Linux Bisa Mengakses Find My People Apple—Tetapi Bukan Berarti Enkripsinya Jebol
Klien Linux Zerotistic hanya dapat menerima lokasi orang yang sebelumnya sudah membagikannya kepada Apple Account milik peneliti. Proyek ini meniru proses login GrandSlam, pendaftaran perangkat, Identity Services, APNs, serta alur permintaan Find My untuk memperoleh kunci lokasi yang sah.
Klien Linux Zerotistic hanya dapat menerima lokasi orang yang sebelumnya sudah membagikannya kepada Apple Account milik peneliti.
Proyek ini meniru proses login GrandSlam, pendaftaran perangkat, Identity Services, APNs, serta alur permintaan Find My untuk memperoleh kunci lokasi yang sah.
Berbeda dari riset nRootTag pada 2025, temuan ini adalah persoalan interoperabilitas dan batas kepercayaan, bukan metode untuk mengubah komputer menjadi pelacak mirip AirTag secara diam diam.
How did the 22-year-old security researcher known as “Zerotistic” make Apple’s Find My People location-sharing system work entirely from a LA protocol-level trust boundary, rather than Apple hardware alone, determined whether the Linux client could receive an authorized Find My People share.
AI Perintah
Create a landscape editorial hero image for this Studio Global article: How did the 22-year-old security researcher known as “Zerotistic” make Apple’s Find My People location-sharing system work entirely from a L. Article summary: Zerotistic did not break Find My’s encryption or bypass a person’s sharing consent. Instead, they reproduced enough of Apple’s undocumented account, device-enrollment, IDS, APNs, and Find My client behavior for Linux to . Topic tags: general, academic, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, water
openai.com
Peneliti keamanan yang menggunakan nama samaran Zerotistic mendemonstrasikan bahwa fitur Find My People milik Apple dapat digunakan dari komputer Linux, meski Apple secara resmi membatasi fitur tersebut pada perangkat buatannya sendiri. Caranya bukan dengan memecahkan enkripsi, melainkan dengan mereproduksi bagian-bagian penting dari protokol akun, pendaftaran perangkat, pesan, dan Find My hingga server Apple menerima Linux sebagai perangkat yang berwenang.
Batasannya sangat penting: klien Linux tersebut hanya dapat membaca lokasi yang memang sudah dibagikan kepada Apple Account yang digunakan dalam pengujian. Klien itu tidak dapat melewati keputusan berbagi lokasi seseorang, melacak pengguna Apple secara acak, atau membobol enkripsi Find My.
Inti temuan: perangkat keras Apple bukan satu-satunya batas kepercayaan
Pembatasan Apple ternyata berfungsi sebagai batas implementasi dan kebijakan produk pada alur ini, bukan keharusan kriptografis mutlak yang hanya bisa dipenuhi perangkat keras Apple. Setelah klien Linux menyediakan kredensial akun, identitas perangkat, sertifikat, kapabilitas, dan perilaku jaringan yang diharapkan, server Apple memperlakukannya seperti penerima tepercaya lainnya.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Apa jawaban singkat untuk "Linux Bisa Mengakses Find My People Apple—Tetapi Bukan Berarti Enkripsinya Jebol"?
Klien Linux Zerotistic hanya dapat menerima lokasi orang yang sebelumnya sudah membagikannya kepada Apple Account milik peneliti.
Apa poin penting yang harus divalidasi terlebih dahulu?
Klien Linux Zerotistic hanya dapat menerima lokasi orang yang sebelumnya sudah membagikannya kepada Apple Account milik peneliti. Proyek ini meniru proses login GrandSlam, pendaftaran perangkat, Identity Services, APNs, serta alur permintaan Find My untuk memperoleh kunci lokasi yang sah.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Berbeda dari riset nRootTag pada 2025, temuan ini adalah persoalan interoperabilitas dan batas kepercayaan, bukan metode untuk mengubah komputer menjadi pelacak mirip AirTag secara diam diam.
Artinya, penelitian ini tidak menunjukkan bahwa siapa pun dapat membuka Find My dari komputer Linux anonim. Yang ditunjukkan adalah bahwa sistem operasi non-Apple dapat meniru perilaku klien yang relevan setelah menyelesaikan proses autentikasi dan pendaftaran Apple.
Bagaimana klien Linux meniru alur Find My
Proyek tersebut menghubungkan sejumlah komponen internal ekosistem Apple yang biasanya tidak terlihat oleh pengguna:
Autentikasi akun: Zerotistic menggunakan protokol login GrandSlam milik Apple. Alur yang dilaporkan mencakup pertukaran Secure Remote Password (SRP) dan autentikasi dua faktor, yang menghasilkan pengenal akun serta token berumur pendek yang berfungsi sebagai padanan kata sandi.
Pendaftaran perangkat: Klien membuat permintaan penandatanganan sertifikat PKCS#10 yang berisi kunci RSA 2048 bit dan tanda tangan SHA-1. Permintaan itu dikirim ke endpoint pendaftaran profil lama Apple, authenticateDS, yang kemudian mengembalikan sertifikat Apple Identity Services.
Registrasi IDS: Dengan sertifikat dan materi identitas perangkat tersebut, Linux dapat mendaftar sebagai perangkat yang mendukung Identity Services, menyatakan jenis enkripsi yang didukung, berlangganan sublayanan pesan yang dibutuhkan, serta memperoleh kredensial pengiriman dari Apple Push Notification Service (APNs).
Sinkronisasi Find My: Klien meniru urutan permintaan Find My People seperti pada perangkat asli, termasuk inisialisasi, operasi penyegaran, dan permintaan SubscribeAndFetch dengan
intent: distributeKeys
serta
mode: proactive
. Apple lalu menginstruksikan perangkat kontak yang telah menyetujui berbagi lokasi untuk mengirim materi kunci lokasi terbaru kepada identitas yang baru didaftarkan melalui IDS dan APNs.
Dekripsi lokal: Payload IDS terenkripsi berisi materi kunci hubungan dan SearchParty. Pustaka sumber terbuka pypush menangani lapisan push dan IDS, sedangkan FindMy.py mengambil serta mendekripsi laporan Find My menjadi koordinat lokasi, waktu, dan data akurasi.
Dengan demikian, yang dilakukan adalah emulasi protokol—bukan pemalsuan sertifikat Apple. Server tetap menerbitkan kredensial setelah rangkaian autentikasi akun dan pendaftaran selesai.
Apa yang diungkap payload IDS tentang distribusi kunci
Perilaku SubscribeAndFetch yang didemonstrasikan menunjukkan bahwa Apple dapat mengirim materi kunci lokasi terbaru ke perangkat berwenang yang baru ditambahkan, selama hubungan berbagi lokasi sudah ada. Hal ini masuk akal untuk penggantian perangkat dan sinkronisasi akun: pengguna tidak perlu meminta setiap kontak menghentikan lalu memulai ulang berbagi lokasi hanya karena mereka menambahkan perangkat baru.
Payload yang dilaporkan memuat pengenal hubungan, indeks kunci, kunci iklan yang telah di-hash sepanjang 32 byte, serta representasi kunci privat sepanjang 85 byte. Kombinasi tersebut menunjukkan bahwa dekripsi laporan lokasi Find My bergantung pada materi yang terkait dengan hubungan tertentu dan versi kunci tertentu, yang dapat didistribusikan ulang melalui IDS.
Tulisan publik tersebut memperlihatkan perilaku sinkronisasi dan rotasi kunci, tetapi tidak menetapkan interval rotasi kunci yang berlaku universal. Jadi, yang dapat disimpulkan adalah bagaimana status kunci saat ini dikirimkan—bukan spesifikasi publik lengkap mengenai jadwal pengelolaan kunci Apple.
Kemampuan dan keterbatasan klien Linux
Klien yang diuji sengaja dibuat terbatas. Klien itu dapat membaca lokasi yang sudah disetujui untuk dibagikan kepada Apple Account milik peneliti, lalu memproses datanya secara lokal. Logika geofencing juga dijalankan di komputer lokal, bukan melalui fitur geofencing yang di-host Apple.
Menurut penjelasan Zerotistic, klien tersebut tidak memiliki fungsi untuk:
mengirim undangan berbagi lokasi baru;
mengubah izin berbagi yang sudah ada;
menambahkan anggota keluarga;
membuat geofence yang dikelola Apple; atau
mengirim perintah ke perangkat.
Karena itu, temuan ini lebih tepat dipahami sebagai persoalan interoperabilitas dan batas kepercayaan, bukan eksploitasi untuk melacak orang secara acak dari jarak jauh. Risiko privasi yang lebih realistis muncul jika Apple Account atau perangkat tepercaya berhasil diambil alih: lokasi yang sudah tersedia bagi akun tersebut berpotensi terekspos.
Perbedaan dengan riset nRootTag pada 2025
Demonstrasi Zerotistic dan nRootTag menyasar bagian Find My yang berbeda, dengan model ancaman yang juga berbeda.
Zerotistic berfokus pada Find My People. Proyeknya mereproduksi sisi penerima dari hubungan berbagi lokasi yang sudah sah. Akun dan perangkat harus diterima oleh Apple, sementara lokasi seseorang harus sudah dibagikan kepada akun tersebut.
nRootTag menargetkan Find My Network dan pencarian offline. Para peneliti melaporkan bahwa layanan Apple menerima berbagai jenis alamat Bluetooth, termasuk yang berada di luar jenis alamat acak statis yang diharapkan. Kelemahan ini dapat memungkinkan komputer berkemampuan Bluetooth berperilaku seperti pelacak mirip AirTag, dengan memanfaatkan perangkat Apple di sekitar untuk meneruskan lokasinya tanpa sepengetahuan pemilik perangkat target.
Singkatnya, proyek Zerotistic menerima data yang memang sudah berhak dilihat oleh sebuah akun, sedangkan nRootTag berupaya menciptakan kemampuan pelacakan yang tidak berwenang. Menyamakan keduanya akan membuat demonstrasi Linux tersebut terdengar jauh lebih kuat daripada yang didukung bukti.
Tujuan awal dan perkiraan waktu pengerjaan
Motivasi awal Zerotistic disebut bersifat berbasis persetujuan. Seorang teman yang sudah membagikan lokasinya menyetujui sistem Linux yang memelihara geofence secara lokal dan mengirim notifikasi Discord ketika orang tersebut tiba di atau meninggalkan lokasi tertentu.
Pada awalnya, Zerotistic memperkirakan tugas itu hanya memerlukan permintaan web yang telah diautentikasi dan sekitar satu malam pengerjaan. Namun, proses rekayasa balik berkembang jauh melampaui perkiraan tersebut. Sumber yang tersedia tidak menetapkan durasi total proyek secara presisi, sehingga angka yang lebih spesifik akan bersifat spekulatif.
Belum ada tanggapan Apple yang terverifikasi
Pelaporan yang dikutip mengonfirmasi demonstrasi tersebut, tetapi belum menyediakan pernyataan publik Apple yang terverifikasi mengenai implementasi Find My People di Linux ini, perbaikan khusus yang telah diterapkan, atau hasil program bug bounty terkait.
Pelajaran utamanya tetap jelas: membatasi sebuah fitur pada perangkat keras Apple tidak otomatis menjadikan perangkat keras itu sendiri sebagai batas keamanan. Jika kepercayaan server terutama diberikan berdasarkan kredensial, sertifikat, kapabilitas, dan perilaku protokol, klien yang cukup kompatibel pada sistem operasi lain mungkin dapat melewati batas produk—meski tetap dibatasi oleh izin akun dan kunci kriptografis yang diperolehnya secara sah.
