[논문 리뷰] Who Can Find My Devices? Security and Privacy of Apple's Crowd-Sourced Bluetooth Location Tracking System

Alexander Heinrich, Milan Stute외 2명|arXiv (Cornell University)|2021. 03. 03.

Bluetooth and Wireless Communication Technologies인용 수 6

한 줄 요약

이 논문은 애플의 오프라인 찾기(OF) 시스템, 즉 커뮤니티 기반 블루투스 위치 추적 네트워크를 역설계 분석하고, 강력한 프라이버시 주장에도 불구하고 두 가지 취약점이 비인가된 추적을 가능하게 한다는 것을 입증한다: (1) macOS 악성 소프트웨어는 모든 기기의 캐시된 위치 보고서에 접근할 수 있으며, 이로 인해 20분 이내 정확도를 달성할 수 있다; (2) 애플은 공유된 찾는 이(finder)를 통해 사용자의 위치를 연관시킬 수 있다. 저자들은 취약점을 책무적으로 공개하여, 이로 인해 패치(CVE-2020-9986)가 적용되었다.

ABSTRACT

Overnight, Apple has turned its hundreds-of-million-device ecosystem into the world's largest crowd-sourced location tracking network called offline finding (OF). OF leverages online finder devices to detect the presence of missing offline devices using Bluetooth and report an approximate location back to the owner via the Internet. While OF is not the first system of its kind, it is the first to commit to strong privacy goals. In particular, OF aims to ensure finder anonymity, untrackability of owner devices, and confidentiality of location reports. This paper presents the first comprehensive security and privacy analysis of OF. To this end, we recover the specifications of the closed-source OF protocols by means of reverse engineering. We experimentally show that unauthorized access to the location reports allows for accurate device tracking and retrieving a user's top locations with an error in the order of 10 meters in urban areas. While we find that OF's design achieves its privacy goals, we discover two distinct design and implementation flaws that can lead to a location correlation attack and unauthorized access to the location history of the past seven days, which could deanonymize users. Apple has partially addressed the issues following our responsible disclosure. Finally, we make our research artifacts publicly available.

연구 동기 및 목표

• 애플의 오프라인 찾기(OF) 시스템, 즉 대규모 커뮤니티 기반 블루투스 기반 기기 추적 시스템의 보안 및 프라이버시 특성을 분석하기 위해.
• 오픈소스가 아닌 OF 프로토콜을 macOS 및 iOS에서 역설계 분석하여 설계 및 구현 방식을 이해하기 위해.
• 애플의 프라이버시 주장—예를 들어, 찾는 이 익명성, 추적 불가능성, 위치 기밀성—이密码학적으로 타당한지 평가하기 위해.
• 비인가된 사용자 위치 이력 접근이나 위치 연관을 통한 익명성 해체로 이어질 수 있는 취약점을 특정하고 공개하기 위해.
• OF와 같은 민감한 시스템의 완전한 공개 사양 및 오픈소스 배포를 통해 독립적인 보안 감사를 가능하게 하기 위해.

제안 방법

• macOS 및 iOS의 OF 구성 요소를 깊이 있게 역설계 분석하여 '실종', '검색', '찾기' 단계의 프로토콜 사양을 추출하였다.
• 블루투스 저전력(ble)을 통한 익명 위치 보고를 위한 롤링 공개-비공개 키 쌍의 사용을 포함한 암호 프로토콜을 재구성하였다.
• 기존에 알려진 공개 키를 사용하여 애플의 중앙 서버에서 OF 위치 보고서를 수집하고 복호화하는 프로토타입(PoC) 시스템을 구현하였다.
• 보행, 자동차, 기차 등 이동성 실험 동안 실세계의 위치 보고서를 수집하여 공간적 정확도와 시간적 일관성을 평가하였다.
• macOS의 구현 결함을 악용하여 로컬 권한 상승 및 캐시된 롤링 키 및 위치 보고서에 대한 비인가 접근을 시연하였다.
• 서버 측 액세스 제어 및 클라이언트 측 키 저장소 강화와 같은 개선 조치를 제안하였으며, 책무적인 공개 방식을 통해 결과를 보고하였다.

실험 결과

연구 질문

• RQ1 애플의 오프라인 찾기 시스템이 공표한 프라이버시 목표—찾는 이 익명성, 기기 추적 불가능성, 위치 기밀성—을 얼마나 달성하는가?
• RQ2 macOS에서 애플의 위치 액세스 제어를 우회하여 다른 사용자의 이력 위치 보고서를 추출할 수 있는가?
• RQ3 공통된 찾는 기기 장치를 통해 여러 사용자의 위치를 연관시킬 수 있으며, 이로 인한 프라이버시 영향은 무엇인가?
• RQ4 실세계 도심 환경에서 OF 위치 보고서의 정확도는 어느 정도이며, 주거지나 직장과 같은 민감한 장소를 추론하는 데 사용될 수 있는가?
• RQ5 파일 시스템에 그대로 저장된 롤링 공개 키의 보안 영향은 무엇이며, 이를 어떻게 악용할 수 있는가?

주요 결과

• 악성 macOS 애플리케이션은 과거 7일 간의 위치 보고서에 접근하고 복호화할 수 있으며, 도심 환경에서 평균 추적 오차가 30미터 미만이다.
• 사용자의 주요 위치—예를 들어 주거지 및 직장—은 OF 보고서의 일주일 분석을 통해 약 10미터 이내의 오차로 추론할 수 있다.
• macOS의 구현 결함는 로컬 애플리케이션이 애플의 위치 API를 우회하고, 그대로 저장된 롤링 공개 키를 액세스할 수 있게 하여, 위치 이력에 대한 비인가 접근을 가능하게 한다.
• 동일한 찾는 기기 장치가 중앙 서버에 보고할 경우, 애플은 여러 사용자의 위치를 연관시킬 수 있으며, 이는 사회적 네트워크를 구성하고 사용자 익명성을 해칠 수 있다.
• 한 가지 취약점(CVE-2020-9986)은 책무적인 공개 이후 macOS 10.15.7에서 패치되었지만, 논문 발표 시점까지 두 번째 취약점은 여전히 수정되지 않은 상태이다.
• 저자들은 재현 가능성과 향후 분석을 지원하기 위해 오픈소스 PoC 코드와 실험 데이터를 공개하여, 프라이버시 핵심 시스템의 투명성을 증진시켰다.