Find My People is buiten de Apple-app uit te lezen: je account is het slot

Donderdagavond, weer een vertraagde trein. Je opent Find My, tikt op de naam van je beste vriend en deelt je locatie tot vanavond. Zo’n knop voelt als een afspraak tussen jullie twee. Dat is hij niet. Het is een afspraak met je Apple-account, en die geldt voor elk apparaat dat zich daar ooit inlogt.

Dat staat deze week scherp op papier. Op 19 augustus publiceerde de securityonderzoeker die schrijft onder de naam Zerotistic hoe hij de live-locatie van een vriend op een Linux-computer uitleest, zonder één Apple-app te openen. Vooraf: geen hack, geen datalek. Zijn vriend deelde zijn locatie al vrijwillig met hem, en de onderzoeker logde in met zijn eigen, geldige Apple-account en legde de tweestapscontrole netjes af. Daarna las hij de share uit die hij allang had, alleen dus buiten de app om, via Apples eigen diensten. Het hele project duurde volgens hem minder dan een week.

Een week later was een Linux-doos een officieel Apple-apparaat

De iCloud-website geeft de locatie van je eigen apparaten gewoon mee, maar Find My People komt daar niet naar boven. Dus bouwde de onderzoeker de route na die een echte Mac aflegt. Hij doorliep Apples aanmeldprotocol met wachtwoord en tweestapscontrole, en vroeg daarna certificaten aan alsof zijn Linux-doos een MacBook was. Apple gaf ze. Vervolgens registreerde hij het ding bij Apples berichtendienst als Find My-client, met zes Find My-diensten eronder. Vanaf dat moment behandelde Apple die doos als een volwaardig apparaat van het account.

Daarna kwam de stap die het verhaal draagt. Hij vroeg via het protocol om de sleutel van de bestaande share. Niet opnieuw delen, niet opnieuw akkoord geven, gewoon de relatie zoals die al was. Apples dienst gaf dat verzoek door aan het apparaat van zijn vriend, en dat stuurde de sleutel mee. Elke relatie blijkt een eigen sleutel te hebben; de versleutelde locatierapporten die erbij horen haalde de Linux-doos daarna op en ontsleutelde ze lokaal. De positie van zijn vriend stond op een scherm zonder Apple-logo.

Eén ding uit het onderzoek is interpretatie, en dat benoem je zo: waarom Apple per relatie een aparte sleutel gebruikt, vermoedelijk om één share te kunnen intrekken zonder álle Find My-sleutels te vervangen, is de gok van de onderzoeker. Geen bewezen ontwerp.

Waarom kreeg die Linux-doos de sleutel zomaar mee?

Omdat het ontwerp gemak boven zichtbaarheid zet. Koop je een nieuwe iPhone, dan wil je dat al je delen meteen werkt; geen van je vrienden gaat opnieuw akkoord. Dus deelt het systeem de sleutel van elke bestaande share automatisch met elk apparaat dat zich als jouw apparaat heeft aangemeld. De Linux-doos hoefde nauwelijks te liegen: geldige login, geldige tweestaps, machinebewijs, dezelfde controles als een echte Mac.

Let op de scheiding tussen bewijs en gevolg. Bewezen is dat de sleutel naar een nieuw apparaat ging zonder dat degene die deelt er iets voor deed; het apparaat van de deler moest alleen even online zijn. In het onderzoek is nergens een melding aan de deler te zien. Wat dat voor jouw situatie betekent, hangt aan één vraag: wie kan er inloggen op het account aan de ontvangende kant?

Je Apple-account is het slot, niet de Find My-app

Dit is ons oordeel, met twee onderbouwingen.

Eén: Apple publiceert keurig hoe het Find My-netwerk voor verloren apparaten en AirTags end-to-end versleuteld werkt, in de eigen beveiligingsdocumentatie. Over People staat daar niets. Dat zwijgen beschermt het protocol niet. Het voorkomt vooral dat iemand Apple kan vragen hoe het precies zit.

Twee: voor de deler is de enige zichtbare knop “deel mijn locatie”. De sleutelverdeling eronder verloopt onzichtbaar, en dus stelt niemand die instelling ooit nog bij. Het is het patroon van de MIVD-directeur wiens Strava-rondjes zeven jaar open lagen: geen inbraak, wel een instelling die niemand meer had nagekeken.

En het gevolg is groter dan je eigen telefoon. Wie jouw Apple-account binnenkomt, ziet je mail, je foto’s en de locatie van iedereen die met jou deelt. Je partner, je kinderen, je vriend met zijn vertraagde treinen. Accounttoegang is in de praktijk de normaalste aanvalsroute, zoals een geldig adminaccount al bijna productie-toegang is bij een website.

“Je hebt er eerst het account voor nodig” is te geruststellend

Dit artikel opende zelf met de geruststelling: geen hack, geen lek, alleen een eigen account. Dat klopt, en toch schiet het tekort. Accounttoegang klinkt als een hoge drempel, een drempel die alleen serieuze aanvallers nemen. In werkelijkheid is het de plek waar bijna elke inbraak begint: een phishingmail voor je Apple ID, een wachtwoord dat een ex nog kent, een gezins-iPad waar alles ingelogd blijft. En bij stalking of geweld in een relatie begint het zelden met een protocolbreuk. Het begint meestal met iemand die er al bij mocht zijn.

Open Find My, tik op Personen en kijk wie jou volgt

Eén handeling, twee minuten. Open Find My, tik onderin op Personen en loop de lijst na: wie volgt jou, en wie volg jij? Staat er een naam die je niet herkent, of een afspraak van jaren geleden, tik die aan en kies Stop met het delen van mijn locatie. Apple beschrijft de route zelf. Nieuwe apparaten van jezelf horen de sleutel te krijgen. Namen die je niet meer kent, horen je locatie niet meer te volgen.

Het moment dat telt is Apples eerste reactie

Drie reacties liggen voor de hand: de versleuteling van People net zo documenteren als die van apparaten en AirTags, de deler een waarschuwing geven zodra een nieuw apparaat de sleutel van een share ontvangt, of deze route naar het protocol dichten. Komt er geen van drie, geen document en geen update, dan staat vast dat de app nooit de veiligheidsgrens van Find My People is geweest. Het account is het enige slot. En wie de sleutel van dat account heeft, heeft meteen de locaties van iedereen die op je deelde.

Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.