Linux-klient omgår Apples hardwaregrænse – men ikke Find My-krypteringen

En sikkerhedsforsker, der går under navnet Zerotistic, demonstrerede, at Apples Find My People-tjeneste kan bruges fra en Linux-maskine, selv om Apple markedsfører funktionen som forbeholdt virksomhedens egne enheder. Resultatet kom ikke af, at krypteringen blev knækket, men af at Linux-klienten efterlignede nok af Apples private konto-, tilmeldings-, besked- og Find My-protokoller til at blive accepteret som en godkendt enhed.

Den afgørende begrænsning er rækkevidden: Klienten kunne kun læse en lokationsdeling, som den pågældende Apple-konto allerede havde tilladelse til at modtage. Den kunne ikke tilsidesætte en kontakts valg om ikke at dele sin placering, lokalisere tilfældige Apple-brugere eller bryde Find My-krypteringen.

Hardwarebegrænsningen var ikke hele tillidsmodellen

Demonstrationen peger på, at Apples begrænsning af Find My People til Apple-hardware i denne sammenhæng primært var en produkt- og implementeringsgrænse – ikke et absolut kryptografisk krav om Apple-fremstillet hardware. Da Linux-klienten leverede de kontooplysninger, denhedsidentitet, certifikater, funktioner og netværksadfærd, som Apples tjenester forventede, behandlede Apples servere den som endnu en betroet modtager.

Det betyder ikke, at enhver anonym Linux-computer pludselig kunne spørge Find My om placeringer. Forskningen viser i stedet, at et ikke-Apple-operativsystem kunne genskabe den relevante klientadfærd efter at have gennemført Apples login- og tilmeldingsproces.

Sådan genskabte Linux-klienten Find My-flowet

Projektet samlede flere normalt skjulte dele af Apples økosystem:

1. Login til Apple-kontoen: Zerotistic brugte Apples GrandSlam-loginprotokol. Det rapporterede forløb omfattede en Secure Remote Password-udveksling og tofaktorgodkendelse. Det gav blandt andet kontoidentifikatorer og et kortlivet token, der fungerer som en adgangskodeækvivalent.

2. Tilmelding af enheden: Klienten genererede en PKCS#10-certifikatanmodning med en 2048-bit RSA-nøgle og en SHA-1-signatur. Anmodningen blev sendt til Apples ældre authenticateDS-endepunkt til profiltilmelding, som returnerede et certifikat fra Apple Identity Services.

3. Registrering i IDS: Med certifikatet og det tilhørende enhedsmateriale kunne Linux registreres som en enhed, der understøtter Identity Services. Klienten angav understøttede krypteringstyper, abonnerede på de nødvendige beskedtjenester og hentede leveringsoplysninger til Apple Push Notification Service, også kaldet APNs.

4. Synkronisering med Find My: Klienten genskabte den oprindelige Find My People-anmodningsrækkefølge med initialisering, opdateringer og en SubscribeAndFetch-anmodning med

   intent: distributeKeys

   og

   mode: proactive

   . Apple bad derefter den samtykkende kontakts enhed om at sende det aktuelle lokationsnøglemateriale til den nytilmeldte identitet via IDS og APNs.

5. Dekryptering lokalt: Den krypterede IDS-pakke indeholdt oplysninger om relationen mellem kontiene samt SearchParty-nøglemateriale. Open source-biblioteket pypush håndterede push- og IDS-laget, mens FindMy.py hentede og dekrypterede de efterfølgende Find My-rapporter til koordinater, tidspunkter og nøjagtighedsdata.

Der var altså tale om protokolemulering – ikke et forfalsket Apple-certifikat. Serveren udstedte stadig legitimationsoplysningerne, efter at konto-login og enhedstilmelding var gennemført.

Hvad IDS-dataene afslører om fordeling af nøgler

Den demonstrerede SubscribeAndFetch-adfærd tyder på, at Apple kan levere det aktuelle lokationsnøglemateriale til en ny, autoriseret enhed, når en eksisterende delingsrelation allerede er på plads. Det er praktisk nødvendigt ved udskiftning af enheder og kontosynkronisering: Brugere bør ikke skulle bede alle kontakter om at stoppe og genstarte lokationsdeling, hver gang de tilføjer en ny enhed.

Den rapporterede datapakke indeholdt blandt andet en relationsidentifikator, et nøgleindeks, en 32 byte lang nøgle til hashning af annonceringer samt en privat nøglerepræsentation på 85 byte. Felterne peger på, at dekryptering af Find My-lokationsrapporter afhænger af materiale, der er knyttet til både den konkrete relation og nøglens version, og at materialet kan distribueres igen via IDS.

Den offentlige gennemgang viser synkroniserings- og rotationsadfærd, men fastslår ikke et universelt interval for rotation af nøgler. Det er en vigtig begrænsning for fortolkningen: Undersøgelsen viser, hvordan den aktuelle nøglestatus leveres, ikke en komplet offentlig specifikation af Apples tidsplan for nøglehåndtering.

Hvad kunne Linux-klienten – og hvad kunne den ikke?

Den testede klient var bevidst begrænset. Den kunne læse en lokationsdeling, som allerede var accepteret på forskerens Apple-konto, og behandle dataene lokalt. Geofence-logikken kørte også lokalt og ikke som en Find My-funktion på Apples servere.

Ifølge gennemgangen havde klienten ingen funktioner til at:

• sende nye invitationer til lokationsdeling;
• ændre eksisterende delingstilladelser;
• tilføje familiemedlemmer;
• oprette geofences hos Apple; eller
• sende kommandoer til enheder.

Resultatet er derfor bedst forstået som et interoperabilitetsfund om en tillidsgrænse – ikke som et fjernbaseret værktøj til vilkårlig personovervågning. Den mere realistiske sikkerhedsbekymring handler om kompromitterede konti eller betroede enheder: Hvis en angriber overtog en Apple-konto eller fik tilmeldt en uautoriseret enhed til den, kunne lokationsdelinger, som kontoen allerede havde adgang til, potentielt blive eksponeret.

Forskellen på Zerotistic og 2025's nRootTag

De to projekter berører forskellige dele af Find My og beskriver to meget forskellige trusselsmodeller.

Zerotistics arbejde handlede om Find My People. Her blev modtagerdelen af en eksisterende og autoriseret delingsrelation genskabt. Kontoen og enheden skulle accepteres af Apple, og personens placering skulle allerede være delt med kontoen.

nRootTag rettede sig mod Find My Network og offline-finding. Forskerne rapporterede, at Apples tjeneste accepterede flere Bluetooth-adressetyper end de forventede tilfældigt genererede statiske adresser. Det kunne gøre det muligt for en angriber at få en Bluetooth-kompatibel computer til at opføre sig som en AirTag-lignende sporingsbrik og bruge Apple-enheder i nærheden til at videresende dens placering uden ejerens viden.

Kort sagt modtog Zerotistics projekt data, som en konto allerede var autoriseret til at se. nRootTag forsøgte derimod at skabe et uautoriseret sporingsværktøj. Hvis de to projekter blandes sammen, kommer Linux-demonstrationen til at lyde langt mere omfattende, end dokumentationen understøtter.

Det oprindelige mål og tidsforbruget

Motivationen var ifølge forskeren samtykkebaseret automatisering. En ven, der allerede delte sin placering, havde sagt ja til, at et Linux-system skulle holde lokale geofences og sende Discord-notifikationer, når personen ankom til eller forlod bestemte steder.

Zerotistic forventede oprindeligt, at opgaven blot ville kræve en godkendt webanmodning, og vurderede, at det måske kunne klares på en aften. Reverse engineering-arbejdet voksede imidlertid betydeligt ud over den første forventning. De tilgængelige kilder fastslår ikke en præcis samlet varighed for det færdige projekt, så et mere nøjagtigt tidsestimat vil være spekulativt.

Hvad har Apple sagt?

De citerede kilder bekræfter demonstrationen, men indeholder ikke en verificeret offentlig udtalelse fra Apple om netop denne Linux-implementering af Find My People, en bekræftet rettelse eller et offentliggjort resultat fra Apples bug bounty-program.

Den centrale pointe står derfor stadig: At begrænse en funktion til Apple-hardware gør ikke automatisk hardwaren til selve sikkerhedsgrænsen. Hvis tillid på serversiden primært tildeles ud fra legitimationsoplysninger, certifikater, funktioner og forventet protokoladfærd, kan en tilstrækkeligt kompatibel klient på et andet operativsystem muligvis krydse produktgrænsen – samtidig med at den stadig er begrænset af de kontotilladelser og kryptografiske nøgler, den legitimt får adgang til.