une mauvaise connexion cellulaire, le coût en énergie de tout transfert est très important)

De fait ces puces BLE peuvent parfaitement fonctionner appareil éteint (avec une autonomie proche de 5 ans vu la capacité de la batterie, si l'appareil reste déconnecté c'est la batterie qui s'auto-videra toute seule avant.) Le téléphone pourra donc très bien signaler en permanence à son environnement "je m'appelle Iphone_de_xxxxxx_#123456789", même en étant éteint.

Par contre le traitement des données complexes reçues et émises (exemple "vide la mémoire de mon tel", "consulte le GPS", "allume le wifi", "prend une photo") exige que le CPU, la RAM et la mémoire flash soient alimenté. Cela ne pourra être fait appareil éteint (ça consomme beaucoup, à moins de pouvoir forcer une instruction "allume-toi" à distance.)


Citation (iAPX @ 6 Jun 2019, 17:24) *
Le fonctionnement actuel est que l'appareil enregistre sa position régulièrement quand connecté en WiFi ou cellulaire à Internet une fois "Find My Mac" activé dessus.
Le changement n'est pas que l'appareil enregistre sa position régulièrement une fois la fonction activée, mais qu'il le fasse aussi sans être connecté en utilisant d'autres appareils Apple comme relais via du Bluetooth.
Il se pourrait que ça fonctionne aussi appareil éteint, j'ai cru le lire quelque part mais ça n'est pas certain (et peut-être aussi dépendant de l'appareil).

Ton appareil https://hal.inria.fr/hal-01575519v2/document . Les informations de géolocalisation sont ensuite synchronisées au cloud dès l'arrivée d'une connexion internet.

Écrit par : DefKing 6 Jun 2019, 18:56

Citation (iAPX @ 6 Jun 2019, 13:41) *
Citation (djdoxy @ 6 Jun 2019, 07:40) *
Les voleurs vont s'equiper de brouilleur BT capable d'empecher le téléphone de transmettre ses infos...

Pas besoin de hi-tech, du papier d'alu suffit, ou un emballage de chips pour un iPhone.

Mettre son portable dans le frigo (vu dans un film islandais cet après-midi). biggrin.gif

Écrit par : otto87 6 Jun 2019, 22:33

Citation (DefKing @ 6 Jun 2019, 19:56) *
Citation (iAPX @ 6 Jun 2019, 13:41) *
Citation (djdoxy @ 6 Jun 2019, 07:40) *
Les voleurs vont s'equiper de brouilleur BT capable d'empecher le téléphone de transmettre ses infos...

Pas besoin de hi-tech, du papier d'alu suffit, ou un emballage de chips pour un iPhone.

Mettre son portable dans le frigo (vu dans un film islandais cet après-midi). biggrin.gif


Dans le micro onde! Bon si l'iphone répond, c'est que le four fuite!!!!!!!!

Écrit par : iSpeed 6 Jun 2019, 23:57

Citation (iAPX @ 6 Jun 2019, 22:41) *
Citation (djdoxy @ 6 Jun 2019, 07:40) *
Les voleurs vont s'equiper de brouilleur BT capable d'empecher le téléphone de transmettre ses infos...

Pas besoin de hi-tech, du papier d'alu suffit, ou un emballage de chips pour un iPhone.

A quoi sert de voler si c'st pour le laisser constamment dans un papier alu. Franchement réfléchissez un peu mad.gif

Écrit par : mR_Zlu 7 Jun 2019, 00:08

Citation (otto87 @ 6 Jun 2019, 19:04) *
Le problème c'est que plus il y a de données disponibles, y comprit les données qui te semblent sans doute parfaitement anodines, plus il est facile de casser l'anonymisation. Il faut donc transmettre des infos de plus en plus parcellaires (inutile poussé à l’extrême) en mode anonymisé.



Ça tombe bien c’est exactement ce que raconte l’article source!

Écrit par : Gallows Pole 7 Jun 2019, 05:33

Salut à toutes et à tous,

Perso, à la lecture de la brève et de l'ensemble des réactions, j'ai deux questions/observations.

En premier lieu : à quoi sert réellement cette fonctionnalité ?
Je pose la question parce qu'il me semble que le smartphone est devenu un objet assez courant.
Et qu'il est aujourd'hui difficile de faire la différence entre un iPhone et un smartphone chinois à 30€.
Conséquence ? Je ne connais personne qui se soit fait voler son téléphone ces 5 dernières années.
Donc de trois choses l'une :
- je suis pas "aware" des risques parce qu'ils existent mais pas du côté de chez moi (région parisienne) ;
- Apple est à côté de la plaque en croyant que ses objets suscitent encore la convoitise à ce point ;
- Apple nous vend, sous couvert de "protection de la propriété" un système qui va lui ouvrir la collecte de données...

En second lieu : Apple est-elle prétentieuse à ce point ?
Dire que son système sera crypté et inviolable....
L'inviolable n'existe que jusqu'au moment où la violation arrive.
Et quand il y a des informations monnayables très cher qui sont en jeu, la violation arrive généralement assez vite.

En d'autres termes, je suis assez dubitatif quant au "progrès que cette annonce représente...


Écrit par : coverband 7 Jun 2019, 06:51

un début de réponse :

Citation (iAPX @ 6 Jun 2019, 11:55) *
Grosse arnaque leur système de chiffrage "end-to-end" comme à chaque fois que j'entend cette expression marketing: ça a été conçu soit par des idiots, soit par la NSA


mais par ailleurs
que vaut l'économie mondiale à côté du calme que peut nous inspirer un brin de nature devant lequel on s'émerveille ?
quel gâchis, que de matières premières et d'espèces vivantes de foutues en l'air pour les seuls et uniques plaisirs de l'humanité
quel manque d'humilité et de respect chez ces crétins d'humains
ça me déprime ce genre de brèves

Écrit par : RaelRael 7 Jun 2019, 08:50

apres faut se calmer.
L'iphone il envoie juste un message pour donner sa position, rien d'autre?

Écrit par : Hebus 7 Jun 2019, 09:12

Citation (RaelRael @ 7 Jun 2019, 08:50) *
apres faut se calmer.
L'iphone il envoie juste un message pour donner sa position, rien d'autre?


Non, c'est l'appareil qui reçoit le signal qui indique sa position.

A savoir la clef public pour encoder les informations est une clef générée par votre autre device qui marche de concert pour cette localisation, le device possède donc la clef privée qui n'est transmise à personne donc :

Citation
Here's how the new system works, as Apple describes it, step by step:

When you first set up Find My on your Apple devices—and Apple confirmed you do need at least two devices for this feature to work—it generates an unguessable private key that's shared on all those devices via end-to-end encrypted communication, so that only those machines possess the key.

Each device also generates a public key. As in other public key encryption setups, this public key can be used to encrypt data such that no one can decrypt it without the corresponding private key, in this case the one stored on all your Apple devices. This is the "beacon" that your devices will broadcast out via Bluetooth to nearby devices.

That public key frequently changes, "rotating" periodically to a new number. Thanks to some mathematical magic, that new number doesn't correlate with previous versions of the public key, but it still retains its ability to encrypt data such that only your devices can decrypt it. Apple refused to say just how often the key rotates. But every time it does, the change makes it that much harder for anyone to use your Bluetooth beacons to track your movements.

Say someone steals your MacBook. Even if the thief carries it around closed and disconnected from the internet, your laptop will emit its rotating public key via Bluetooth. A nearby stranger's iPhone, with no interaction from its owner, will pick up the signal, check its own location, and encrypt that location data using the public key it picked up from the laptop. The public key doesn't contain any identifying information, and since it frequently rotates, the stranger's iPhone can't link the laptop to its prior locations either.

The stranger's iPhone then uploads two things to Apple's server: The encrypted location, and a hash of the laptop's public key, which will serve as an identifier. Since Apple doesn't have the private key, it can't decrypt the location.

When you want to find your stolen laptop, you turn to your second Apple device—let's say an iPad—which contains both the same private key as the laptop and has generated the same series of rotating public keys. When you tap a button to find your laptop, the iPad uploads the same hash of the public key to Apple as an identifier, so that Apple can search through its millions upon millions of stored encrypted locations, and find the matching hash. One complicating factor is that iPad's hash of the public key won't be the same as the one from your stolen laptop, since the public key has likely rotated many times since the stranger's iPhone picked it up. Apple didn't quite explain how this works. But Johns Hopkins' Green points out that the iPad could upload a series of hashes of all its previous public keys, so that Apple could sort through them to pull out the previous location where the laptop was spotted.

Apple returns the encrypted location of the laptop to your iPad, which can use its private key to decrypt it and tell you the laptop's last known location. Meanwhile, Apple has never seen the decrypted location, and since hashing functions are designed to be irreversible, it can't even use the hashed public keys to collect any information about where the device has been.1

Écrit par : pipolo 7 Jun 2019, 11:53

Citation (marc_os @ 6 Jun 2019, 18:56) *
Citation (iAPX @ 6 Jun 2019, 12:41) *
Pas besoin de hi-tech, du papier d'alu suffit, ou un emballage de chips pour un iPhone.
Dans ces conditions, ça risque de ne pas être évident d'utiliser l'iPhone, car ça ne touchera pas que le BT, mais toutes connexions ! laugh.gif
Donc les voleurs ne seraient pas détectés, mais ils ne pourraient pas non plus utiliser leur butin ! biggrin.gif

Citation (iSpeed @ 7 Jun 2019, 00:57) *
A quoi sert de voler si c'st pour le laisser constamment dans un papier alu. Franchement réfléchissez un peu mad.gif


Eh ben on a des champions sur ce thread, y'a du level là...



Citation (iAPX @ 6 Jun 2019, 12:55) *
Le point le plus évident est que la faiblesse se trouve non dans le protocole ni le chiffrement, mais dans l'appareil retransmettant le message chiffré et forcément à proximité du premier, à commencer par l'adresse IP utilisée pour la communication: en WiFi ou Ethernet, échec-et-mat.

Ensuite, en émettant du trafic Bluetooth régulièrement, même chiffré, l'adresse MAC Bluetooth de l'appareil sera publiquement exposé même éteint, permettant de capturer ces informations: on devient un Beacon ambulant même appareils éteints.


Alors je ne connais les specs du BT, mais il intègre peut être un mode broadcast au sens strict, c'est à dire une diffusion n'attendant aucune réponse et ne nécessitant par conséquent aucune adresse source. Si un tel mode n'existe pas, un broadcast classique avec adresse source générée aléatoirement fera le job. Dans tous les cas la capture de ces émissions ne produira pas d'infos utilisables par quiconque d'autre que le propriétaire du device (et la NSA tongue.gif ).

Écrit par : iAPX 7 Jun 2019, 12:11

Citation (Hebus @ 7 Jun 2019, 04:12) *
Citation (RaelRael @ 7 Jun 2019, 08:50) *
apres faut se calmer.
L'iphone il envoie juste un message pour donner sa position, rien d'autre?


Non, c'est l'appareil qui reçoit le signal qui indique sa position.

A savoir la clef public pour encoder les informations est une clef générée par votre autre device qui marche de concert pour cette localisation, le device possède donc la clef privée qui n'est transmise à personne donc :
...

Presque ça: il y a une clé Maître, partagée par chaque appareil, qui peut donc aussi se trouver dans un appareil virtuel, exactement comme la première méthode pour surveiller les échanges Messages (et créé lorsque l'usager s'identifie chez Apple, seul moment où c'est possible).

Chaque appareil dérive une autre paire de clé Publique/Privée depuis la clé Maître et le temps pour émettre sa position quand "Find My..." est activé.
Chaque appareil partageant la même clé Maître (qui ne change pas) peut regénérer à tout moment une paire de clé Publique/Privée en recevant l'information de l'instant où la localisation a été effectuée (en clair donc) pour déchiffrer l'information de localisation qui a été chiffrée.
Apple ne "peut pas" le déchiffrer, du moins en théorie, mais si l'adresse IP publique servant à l'envoi est géolocalisable (donc non-cellulaire), on est baisé. À grande échelle.

Tout ça c'est la théorie, et je suis gêné par un petit point, pour Message comme "Find My...", les deux chiffrés "end-to-end", pour lesquels Apple prétend ne pas avoir les clés de chiffrement (ce qui est vrai) mais où Apple peut très certainement regénérer ces clés depuis la clé Maître du compte, cette clé Maître n'étant pas stocké chiffrée via le mot-de-passe associé au compte (et d'autres infos statiques) comme ça devrait être le cas.

Dit plus simplement Apple ne "stocke pas les clés" mais peut regénérer les clés quand elle le veut, un abus de langage qui a des impacts profonds.

PS: dés que j'entend "end-to-end" je sais que ça va foirer et qu'outre l'implémentation, il faut suivre les clés...

Écrit par : uhflirug 7 Jun 2019, 12:29

Citation (iAPX @ 7 Jun 2019, 12:11) *

C'est comme les voitures autonomes qui doivent communiquer entre elles en s'authentifiant (pour faire confiance) anonymement (pour la privacy) avec des clés qui changent toutes les minutes et stocker un stock de clés a usage temporaire pour ca, ca prend tout un disque dur dans la voiture ...
Et sinon on peut spoofer les telephones pour qu'il relayent n'importe quoi, genre avec un flux vidéo découpé en petits bouts qui ressemblent à des clés ?

Écrit par : iAPX 7 Jun 2019, 12:39

Citation (uhflirug @ 7 Jun 2019, 07:29) *
Citation (iAPX @ 7 Jun 2019, 12:11) *

C'est comme les voitures autonomes qui doivent communiquer entre elles en s'authentifiant (pour faire confiance) anonymement (pour la privacy) avec des clés qui changent toutes les minutes et stocker un stock de clés a usage temporaire pour ca, ca prend tout un disque dur dans la voiture ...
Et sinon on peut spoofer les telephones pour qu'il relayent n'importe quoi, genre avec un flux vidéo découpé en petits bouts qui ressemblent à des clés ?

Non non, pas du tout smile.gif

Écrit par : oume 7 Jun 2019, 19:45

Citation (mR_Zlu @ 6 Jun 2019, 17:35) *
Superbe option, j'attendais ça depuis longtemps.

perso j'ai bien plus peur du voleur à la tire et de toutes les données perso&bancaire qu'il pourrait me soutirer en cas de vol/


Suffit de pas en avoir dedans...
Mais bon ça doit surement être la logique de quelqu'un de normalement logique de ne pas mettre de données sensible dans un appareil qui attire la convoitise des malandrins ? Après on sait très bien que la majorité des utilisteurs d'iphones sont les mêmes qui regardent hanouna, les chtis à machin truc et les marseillais j'sais pas quoi. Du coup ça devient logique qu'ils aient des comportements débile et à risque. smile.gif

Écrit par : iAPX 7 Jun 2019, 22:04

Citation (oume @ 7 Jun 2019, 14:45) *
Citation (mR_Zlu @ 6 Jun 2019, 17:35) *
Superbe option, j'attendais ça depuis longtemps.

perso j'ai bien plus peur du voleur à la tire et de toutes les données perso&bancaire qu'il pourrait me soutirer en cas de vol/


Suffit de pas en avoir dedans...
Mais bon ça doit surement être la logique de quelqu'un de normalement logique de ne pas mettre de données sensible dans un appareil qui attire la convoitise des malandrins ? Après on sait très bien que la majorité des utilisteurs d'iphones sont les mêmes qui regardent hanouna, les chtis à machin truc et les marseillais j'sais pas quoi. Du coup ça devient logique qu'ils aient des comportements débile et à risque. smile.gif

+1 en y ajoutant le paiement direct, sans code pour valider (pas de 2FA comme avec une simple carte bancaire)

Écrit par : pipolo 9 Jun 2019, 15:39

Citation (iAPX @ 7 Jun 2019, 13:11) *
Apple ne "peut pas" le déchiffrer, du moins en théorie, mais si l'adresse IP publique servant à l'envoi est géolocalisable (donc non-cellulaire), on est baisé. À grande échelle.

Le device perdu n'émettant pas directement le message, je suppose que tu parles de celui qui reçoit le message bluetooth et le relaye aux serveurs Apple. Mais là il faut pouvoir distinguer LE message parmi tout ce que le device échange avec les serveurs d'Apple avec un chiffrement supplémentaire par dessus...

Propulsé par Invision Power Board (http://www.invisionboard.com)
© Invision Power Services (http://www.invisionpower.com)