Apple Find My parla con Linux grazie a un trucco scoperto da un ricercatore

Un ricercatore di sicurezza, noto online come Zerotistic, ha dimostrato che un computer Linux può interagire con i servizi privati di Apple normalmente utilizzati da Find My (app nota anche come Dov’è nel contesto italiano). Il sistema riesce a registrarsi come dispositivo autorizzato e a ricevere dati di posizione relativi a persone che avevano già scelto di condividere la propria posizione con l’account coinvolto.

Non si tratta, quindi, di un accesso casuale alle coordinate degli utenti né di un metodo per localizzare sconosciuti. La ricerca evidenzia piuttosto come autenticazione, certificati, chiavi crittografiche e protocolli proprietari possano essere ricostruiti al di fuori di iOS e macOS, fino a convincere l’infrastruttura Apple a trattare Linux come un client compatibile.

Come Linux supera i controlli di Apple

Find My ha ampliato le proprie funzioni nel 2019, con iOS 13, iPadOS 13.1 e macOS 10.15, introducendo anche il rintracciamento offline. In questo scenario, i dispositivi Apple vicini rilevano via Bluetooth gli apparati smarriti e inoltrano la posizione in forma cifrata. Apple descrive l’architettura come end-to-end, con chiavi private che non vengono trasmesse ai suoi server.

La condivisione della posizione tra persone segue però un percorso distinto. Un account può ricevere i dati dei contatti che hanno concesso esplicitamente tale autorizzazione, mentre l’accesso dal Web non replica tutte le funzioni disponibili nell’app Find My. Zerotistic ha studiato proprio i protocolli usati dai servizi interni, senza tentare di creare una semplice alternativa grafica per Linux.

Il primo passaggio ha coinvolto GrandSlam, il sistema di autenticazione degli account Apple. Dal materiale ottenuto, il ricercatore ha creato una richiesta di certificazione per ricevere un certificato IDS, associato ai servizi Apple Identity Services. La richiesta CSR utilizzava una chiave RSA da 2048 bit e una firma SHA-1, una scelta probabilmente legata alla compatibilità con un endpoint legacy chiamato authenticateDS.

Dopo aver ricevuto il certificato, il computer ha inviato una richiesta di registrazione comprendente sei sottoservizi, le capacità crittografiche supportate e le chiavi pubbliche necessarie. La richiesta era firmata anche con un certificato APNs. Linux ha quindi mantenuto una connessione TLS binaria verso i server Apple, risultando associato all’account come dispositivo compatibile.

Quali dati può ricevere il dispositivo

La registrazione non garantiva automaticamente l’accesso alle posizioni condivise. Zerotistic ha dovuto utilizzare una richiesta denominata SubscribeAndFetch, che ha restituito una chiave cifrata collegata alla condivisione già autorizzata da un contatto. Il dato è cruciale: non è stata ottenuta una chiave universale per tutte le posizioni gestite da Find My, ma soltanto il materiale crittografico relativo a una relazione esistente.

I dati ricevuti dal servizio SearchParty restavano inizialmente cifrati. Attraverso uno script, il ricercatore ha elaborato l’envelope crittografico, estratto la chiave di posizione e decifrato coordinate, timestamp e indicazioni sull’accuratezza. Lo stesso procedimento permetteva di ricevere gli aggiornamenti successivi.

La scoperta non dimostra dunque una rottura diretta della crittografia di Find My. Il problema riguarda il controllo dell’identità del client: Apple sembra verificare certificati, chiavi e capacità protocollari più che l’origine fisica dell’hardware. Se questi elementi possono essere riprodotti, un sistema non Apple può tentare di ottenere la fiducia normalmente riservata a iPhone, iPad e Mac.

Per riuscire nell’esperimento servivano comunque un account controllato dal ricercatore, certificati validi, una registrazione completata e una condivisione della posizione già autorizzata. L’impatto appare quindi legato all’estensione dei limiti di piattaforma, non a un accesso indiscriminato alle coordinate degli utenti. Al momento della pubblicazione, Apple non aveva ancora comunicato eventuali interventi sui servizi coinvolti. Possibili contromisure includono controlli più severi sull’attestazione dei dispositivi, restrizioni sull’endpoint legacy e verifiche aggiuntive prima della consegna delle chiavi.