Linux se přihlásil do Apple Find My People. Šifrování přitom zůstalo nedotčené
Linuxový klient dokázal přijímat aktuální polohu pouze lidí, kteří ji už sdíleli s daným Apple účtem. Zerotistic napodobil přihlašování GrandSlam, registraci zařízení, Apple Identity Services, APNs i průběh požadavků Find My.
Linuxový klient dokázal přijímat aktuální polohu pouze lidí, kteří ji už sdíleli s daným Apple účtem.
Zerotistic napodobil přihlašování GrandSlam, registraci zařízení, Apple Identity Services, APNs i průběh požadavků Find My.
Na rozdíl od výzkumu nRootTag z roku 2025 nešlo o nástroj pro proměnu počítače ve skrytý AirTag, ale o zjištění týkající se interoperability a hranic důvěry.
How did the 22-year-old security researcher known as “Zerotistic” make Apple’s Find My People location-sharing system work entirely from a LA protocol-level trust boundary, rather than Apple hardware alone, determined whether the Linux client could receive an authorized Find My People share.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How did the 22-year-old security researcher known as “Zerotistic” make Apple’s Find My People location-sharing system work entirely from a L. Article summary: Zerotistic did not break Find My’s encryption or bypass a person’s sharing consent. Instead, they reproduced enough of Apple’s undocumented account, device-enrollment, IDS, APNs, and Find My client behavior for Linux to . Topic tags: general, academic, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, water
openai.com
Bezpečnostní výzkumník vystupující pod přezdívkou Zerotistic ukázal, že službu Apple Find My People lze používat z počítače s Linuxem, přestože Apple tuto funkci prezentuje jako dostupnou pouze na vlastním hardwaru. Linuxový klient napodobil dostatečnou část soukromých protokolů Applu pro přihlašování, registraci zařízení, zasílání zpráv a Find My, takže ho servery přijaly jako autorizované zařízení.
Důležitý je rozsah celého zjištění: klient dokázal přečíst pouze sdílení polohy, ke kterému už měl daný Apple účet oprávnění. Neobešel rozhodnutí kontaktu o sdílení, neuměl vyhledávat náhodné uživatele Applu a neprolomil šifrování sítě Find My.
Apple hardware nebyl v tomto případě jedinou hranicí důvěry
Omezení na zařízení Applu se v tomto případě ukázalo spíše jako implementační a produktové pravidlo než jako absolutní kryptografická podmínka. Jakmile Linuxový klient poskytl přihlašovací údaje, identitu zařízení, certifikáty, podporované schopnosti a síťové chování, které služby Applu očekávaly, servery s ním začaly zacházet jako s dalším důvěryhodným příjemcem.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Linux se přihlásil do Apple Find My People. Šifrování přitom zůstalo nedotčené"?
Linuxový klient dokázal přijímat aktuální polohu pouze lidí, kteří ji už sdíleli s daným Apple účtem.
What are the key points to validate first?
Linuxový klient dokázal přijímat aktuální polohu pouze lidí, kteří ji už sdíleli s daným Apple účtem. Zerotistic napodobil přihlašování GrandSlam, registraci zařízení, Apple Identity Services, APNs i průběh požadavků Find My.
What should I do next in practice?
Na rozdíl od výzkumu nRootTag z roku 2025 nešlo o nástroj pro proměnu počítače ve skrytý AirTag, ale o zjištění týkající se interoperability a hranic důvěry.
To ale neznamená, že by kdokoli mohl z anonymního počítače s Linuxem jednoduše dotazovat Find My. Výzkum ukázal, že neapplovský operační systém může po dokončení autentizace a registrace napodobit chování oficiálního klienta.
Jak Linux napodobil celý tok Find My
Projekt propojil několik částí ekosystému Applu, které běžně zůstávají skryté:
Přihlášení k účtu: Zerotistic využil přihlašovací protokol GrandSlam. Popsaný postup zahrnoval výměnu Secure Remote Password a dvoufaktorové ověření. Výsledkem byly identifikátory účtu a krátkodobý token ekvivalentní heslu.
Registrace zařízení: Klient vytvořil žádost o vydání certifikátu PKCS#10 s 2048bitovým klíčem RSA a podpisem SHA-1. Žádost odeslal na starší registrační endpoint authenticateDS, který vrátil certifikát Apple Identity Services.
Registrace v IDS: S certifikátem a souvisejícími údaji o zařízení se Linux mohl zaregistrovat jako zařízení podporující Identity Services, deklarovat podporované typy šifrování, přihlásit se k potřebným podslužbám pro zasílání zpráv a získat přihlašovací údaje pro doručování přes Apple Push Notification Service.
Synchronizace Find My: Klient napodobil nativní posloupnost požadavků Find My People, včetně inicializace, obnovení dat a požadavku SubscribeAndFetch s parametry
intent: distributeKeys
a
mode: proactive
. Apple následně instruoval zařízení kontaktu, který sdílení schválil, aby nově zaregistrované identitě doručilo aktuální materiál pro lokalizační klíče prostřednictvím IDS a APNs.
Lokální dešifrování: Zašifrovaná zpráva IDS obsahovala údaje o vztahu mezi účty a klíče SearchParty. Open-source knihovna pypush obsloužila push notifikace a vrstvu IDS, zatímco FindMy.py načetla a dešifrovala příslušné reporty Find My do souřadnic, časových údajů a informace o přesnosti.
Nešlo o padělání certifikátu Applu. Server příslušné přihlašovací údaje vydal až po dokončení autentizace účtu a registračního procesu.
Co odhalilo IDS o distribuci klíčů
Chování požadavku SubscribeAndFetch naznačuje, že Apple umí doručit aktuální materiál lokalizačních klíčů nově autorizovanému zařízení, pokud už mezi účty existuje vztah pro sdílení polohy. Je to praktická podmínka pro výměnu zařízení a synchronizaci účtu: uživatel by neměl žádat všechny kontakty, aby sdílení pokaždé vypnuli a znovu zapnuli jen proto, že si přidal další zařízení.
Popsaná datová zpráva obsahovala identifikátor vztahu, index klíče, 32bajtový klíč hashované reklamy a 85bajtovou reprezentaci soukromého klíče. Tyto položky naznačují, že dešifrování lokalizačních reportů Find My závisí na materiálu vázaném na konkrétní vztah a verzi klíče, který lze prostřednictvím IDS znovu distribuovat.
Veřejně dostupný popis ukazuje mechanismus synchronizace a rotace klíčů, nestanovuje však univerzální interval jejich obměny. Z výzkumu tedy lze vyčíst, jak se doručuje aktuální stav klíčů, nikoli kompletní veřejnou specifikaci správy klíčů Applu.
Co klient uměl — a co nikoli
Testovaný klient byl záměrně úzce zaměřený. Dokázal přečíst už schválené sdílení polohy na účtu výzkumníka a data zpracovat lokálně. Stejně tak lokálně fungovalo vyhodnocování geofencingu, tedy upozornění při vstupu do určité oblasti nebo odchodu z ní.
Podle zveřejněného popisu neuměl:
posílat nové pozvánky ke sdílení polohy;
měnit existující oprávnění ke sdílení;
přidávat členy rodiny;
vytvářet geofence na straně Applu; ani
vydávat příkazy zařízením.
Výsledek je proto přesnější chápat jako zjištění o interoperabilitě a hranici důvěry, nikoli jako vzdálený exploit umožňující sledovat libovolnou osobu. Realističtějším bezpečnostním rizikem je kompromitace Apple účtu nebo důvěryhodného zařízení: pokud by útočník získal kontrolu nad účtem či do něj zaregistroval neoprávněné zařízení, mohl by potenciálně odhalit sdílení, ke kterým má tento účet přístup.
Rozdíl oproti výzkumu nRootTag z roku 2025
Práce Zerotistica a výzkum nRootTag se týkají odlišných částí Find My a představují různé modely útoku.
Zerotistic se zaměřil na Find My People. Napodobil příjem dat z již existujícího a autorizovaného vztahu sdílení. Apple musel účet i zařízení přijmout a daná osoba musela svou polohu s účtem sdílet.
nRootTag cílil na Find My Network a offline hledání. Výzkumníci uvedli, že služba Applu přijímala i typy Bluetooth adres, které by podle očekávání používat neměla. Útočník tak mohl přimět počítač s Bluetooth, aby se choval jako sledovací maják podobný AirTagu, a využít okolní zařízení Applu k předávání jeho polohy bez vědomí vlastníka cílového zařízení.
Stručně řečeno: Zerotistic přijímal data, která měl účet už oprávnění vidět. nRootTag se snažil vytvořit neoprávněný mechanismus sledování. Smíchání obou případů by linuxovou demonstraci vykreslilo jako mnohem silnější nástroj, než jaký popsané důkazy skutečně ukazují.
Původní cíl a odhadovaná doba práce
Původní motivace byla založená na souhlasu a automatizaci. Přítel, který už svou polohu sdílel, souhlasil s tím, aby Linux lokálně vyhodnocoval geofence a posílal do Discordu upozornění, když dorazí na konkrétní místo nebo z něj odjede.
Zerotistic původně čekal, že půjde o jeden autentizovaný webový požadavek, a odhadoval práci přibližně na jeden večer. Reverzní inženýrství se však podle popisu výrazně rozrostlo. Dostupné zdroje neuvádějí přesnou celkovou dobu dokončení projektu, takže konkrétnější údaj by byl spekulací.
Jak reagoval Apple
Citované zpravodajství potvrzuje samotnou demonstraci, nikoli ověřené veřejné vyjádření Applu k této konkrétní implementaci Find My People pro Linux, potvrzenou opravu nebo zveřejněný výsledek bug bounty programu.
Hlavní poučení tak zůstává stejné: omezení funkce na hardware Applu automaticky neznamená, že hardware sám představuje bezpečnostní hranici. Pokud serverová důvěra vychází především z přihlašovacích údajů, certifikátů, deklarovaných schopností a správného chování protokolu, může dostatečně kompatibilní klient na jiném operačním systému tuto produktovou hranici překonat — přičemž stále zůstane omezen oprávněními účtu a kryptografickými klíči, které legitimně získal.
