iPhone, который за мной следил

В последние годы одним из самых перспективных и динамично развивающихся направлений IT-бизнеса все чаще называют мобильную геолокацию. Иначе говоря, постоянно носимые современным человеком гаджеты дают возможность весьма эффективно вычислять текущие географические координаты владельца по сигналам от ближайших мачт сотовой связи или точек доступа WiFi-сетей…

С точки зрения бизнеса это означает, что особенно важным для успеха коммерческого предприятия становится вопрос «Где?»: где именно люди живут; куда они ходят; где, когда и как они тратят свои деньги. Поэтому совсем неудивительно, сколь большой интерес вызывает у профессионалов проводимая с некоторых пор в Калифорнии специализированная бизнес-конференция O'Reilly Where 2.0 — представительный форум, собирающий вместе специалистов из всех областей, так или иначе определяющих успехи и тенденции в области мобильной геолокации.

Неприятное открытие
Случилось, однако, так, что на нынешнем форуме Where 2.0, проходившем в г. Санта-Клара в двадцатых числах апреля, самым значительным событием, получившим мощный резонанс в средствах массовой информации, оказалось выступление отнюдь не в мажорном настрое. Скорее, даже наоборот.

Исследование двух программистов-разработчиков, Пита Уордена и Алесдэра Аллена (Pete Warden, Alasdair Allan), обнаруживших в устройствах Apple недокументированные и весьма специфические функции геолокации, вызвало у большинства думающих людей сильнейшее чувство беспокойства и дискомфорта (врачи уже всерьез задумываются о регистрации нового заболевания butthurtus ordinaria. — прим. ред.)

Суть нехорошего факта, обнаруженного Уорденом и Алленом, сводится к тому, что в смартфонах iPhone постоянно и тайно от владельца ведется неограниченной, похоже, длины лог-журнал, где подробнейшим образом фиксируется вся история географических перемещений телефона, а значит, и его счастливого обладателя.

Сразу же имеет смысл отметить, что оба исследователя совсем не эксперты в области защиты информации (дальше станет яснее, почему это существенно). А кроме того, они являются давними и преданными фанатами продукции Apple. По этой причине Уордену и Аллену было особенно непросто рассказывать о своем открытии, сделанном, в общем-то, совершенно случайно.

Как специалисты по цифровым картам и геолокации, они по заказу одной из крупных газет занимались задачей наглядного отображения картины, складывающейся с динамикой радиоактивного заражения в дальневосточном регионе из-за аварий на АЭС «Фукусима». В какой-то момент родилась идея задействовать сигналы геолокации от мобильных телефонов.

Ну а в качестве первого шага исследователи полезли в файлы собственных iPhone — дабы посмотреть, что за данные там уже имеются в готовом виде. Для анализа этой информации можно было бы сконструировать специальное приложение, автоматически привязывающее звонок об уровне радиации к точному географическому местоположению звонящего.

Так и был обнаружен ставший мгновенно знаменитым файл «сonsolidated.db», скрупулезно регистрирующий не только текущее местоположение телефона, но и много-много чего еще.

Начиная с операционной системы iOS 4, в iPhone ведется компактная база данных SQLite, имеющая в своем составе таблицы под названиями «CellLocation», «CdmaCellLocaton» и «WifiLocation» (т.е. местоположения GSM-ячеек, CDMA-ячеек и точек доступа Wifi). Записи в этих таблицах соответствуют отметкам о геолокационной информации, автоматически генерируемой телефоном на основе данных, получаемых от ближайших беспроводных сетей.

Каждая из этих таблиц содержит данные о географической широте и долготе места в сочетании с меткой о дате и времени «засечки». Кроме того, в таблицах имеются дополнительные, пока что не всегда используемые поля, предназначенные для регистрации таких параметров, как высота над уровнем моря, скорость перемещения, уровень доверия к данным, точность геолокации по горизонтали и точность по вертикали.

Интересно также отметить, что таблица WifiLocation регистрирует — наряду с оценочными данными об их широте и долготе — еще и MAC-адреса каждого из тех узлов сетей WiFi, с которыми доводилось контактировать iPhone.

Например, в одном из конкретных аппаратов исследователей, купленном всего два месяца назад, обнаружились записи о 53 000 (!) разных MAC-адресов. На основании этой цифры становится понятно, что в базе фиксируются данные не только о сетях, с которыми у владельца было реальное соединение, но и вообще обо всех «увиденных» телефоном (вроде сетей в кафе, мимо которых люди чаще всего проходят, не подключаясь).

Чтобы наглядно продемонстрировать природу накапливаемых данных, Пит Уорден написал и выложил для всех в Сеть небольшое приложение под названием iPhone Tracker. На основе информации файла consolidated.db, извлекаемой из iPhone, этот трекер выстраивает диаграмму всех перемещений владельца в привязке к географической карте — начиная с момента покупки и инициализации телефона (и даже, как выясняется, ранее того).

Попутно это же приложение позволяет воспроизвести и динамику перемещений, показывая точное местоположение владельцев в любой из тех моментов времени, когда у них при себе был iPhone.

Благодаря простоте и наглядности приложения iPhone Tracker, собственно говоря, это исследование и получило столь большой резонанс в прессе. Потому что практически для любого журналиста — учитывая гиперпопулярность «айфонов» и их почти непременную синхронизацию с компьютером — оказалось совсем легко самостоятельно проинспектировать содержимое столь информативного, но прежде «секретного» файла.

Когда владелец смартфона синхронизирует свой iPhone с компьютером, программа iTunes, в данном случае выступающая средством синхронизации, автоматически создает на диске машины полный резервный архив данных, хранимых в устройстве. В этом резервном архиве каждый раз обновляются не только свежий контент, контакты и приложения, которые были модифицированы или скачаны с момента предыдущей синхронизации, но и геолокационная база данных.

Еще недавно шпионские средства приходилось разрабатывать за счет государства и тратить на это и последующее внедрение в жизнь изучаемого объекта немалые средства. Теперь же граждане покупают соответствующее оборудование бесплатно и даже выстраиваются за ним в очереди

Более того, как установили исследователи, информация о точках геолокации тщательно сохраняется даже при смене устройств владельцем, включая апгрейды с модели iPhone 3GS до iPhone 4. Иначе говоря, перенос базы данных о местоположениях хозяина телефона выглядит как одна из существенных функций в общем процессе миграции с одного устройства на другое...

Самым тревожным обстоятельством во всей этой истории исследователям-первооткрывателям видится то, что корпорация Apple не предоставляет владельцам iPhone никаких средств для управления столь критичной информацией в собственных аппаратах. И хуже того, Apple вообще предпочла не раскрывать практически никаких сведений о специфике геолокационных функций, зашитых в столь широко распространенные ныне устройства...

Это не новость?

Как уже говорилось, публикация исследовательских результатов Уордена и Аллена вызвала сильный резонанс в Интернете и множество содержательных отзывов в блогах или дискуссионных форумах. И уже по первой волне комментариев со стороны специалистов и просто людей, явно ориентирующихся в теме, было несложно углядеть энергичные попытки к тому, чтобы всячески принизить значимость открытия.

Первым делом, естественно, вспомнили о так называемом EULA, т.е. «лицензионном соглашении конечного пользователя», с условиями которого всякий владелец iPhone обязан согласиться еще до начала использования купленного аппарата. Это самое EULA содержит порядка тридцати страниц текста и практически никто его, ясное дело, внимательно не читает.

Однако в разделе 4b этого документа, озаглавленном «Данные о местоположении», в явном виде прописано, что «Apple и ее партнеры могут предоставлять через ваш iPhone определенные услуги, которые опираются на информацию о местоположении.

Чтобы предоставлять эти услуги, Apple и ее партнеры могут передавать, накапливать, обрабатывать и использовать данные о вашем местоположении, включая географические координаты вашего iPhone в реальном времени»... Иначе говоря, вас предупреждали, так что формально никаких претензий к фирме быть не может.

Далее напомнили о том, что было уже известно и ранее. Дескать, да, в Apple давно признали, что накапливают с помощью своих пользователей гигантскую базу геолокационных данных с точными координатами MAC-адресов всевозможных сетей Wi-Fi.

Этот факт был раскрыт на слушаниях в Палате представителей Конгресса США в середине 2010 г., когда корпорация признала, что такая информация собирается, сохраняется, а затем передается из операционной системы iOS каждого аппарата обратно в фирму Apple. Но передача происходит лишь при условии, что владельцы устройств на это согласились — в принятых по умолчанию настройках параметров «айфона».

Попутно в комментариях было отмечено, что аналогичные базы данных о геолокации устройства ведут практически все Apple-устройства на основе последних версий iOS — не только iPhone, но и планшеты iPad, и наиболее продвинутые плееры iPod touch.

Самый же, пожалуй, содержательный массив комментариев предоставили специалисты из области компьютерной криминалистики. Они, во-первых, указали на тот факт, что файлы с геолокационными данными чрезвычайно полезны в работе правоохранительных органов, которые уже не первый год используют эту информацию для выстраивания улик обвинения против преступников на основе их же собственных «айфонов».

А в специализированных криминалистических журналах и сборниках статьи о замечательных особенностях устройств Apple iPhone и их резервных архивов, создаваемых с помощью iTunes, появляются по меньшей мере с середины прошлого года (см., например статью за сентябрь 2010 «iPhone 3GS Forensics: Logical analysis using Apple iTunes Backup Utility» by Mona Bader, Ibrahim Baggili.

Во-вторых, как свидетельствуют знающие люди, все iPhone регистрируют данные о геолокации чуть ли не с момента своего появления. Просто прежде, до выпуска на рынок iOS 4.0 в середине 2010 года, соответствующие лог-файлы с информацией о местоположении пользователя не были так легко доступны для анализа обычными средствами. Система iOS 4 сделала задачу по их извлечению несколько проще, однако правоохранительные органы умели работать с геолокационными данными и значительно раньше.

Сами представители такого рода структур, естественно, на данный счет предпочитают помалкивать, однако разработчики криминалистических программ, использующихся при расследованиях, увидели во всей этой теме подходящую площадку для рекламирования своей компетентности и бизнес-продукции.

В частности, весьма содержательно выступил в своем блоге некто Алекс Левинсон (Alex Levinson), еще весьма молодой, но уже ведущий инженер-разработчик в фирме IT-криминалистики Katana Forensics, специализирующейся на следственном сборе всевозможной компрометирующей информации из устройств Apple (редакция мысленно аплодирует обороту «еще молодой, но уже ведущий». — прим. редакции).

Левинсон лично участвовал в создании программы Lantern, флагманского продукта «Катаны», а также был соавтором книги-руководства «Криминалистический анализ iOS применительно к iPhone, iPad and iPod Touch», вышедшей в декабре 2010 года. Иными словами, парня не на шутку задело, что Уорден и Аллен неосторожно назвали своим «открытием» ту геолокационную базу данных, успешным окучиванием которой в интересах полиции и спецслужб он занимается уже давным-давно.

В личном блоге Левинсон так живописует достижения своей компании и самого себя: «[Летом 2010] В течение 24 часов с момента выхода iPhone 4 мы обновили код Lantern до поддержки криминалистического анализа устройств под iOS 4.0. В течение 36 часов мы начали писать новый код для исследования файла consolidated.db.

Как только появился инструмент для джейлбрейка под iOS 4, я написал для подтверждения концепции небольшое приложение, позволяющее извлекать весь контент из consolidated.db и переправлять его на сервер для дистанционного отслеживания перемещений клиента...»

Также Левинсон сообщает, что функции по геолокации аппарата простираются в прошлое намного дальше, нежели считают Уорден и Аллен (предположившие, что такие возможности начали функционировать вместе с появлением ОС Apple iOS 4 в июне прошлого года).

На самом деле, говорит Левинсон, прошлые модели смартфонов Apple имели в себе скрытый файл под именем «h-cells.plist», где накапливались, по сути, те же самые, что и ныне в файле consolidated.db, данные о геолокации, вычисляемые на основе постоянных радиообменов с точками WiFi-доступа и мачтами сотовой связи.

Лог и кеш

Еще одним очевидно неверным предположением Уордена и Аллена, на которое им тут же указали более компетентные специалисты, было их наблюдение, согласно которому в других популярных смартфонах — на основе ОС Google Android, в частности — ничего похожего на consolidated.db не наблюдается.

В действительности смартфоны на базе Android точно так же, как и iPhone, скрупулезно и постоянно вычисляют по радиообменам географические координаты своего местоположения, регистрируя эти данные в специальных геолокационных файлах «cache.cell» и «cache.wifl». Более того, также как и в iPhone, эта информация с согласия владельцев (данного по умолчанию) регулярно переправляется в Google для формирования гигантской геолокационной базы данных.

По сути, единственное — но принципиально важное — различие между двумя этими технологиями заключается в том, что в Android-смартфонах вся подобная информация хранится в кешах лишь ограниченное время и регулярно перезаписывается новыми данными (кеш-файлы хранят данные о 50 последних телефонных сотах и о 200 узлах WiFi).

В то время как в iPhone лог-журнал обо всех радиоконтактах ведется постоянно на протяжении многих и многих месяцев, так что вообще неизвестно, предусмотрено ли для него стирание-обновление в принципе.

Отсюда естественным образом возникает множество интересных вопросов в адрес корпорации Apple. Учитывая немалую популярность «айфонов», ныне уже очень многим — от конгрессменов и правозащитников до журналистов и обычных граждан — хотелось бы представлять, с какой целью лог-журнал телефона хранит всю эту тучу легкодоступной и весьма чувствительной к компрометации информации?

По имеющимся данным, смартфоны на Windows Phone 7 — единственные не сохраняющие информацию о перемещениях своих владельцев. Но злопыхатели утверждают, что они просто сразу же отправляют все данные на сервер Microsoft

Понятно, что для целей точной геолокации абонента нужны только текущие данные. Понятно и то, что сами владельцы аппаратов, как правило, не хотели бы столь подробной и длительной регистрации всех их перемещений.

И уж, по крайней мере, предпочли бы иметь внятное средство контроля за содержимым подобного лог-журнала. Тогда зачем этот огромный массив информации нужен Apple в таком «засекреченном» виде? А если он не нужен им, то кто именно является заказчиком? И на каком вообще основании все это было сделано?

Пиар-реагирование

Как известно, одной из знаменитых особенностей корпорации Apple является то, что практически все проблемы фирмы — включая и инфобезопасность — там принято рассматривать как проблему пиара, то есть правильной подачи информации общественности. К 27 апреля пиар-подразделение Apple подготовило и опубликовало исчерпывающий, как предполагается, пресс-релиз, где в форме десяти вопросов и ответов представлена позиция компании по поводу возникшего недоразумения с «тайнами геолокации».

Поскольку пресс-релиз легкодоступен для всеобщего ознакомления, здесь вряд ли имеет смысл разбирать его содержание в подробностях — достаточно лишь выделить суть. А она, вкратце, такова.

Корпорация признает, что допустила ошибку, не разъяснив как следует клиентам работу своей системы геолокации. Но сама Apple никогда не собирала и не намеревается собирать информацию о местоположении владельцев телефонов — компанию интересуют только данные о географических координатах мачт сотовой связи и точек WiFi-доступа.

Недавно прошел слух, что смартфоны Apple имеют привычку время от времени фотографировать своего владельца и прятать снимки в каком-то особом разделе памяти. Так это или нет, но киношные шпионы с их чудо-гаджетами сразу же подрастеряли часть шарма

Далее корпорация честно признает, что ей подобного рода данные нужны только за последние 7 дней. А то, что во всех ее продуктах лог-журнал о местоположениях владельца ведется постоянно, — так это досадная ошибка программирования, которая будет немедленно исправлена.

Аналогичной ошибкой рассеянных программистов объясняется и то, что система продолжает втихаря вести лог-журнал даже в тех случаях, когда владелец аппарата в явном виде отказался от услуг геолокации. Про то, зачем этот лог-журнал (настойчиво именуемый в пресс-релизе «кешем») не только регулярно пополняется в резервной копии на компьютере, но и переносится на новое Apple-устройство, фирма скромно решила умолчать.

Как бы там ни было, Apple признает допущенные ошибки, заверяет в преданности идеям защиты приватности граждан и обещает все исправить в самое ближайшее время. Так что очень скоро выходящий, новый и бесплатный апдейт для iOS сократит размер геолокационного кеша; перестанет архивировать этот кеш в резервную копию и вообще будет уничтожать данный кеш полностью, когда сервис геолокации владельцем отключен.

Презумпция виновности

Нельзя не признать, что пресс-релиз Apple мастерски и достаточно изящно обходит — насколько это возможно в столь неловкой ситуации — наиболее неприятные вопросы. Трудно, конечно, сказать, для кого опубликованные разъяснения корпорации прозвучат как искреннее и откровенное признание ошибок, случайно допущенных в столь новом и непростом деле.

Но с другой стороны, если смотреть на проблему в более широком контексте, то честный ответ, по большому счету, особо и не требуется. Потому что история с эппловским лог-журналом местоположений, имеющим чуть ли не бесконечную длину, абсолютно органично дополняет множество других аналогичных историй.

О том, например, что все провайдеры мобильной связи хранят лог-файлы с точными метками о дате и времени перемещений всех своих абонентов по сотам сети намного дольше, чем это нужно им самим. Конкретные сроки хранения у разных операторов могут различаться, но все они, как правило, держат информацию на данный счет в строгом секрете.

Зато совершенно не является секретом то, для кого именно подобные сведения представляют большой интерес. Ведь данные обо всех перемещениях абонентов, оказавшихся под следствием или наблюдением спецслужб, всегда предоставляют неоценимую помощь при разработке объектов и сборе на них компромата.

Можно ли всерьез говорить о том, что смартфоны за нами подглядывают, когда миллионы людей добровольно докладывают обо всех своих перемещениях в Foursquare и других подобных сервисах, заодно дублируя информацию в Facebook и Twitter?

Среди других историй того же самого ряда — возлагаемая с некоторых пор на интернет-провайдеров обязанность вести подробные лог-журналы на всех своих клиентов.

В таких журналах (со сроками хранения, исчисляемыми годами) должны фиксироваться адреса всех сайтов, посещаемых пользователями в Интернете, email-адреса корреспондентов, с которыми они переписываются, а также все прочие сетевые контакты в привязке к точным отметкам о дате и времени.

Вспомним и гигантские базы данных в новых транспортных системах контроля за пассажирами в мегаполисах, построенные на базе именных проездных чип-карт и фиксирующие все поездки их владельцев на срок до семи лет...

Если характеризовать все эти многочисленные и повсюду реализуемые ныне IT-инициативы властей предельно кратко, то самым подходящим термином будет «презумпция виновности».

Иначе говоря, поскольку современные инфотехнологии в принципе позволяют подобные вещи реализовать, то абсолютно всех людей по умолчанию стали подразумевать потенциальными преступниками и заранее собирать изобличающий компромат буквально на каждого — авось когда-нибудь да пригодится.

Столь любимый нашими чиновниками Twitter тоже фиксирует место написания каждого сообщения. Отключить можно лишь отображение координат для читателей…

Конечно же, этот оригинальный подход силовых структур и правоохранительных органов находится в прямом и явном противоречии с презумпцией невиновности. То есть с нормой права, официально принятой в большинстве цивилизованных государств за основу правосудия и по умолчанию предполагающей любого человека невиновным до тех пор, пока нет свидетельств обратному...

Конечно же, все, кто способен думать, это вопиющее противоречие понимают. Но, по тем или иным причинам, в обществе предпочитают делать вид, словно ничего особенного не происходит. А потому и геолокационные лог-файлы Apple на фоне этой общей картины совершенно не выглядят чем-то неожиданным или неприемлемым.

Народ, похоже, уже убедили, что презумпция всеобщей виновности — это и есть верный путь к «коллективной безопасности». Насколько бы дико и абсурдно это ни звучало.

Автор: Бёрд Киви