إساءة استخدام الملفات الشخصية وشهادات الروت على فيسبوك
في الأخبار الأخيرة، كشفت TechCrunch أن فيسبوك كان يسيء استخدام برنامج Apple Developer Enterprise، وهو نظام أساسي يتيح للشركات توزيع التطبيقات التي لم تتم مراجعتها على الموظفين وتوقيع الشهادات. عادةً ما يتم استخدام هذا البرنامج للسماح للعاملين باختبار التطبيقات قيد التقدم التي يتم تطويرها قبل إرسالها لمراجعة App Store، تمامًا كما هو الحال مع برنامج Developer العادي، ويمكن استخدامه لمنح العمال أدوات محمولة لا تريدها الشركات متاح للغرباء. على سبيل المثال الأخير، تستخدم Google تطبيق Gbus للموظفين فقط لطلب المشاوير.
استحوذ فيسبوك بشكل أساسي على الشباب والبالغين إلى تثبيت تطبيق VPN لجمع البيانات لأغراض “أبحاث السوق” مقابل 20 دولارًا شهريًا. قام البالغون بالتسجيل على الفور بينما يحتاج الاطفال إلى إذن من والديهم. قاموا بتثبيت ملف تعريف توفير الأبحاث على فيسبوك والذي تضمن أذونات لتوجيه حركة مرور TLS عبر نفق VPN الخاص به، بالإضافة إلى شهادة CA الروت التي تسمح لهم بشكل أساسي بجمع حركة المرور المشفرة القادمة من وإلى هواتف آيفون لأي شيء كان يحدث، وليس فقط فيسبوك المهام ذات الصلة. تم تسجيل استخدام الويب لأي تطبيق.
على الرغم من أن Apple معروفة بإرشادات App Store الصارمة التي تقيد التطبيقات التي تم فحصها من جمع البيانات، إلا أن برنامج Developer Enterprise ليس لديه أي رقابة على أي من التطبيقات التي يتم توزيعها باستخدام تراخيص الشهادات التي يمنحها للشركات مقابل 300 دولار سنويًا. وبالنسبة لشهادات الروت، تسمح Apple بالعديد من الإصدارات على نظام التشغيل iOS 12، وقد تم حظرها أيضًا.
هناك الكثير من الشركات التي تسيء استخدام الشهادات
ليس فيسبوك الجاني الوحيد الذي يسيء استخدام تراخيص الشهادات. للحصول على مثال كبير آخر، كانت Google تقوم بنفس الشيء مثل فيسبوك، باستخدام شهادة CA جذرية للحصول على أي بيانات من وإلى الجهاز لفحص الحزمة بعمق. وعلى الرغم من أن الشهادات الجذرية “الموثوقة” هي أكبر الأمور التي تدعو إلى القلق، إلا أن هناك شهادات عادية بالإضافة إلى ملفات تعريف الإعداد سواء كانت تشتمل على هذه الشهادات أو لا تشتمل عليها.
كان المشاركون المجهولون في البرنامج يستخدمون Developer Enterprise Program لتوزيع التطبيقات الإباحية وتطبيقات المقامرة، واستغل المطورون المشبوهون توزيع إصدارات قائمة على الغش من التطبيقات الشهيرة مثل Pokémon Go و Angry Birds، بالإضافة إلى الإصدارات المقرصنة من التطبيقات المدفوعة مثل Spotify و ماين كرافت.
متاجر التطبيقات غير المعتمدة مثل TutuApp و Panda Helper و AppValley و TweakBox، بالإضافة إلى منصات الاختبار التجريبية BetaBound و uTest و Applause (التي استخدمها فيسبوك)، تتطلب جميعها تثبيت ملف تعريف، وعادةً ما يكون مصحوبًا بشهادة (ليس بالضرورة أن يكون ملفًا جذريًا) ). وينطبق الشيء نفسه على التطبيقات التي يوزعونها، وكذلك التطبيقات الفردية الموجودة على الانترنت. يتم تثبيت ملفات التعريف هذه بسهولة فقط من خلال النقر على رابط في سفاري.
لماذا يعد تثبيت بعض الملفات الشخصية والشهادات أمرًا سيئًا
يمكن للتطبيقات غير المعتمدة للبيانات أن تسحب من جهاز آيفون الخاص بك بلا حدود تقريبًا مع شهادة الروت، ولكن هذا ليس الشيء الوحيد الذي يجب أن تقلق بشأنه. يمكن لشهادات CA وملفات التعريف العادية أن تحدث نفس القدر من الضرر. عند استخدام التطبيقات التي تتطلب تثبيت ملف تعريف، حتى إذا لم تكن على دراية بما كنت تقوم بتثبيته، فقد يطلبون منك تفاصيل الدفع أو كلمات المرور، وهو أمر لا يجب أن تتخلى عنه بسرعة.
يمكن للقراصنة وغيرهم من المستخدمين الخبثاء استخدام الهندسة الاجتماعية لإقناعك بتثبيت ملفات تعريف إعداد أخرى، والتي تحتوي على الشهادات، والتي يمكن أن تتضمن حمولات لإكمال المهام مثل إنشاء حسابات بريد الكتروني جديدة، أو تقديم الاعلانات والنوافذ المنبثقة أينما ذهبت، أو التسريب البيانات. وعلى الرغم من أن أنفاق VPN تشكل مصدر قلق كبير، إلا أن مآثر المتسللين قد تستولي على بياناتك الشخصية باستخدام خادم وكيل، وتغيير إعدادات APN، واستخدام هجمات man-in-the-middle.
على سبيل المثال، كان هناك العديد من التقارير ذات الصلة من قبل المستخدمين على مر السنين حيث طلب منهم موقع ويب أو بريد الكتروني تثبيت ملف تعريف وشهادة للوصول إلى أداة الطقس أو تطبيق البريد الالكتروني أو بعض الميزات الأخرى التي تبدو غير ضارة، والتي بدورها أعطت إذن الملف الشخصي لإنشاء حسابات بريد الكتروني جديدة، وإعادة توجيهك إلى مواقع ويب ضارة، وعرض الاعلانات.
ليست كل الملفات الشخصية والشهادات سيئة
تستخدم Apple برنامجها الخاص لتوزيع برامج iOS التجريبية للمطورين ومختبري الإصدارات التجريبية العامة، الذين يقومون بعد ذلك بتثبيت ملف تعريف وشهادة مجمعة، ومن الآمن أن نقول إنه يمكنك الاستمرار في استخدام هذه الإصدارات التجريبية إذا كنت تستمتع بالحصول على ميزات جديدة قبل أي شخص آخر. هناك أيضًا خدمات مثل FreedomPop، والتي تستخدم هذه الشهادات لضبط إعدادات شبكة APN الخلوية على جوال آيفون الخاص بك لتوفير بيانات مجانية أو منخفضة التكلفة. يستخدم Xfinity و LinkNYC ملفات التعريف لمساعدة المستخدمين على الاتصال بنقاط اتصال واي فاي العامة.
يمكن للمطورين أيضًا إصدار التطبيقات التي يعملون عليها لعدد محدود من الأجهزة في شبكتهم قبل الخضوع لعملية المراجعة النشطة من Apple لتوزيع App Store. يمكن للشركات والمدارس والأماكن الأخرى التي توزع هواتف آيفون أو ايباد استخدام ملفات تعريف إدارة الأجهزة المحمولة على الأجهزة الخاضعة للإشراف. يمكن لملفات التعريف هذه القيام بأشياء مثل حظر تحديثات iOS، ومنع تثبيت ملفات تعريف أخرى، ومنع تطبيقات معينة من التشغيل، وحتى الثقة تلقائيًا في شهادات CA الروت.
ثم هناك أدوات مثل Cydia Impactor والتي يمكن استخدامها لتحميل ملفات IPA للتطبيقات المفيدة مثل Kodi، وهي تستخدم معلومات حساب Apple ID الخاص بك لمنح التطبيقات الإذن بالتشغيل. يمكنك حتى استخدام الأداة المساعدة Apple Configurator 2 لإنشاء ملف تعريف الإعداد الخاص بك للقيام بأشياء مثل تخصيص أيقونات التطبيقات على آيفون دون كسر الحماية، الأمر الذي لا يتطلب حتى شهادة توقيع.
للحصول على معلومات حول طريقة عمل الشهادات عبر منصة Apple، راجع وصف Apple للشهادات الرقمية في مرجع التشفير الخاص بها.
طريقة التحقق من شهادات روت آيفون
ألا تعرف ما إذا كنت قد قمت بتنزيل ملف تعريف بجذر أو شهادة عادية على جهازك؟ لحسن الحظ، ليس من السهل التحقق منها فحسب، بل أيضًا إزالتها من جوال آيفون الخاص بك. أولاً، للتحقق مما إذا كان لديك أي شهادات مرجع مصدق روت موثوق بها، انتقل إلى الإعدادات -> عام -> حول -> إعدادات الثقة في الشهادة.
إذا كان هناك أي منها هنا، فسيظهر ضمن “Trust Store Version”. إذا كانت خضراء، فإنها تعمل الآن. الشهادات الجذرية التي تم نشرها هنا عبر Apple Configurator أو Mobile Device Management موثوق بها تلقائيًا. يمكنك تبديله لإيقافه، لكن هذا لن يحذفه، لذا سترغب في عرض القسم التالي لذلك.
طريقة التحقق من ملفات تعريف آيفون والشهادات الأخرى
لعرض أي ملفات تعريف و / أو شهادات موجودة على جهازك، انتقل إلى تطبيق الإعدادات، وانقر على “عام”، وانتقل لأسفل إلى “ملف التعريف / الملفات الشخصية”. إذا لم يكن هناك قسم “ملفات التعريف / الملفات الشخصية”، فهذا يعني أنك لم تقم بتثبيت أي منها. إذا رأيت ذلك، فاضغط عليه لمشاهدته.
في هذه الصفحة، يمكن أن يكون هناك ثلاثة أنواع مختلفة من الملفات الشخصية، يمكن أن يتضمن كل منها أحكامًا للإعدادات على جهازك بالإضافة إلى الشهادات. وهي ملفات تعريف الإعداد وإدارة الأجهزة المحمولة وتطبيقات المؤسسة.
طريقة إزالة الملفات الشخصية والشهادات غير المرغوب فيها من أجل الخير
داخل ملف التعريف، يمكنك رؤية من قام بالتوقيع ووصف موجز له. في بعض الحالات، قد لا يتم توقيعه على الإطلاق، كما هو الحال عند استخدام Apple Configurator 2 لإنشاء ملف تعريف مخصص لك.
إذا قمت بالنقر فوق “مزيد من التفاصيل”، فيمكنك الاطلاع على ما يوجد داخل ملف تعريف الإعداد، والذي يتضمن عادةً شهادة “توقيع” وأحيانًا أذونات لضبط أشياء مثل الإعدادات الداخلية، والإعدادات الخلوية، ومعلومات VPN، وما إلى ذلك. يمكنك النقر فوق الزر شهادات لعرض مزيد من المعلومات عنها.
في المثال الخاص بي لملف تعريف TweakBox، هناك شهادة CA عادية بعنوان “Apple Worldwide Developer Relations Authority.” هذه ليست شهادة روت، لكنها لا تزال شيئًا لست بحاجة إليه.
لحذف ملف التعريف والشهادات، ارجع إلى عرض الملف الشخصي وانقر على “إزالة ملف التعريف”. أدخل رمز المرور الخاص بك عندما يُطلب منك ذلك، وانقر على “إزالة”، وستتم إزالة شهادة الروت من جهازك. سيؤدي القيام بذلك أيضًا إلى إزالة جميع الأذونات الممنوحة في المقام الأول، ويجب أن يمسح جميع تغييرات الإعدادات بواسطة ملف التعريف، وسيزيل التطبيقات المتصلة أو يفرضها على العمل.
بشأن تطبيقات المؤسسة، حدد الملف الشخصي، ثم انقر على “حذف التطبيق”، متبوعًا بـ “حذف التطبيق” في النافذة المنبثقة. سيؤدي هذا إلى إزالة التطبيق والملف الشخصي للمؤسسة. يمكنك أيضًا حذف تطبيق مؤسسة على شاشتك الرئيسية مثل أي تطبيق آخر، كما أنه سيزيل ملف التعريف الخاص به ما لم يكن ملف التعريف يحتوي على أكثر من تطبيق مؤسسة واحد مرفق به.
مع حذف ملف التعريف و / أو الشهادات، لم يعد من الممكن الوصول إلى معلوماتك الخاصة، مثل نشاط الويب والمعاملات الآمنة، من قبل المؤسسة التي حصلت عليها منها أو خدعتك لتثبيتها.
