Esto está incompleto. Pero esperemos que de alguna utilidad.
enlace y enlace (especialmente la docs sección) han hecho alguna ingeniería inversa de Apple protocolo propietario.
Parece que cada dispositivo Apple tiene un certificado del lado del cliente SSL / TLS para la autenticación que la configuración se conoce en el servidor push de Apple. Esto se usa para autenticarlo y también para cifrar la conexión entre su dispositivo Apple y el servidor push de Apple. No veo nada sobre la recuperación de las claves públicas de los usuarios a los que está enviando mensajes; por lo tanto, alguien que se encuentre en los servidores de Apple puede leer o editar su mensaje.
Para responder específicamente a las tres preguntas:
- ¿Qué tecnologías de seguridad y protocolos se utilizan?
Certificados SSL / TLS estándar. certificado autofirmado de Apple utiliza una clave pública RSA de 2048 bits .
- ¿Cómo se cifran los mensajes?
SSL / TLS para cifrar la conexión entre el servidor de Apple Push y su dispositivo.
- ¿Es realmente seguro de extremo a extremo? ¿Puede Apple o cualquier otra persona eludir el cifrado?
Sí. Según mi conocimiento, los mensajes están en texto sin formato en los servidores de Apple.
EDITAR: 26 de agosto de 2013: Estoy de acuerdo con esto no está de acuerdo con la declaración oficial realizado por Apple varios meses después de que se escribiera esta respuesta, que decía:
Por ejemplo, las conversaciones que tienen lugar en iMessage y FaceTime están protegidas por un cifrado de extremo a extremo para que nadie, excepto el remitente y el receptor, pueda verlas o leerlas. Apple no puede descifrar esos datos. Del mismo modo, no almacenamos datos relacionados con la ubicación de los clientes, las búsquedas de mapas o las solicitudes de Siri en ningún formulario identificable.
Seguiremos trabajando arduamente para lograr el equilibrio adecuado entre cumplir con nuestras responsabilidades legales y proteger la privacidad de nuestros clientes como ellos esperan y se merecen.
Personalmente, no confío mucho en esta declaración en la que obtuvieron permiso para informar del gobierno de EE. UU. Esto no tiene nada que ver con mis opiniones de Apple, pero en gran parte proviene de que yo personalmente confío poco en un protocolo propietario de código cerrado cuyo funcionamiento interno y detalles técnicos se mantienen en secreto.
Tal vez la afirmación fue totalmente cierta, pero parece extraño en términos de por qué se permite que los iMessages de Apple se cifren pero LavaBit aparentemente tuvo que cerrarse por orden de mordaza o revelar en secreto el correo electrónico de personas como Snowden. ¿Espero que Apple deje de permitir que iMessages, en principio, de conformidad con una orden judicial que no quieren cumplir?
O podría ser técnicamente cierto, pero no menciona las puertas traseras instaladas por órdenes del gobierno que les permiten recuperar de forma remota las claves privadas de los dispositivos de Apple (posiblemente solo en presencia de una orden judicial / solicitud del gobierno). Varios observadores han mencionado cuando obtiene un nuevo dispositivo iOS, una vez que configura su cuenta (ya sea conociendo su contraseña o haciendo un restablecimiento de la contraseña con unas pocas preguntas de seguridad de baja entropía) su dispositivo recupera automáticamente todos sus iMessages anteriores de la nube. Eso implica que Apple definitivamente tiene sus mensajes y su clave privada almacenada en su extremo en la nube: si los mensajes se pueden cifrar y su clave privada puede protegerse con una contraseña (almacenada dos veces: una vez con la contraseña, una vez con respuestas a las preguntas de seguridad) . Concedido que cualquiera al final de Apple verifica con frecuencia su contraseña (por ejemplo, cada vez que inicia sesión en una Apple Store), la mayoría de las contraseñas son débiles, y Apple no registrará ni forzará una contraseña con fuerza bruta.
O podría ser completamente falso, comunicado de prensa, que Apple recibió la orden o el permiso de liberación por orden del gobierno de EE. UU., por lo que los delincuentes se sentirían seguros al utilizar iMessage para actividades ilegales. Muchos observadores cuestionaron la veracidad del nota de la DEA filtrada (y por qué lo haría una DEA el agente lo filtraría cuando parece decirle a los narcotraficantes cómo enviar mensajes de forma segura sin intrusiones del gobierno).