Como o Zerotistic fez o Find My People da Apple funcionar no Linux sem quebrar a criptografia
O cliente Linux só conseguia receber a localização de pessoas que já haviam compartilhado esses dados com a Conta Apple usada no teste. O projeto reproduziu o login GrandSlam, o cadastro do dispositivo, o Apple Identity Services, o APNs e o fluxo de requisições do Find My para obter chaves de localização autorizadas.
O cliente Linux só conseguia receber a localização de pessoas que já haviam compartilhado esses dados com a Conta Apple usada no teste.
O projeto reproduziu o login GrandSlam, o cadastro do dispositivo, o Apple Identity Services, o APNs e o fluxo de requisições do Find My para obter chaves de localização autorizadas.
Diferentemente do nRootTag, de 2025, o caso foi uma descoberta sobre interoperabilidade e limites de confiança — não um método para transformar um computador em um rastreador oculto semelhante a um AirTag.
How did the 22-year-old security researcher known as “Zerotistic” make Apple’s Find My People location-sharing system work entirely from a LA protocol-level trust boundary, rather than Apple hardware alone, determined whether the Linux client could receive an authorized Find My People share.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: How did the 22-year-old security researcher known as “Zerotistic” make Apple’s Find My People location-sharing system work entirely from a L. Article summary: Zerotistic did not break Find My’s encryption or bypass a person’s sharing consent. Instead, they reproduced enough of Apple’s undocumented account, device-enrollment, IDS, APNs, and Find My client behavior for Linux to . Topic tags: general, academic, education, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, water
openai.com
O pesquisador de segurança conhecido como Zerotistic demonstrou que o Find My People, recurso de compartilhamento de localização da Apple, poderia funcionar a partir de uma máquina Linux, apesar de a empresa apresentar a função como restrita aos próprios dispositivos. Para isso, ele reproduziu uma parte suficiente dos protocolos privados de conta, cadastro, mensagens e Find My para que o Linux fosse aceito pelos servidores como outro dispositivo autorizado.
A ressalva mais importante está no alcance do resultado: o cliente Linux só conseguia ler uma localização que a Conta Apple já tivesse permissão para receber. O trabalho não permitia ignorar a decisão de compartilhamento de um contato, localizar usuários arbitrários da Apple nem quebrar a criptografia do Find My.
A principal descoberta: a exclusividade de hardware não era toda a fronteira de confiança
Nesse caminho específico, a restrição aos dispositivos Apple se mostrou mais uma barreira de implementação e política de produto do que uma exigência criptográfica absoluta de hardware fabricado pela empresa. Depois que o cliente Linux forneceu as credenciais, a identidade do dispositivo, certificados, capacidades e comportamento de rede esperados pelos serviços da Apple, os servidores passaram a tratá-lo como outro receptor confiável.
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Como o Zerotistic fez o Find My People da Apple funcionar no Linux sem quebrar a criptografia"?
O cliente Linux só conseguia receber a localização de pessoas que já haviam compartilhado esses dados com a Conta Apple usada no teste.
Quais são os pontos-chave para validar primeiro?
O cliente Linux só conseguia receber a localização de pessoas que já haviam compartilhado esses dados com a Conta Apple usada no teste. O projeto reproduziu o login GrandSlam, o cadastro do dispositivo, o Apple Identity Services, o APNs e o fluxo de requisições do Find My para obter chaves de localização autorizadas.
O que devo fazer a seguir na prática?
Diferentemente do nRootTag, de 2025, o caso foi uma descoberta sobre interoperabilidade e limites de confiança — não um método para transformar um computador em um rastreador oculto semelhante a um AirTag.
A diferença é essencial. A pesquisa não mostrou que qualquer pessoa pode consultar o Find My a partir de um computador Linux anônimo. O que ela demonstrou foi que um sistema operacional não fabricado pela Apple poderia reproduzir o comportamento relevante do cliente depois de concluir as etapas de autenticação e cadastro exigidas pela companhia.
Como o cliente Linux reproduziu o fluxo do Find My
O projeto conectou várias partes normalmente ocultas do ecossistema da Apple:
Autenticação da conta: Zerotistic usou o protocolo de login GrandSlam. O fluxo relatado incluiu uma troca baseada em Secure Remote Password (SRP) e autenticação em dois fatores, gerando identificadores da conta e um token temporário equivalente a uma senha.
Cadastro do dispositivo: o cliente criou uma solicitação de assinatura de certificado, ou CSR, no formato PKCS#10, contendo uma chave RSA de 2.048 bits e uma assinatura SHA-1. Essa solicitação foi enviada ao endpoint legado de cadastro authenticateDS, que devolveu um certificado do Apple Identity Services.
Registro no IDS: com o certificado e os dados associados ao dispositivo, o Linux pôde se registrar como um dispositivo compatível com o Identity Services, declarar os tipos de criptografia suportados, assinar os subserviços de mensagens necessários e obter credenciais de entrega do Apple Push Notification Service (APNs).
Sincronização com o Find My: o cliente reproduziu a sequência de requisições do Find My People nativo, incluindo inicialização, operações de atualização e uma solicitação SubscribeAndFetch com
intent: distributeKeys
e
mode: proactive
. Em seguida, a Apple orientou o dispositivo do contato que havia autorizado o compartilhamento a enviar o material atual de chaves de localização à nova identidade cadastrada, por meio do IDS e do APNs.
Descriptografia local: o conteúdo criptografado enviado pelo IDS incluía dados da relação de compartilhamento e material de chaves do SearchParty. A biblioteca de código aberto pypush cuidou da camada de push e IDS, enquanto o FindMy.py consultou e descriptografou os relatórios do Find My, convertendo-os em coordenadas, horários e dados de precisão.
Isso foi uma emulação de protocolo, não a falsificação de um certificado da Apple. Os próprios servidores ainda emitiram as credenciais depois que a sequência de autenticação da conta e cadastro foi concluída.
O que o payload do IDS revelou sobre a distribuição de chaves
O comportamento demonstrado pelo SubscribeAndFetch sugere que a Apple consegue entregar o material atual de chaves de localização a um dispositivo recém-autorizado quando já existe uma relação de compartilhamento. Isso é necessário para a substituição e a sincronização de dispositivos: na prática, o usuário não deveria precisar pedir que cada contato interrompesse e reiniciasse o compartilhamento sempre que adicionasse um novo aparelho.
O payload relatado incluía um identificador da relação, um índice de chave, uma chave de anúncio com hash de 32 bytes e uma representação de chave privada de 85 bytes. Juntos, esses campos indicam que a descriptografia dos relatórios de localização do Find My depende de material específico da relação e da versão da chave, que pode ser redistribuído pelo IDS.
O texto público demonstra comportamentos de sincronização e rotação, mas não estabelece um intervalo universal para a troca de chaves. Essa é uma limitação importante do que se pode concluir: a pesquisa mostra como o estado atual das chaves é entregue, não uma especificação pública completa do calendário de gerenciamento dessas chaves.
O que o cliente Linux conseguia — e o que não conseguia fazer
O cliente testado era propositalmente limitado. Ele podia ler um compartilhamento de localização já aceito na Conta Apple do pesquisador e processar os dados localmente. A lógica de geofencing — criação de cercas virtuais para detectar entradas e saídas de áreas — também era executada na máquina, e não por um recurso hospedado nos servidores da Apple.
Segundo o relato, o cliente não tinha funções para:
enviar novos convites de compartilhamento de localização;
alterar permissões de compartilhamentos existentes;
adicionar integrantes da família;
criar geofences hospedadas pela Apple; ou
emitir comandos para dispositivos.
Por isso, o resultado deve ser entendido como uma descoberta de interoperabilidade e de fronteira de confiança, não como um exploit remoto para rastrear qualquer pessoa. A preocupação de segurança mais plausível envolve o comprometimento de uma conta ou de um dispositivo confiável: se um invasor assumisse o controle de uma Conta Apple ou cadastrasse nela um dispositivo não autorizado, os compartilhamentos já disponíveis para aquela conta poderiam ser expostos.
Diferença em relação à pesquisa nRootTag, de 2025
O trabalho do Zerotistic e o nRootTag exploraram partes diferentes do Find My e representam modelos de ameaça distintos.
O Zerotistic se concentrou no Find My People. A pesquisa reproduziu o lado receptor de uma relação de compartilhamento existente e autorizada. A conta e o dispositivo precisavam ser aceitos pela Apple, e a pessoa precisava ter compartilhado sua localização com aquela conta.
O nRootTag teve como alvo o Find My Network e a localização offline. Os pesquisadores relataram que o serviço da Apple aceitava tipos de endereço Bluetooth além dos endereços estáticos aleatórios esperados. Essa falha poderia permitir que um invasor fizesse um computador com Bluetooth se comportar como um rastreador semelhante a um AirTag, usando dispositivos Apple próximos para retransmitir sua localização sem o conhecimento do proprietário do equipamento.
Em resumo, o projeto do Zerotistic recebeu dados que uma conta já estava autorizada a visualizar; o nRootTag buscou criar uma capacidade de rastreamento não autorizada. Misturar os dois casos faz a demonstração do Linux parecer mais poderosa do que as evidências indicam.
O objetivo original e quanto tempo o projeto levou
A motivação declarada era a automação baseada em consentimento. Um amigo que já compartilhava sua localização concordou com um sistema Linux que manteria geofences locais e enviaria notificações pelo Discord quando a pessoa chegasse ou saísse de determinados lugares.
Inicialmente, Zerotistic esperava que a tarefa exigisse apenas uma requisição web autenticada e estimava cerca de uma noite de trabalho. A engenharia reversa, porém, cresceu muito além dessa expectativa inicial. Os relatos disponíveis não estabelecem uma duração total precisa para o projeto concluído; portanto, afirmar um prazo mais exato seria especulação.
O que a Apple disse
As reportagens citadas confirmam a demonstração, mas não apresentam uma declaração pública verificável da Apple sobre essa implementação específica do Find My People no Linux, uma correção confirmada ou um resultado divulgado de programa de recompensas por bugs.
A principal lição permanece: restringir um recurso ao hardware da Apple não transforma automaticamente esse hardware na fronteira de segurança. Se a confiança no servidor for concedida principalmente com base em credenciais, certificados, capacidades e comportamento de protocolo, um cliente suficientemente compatível em outro sistema operacional poderá atravessar a fronteira do produto — ainda limitado pelas permissões da conta e pelas chaves criptográficas que conseguir obter legitimamente.
