После выпуска macOS Big Sur в четверг у пользователей Mac начались проблемы с запуском приложений. На странице состояния системы Apple объяснила ситуацию трудностями со службой подписи приложений, а разработчик Джефф Джонсон отметил, что возникли сложности с подключением к серверу компании OCSP.
Вскоре после этого исследователь безопасности Джеффри Пол опубликовал заметку в блоге под названием «Ваш компьютер не ваш», в котором он поднял вопрос конфиденциальности и безопасности, связанные с тем, что компьютеры Mac «стучатся» на сервер Apple OCSP. Другими словами, по словам Пола, трафик OCSP, который генерирует macOS, не зашифрован и потенциально может быть перехвачен.
Apple отреагировала на этот вопрос, обновив свой документ поддержки «Безопасный запуск приложений на вашем Mac». Появился новый раздел «Защита конфиденциальности», в котором сообщается, что macOS разработана для обеспечения безопасности пользователей и их данных.
«Gatekeeper выполняет онлайн-проверки на наличие известного вредоносного ПО и отозван ли сертификат подписи разработчика. Мы никогда не объединяли данные этих проверок с информацией о пользователях или их устройствах. Мы не используем данные этих проверок, чтобы узнать, что конкретные пользователи запускают на своих компьютерах.
Notarization проверяет, содержит ли приложение вредоносный код, используя зашифрованное соединение, устойчивое к сбоям сервера.
Эти проверки никогда не содержали Apple ID, а также информацию о личности и устройстве. Для дальнейшей защиты конфиденциальности мы прекратили регистрацию IP-адресов, связанных с проверками сертификатов Developer ID, и гарантируем, что все собранные IP-адреса будут удалены из журналов», — Apple.
Купертиновцы поясняют, что пользовательские данные не собираются во время проверки безопасности и что они планируют удалить всю информацию по IP из своих журналов. Кроме того, они планируют внести в систему несколько изменений в течение следующего года, в том числе:
- новый зашифрованный протокол для проверки отзыва сертификата Developer ID
- надежная защита от сбоя сервера
- возможность для пользователей отказаться от этих средств защиты
