[论文解读] Who Can Find My Devices? Security and Privacy of Apple's Crowd-Sourced Bluetooth Location Tracking System

Alexander Heinrich, Milan Stute+2 more|arXiv (Cornell University)|Mar 3, 2021

Bluetooth and Wireless Communication Technologies被引用 6

一句话总结

本文逆向分析了苹果公司离线查找（OF）系统，该系统是一个基于众包的蓝牙定位追踪网络，揭示尽管苹果宣称具备强大隐私保护，但存在两个漏洞仍可导致未经授权的追踪：（1）macOS恶意软件可访问所有设备的缓存定位报告，实现低于20米的定位精度；（2）苹果可通过共享查找设备关联用户位置。作者已负责任地披露漏洞，促使苹果发布补丁（CVE-2020-9986）。

ABSTRACT

Overnight, Apple has turned its hundreds-of-million-device ecosystem into the world's largest crowd-sourced location tracking network called offline finding (OF). OF leverages online finder devices to detect the presence of missing offline devices using Bluetooth and report an approximate location back to the owner via the Internet. While OF is not the first system of its kind, it is the first to commit to strong privacy goals. In particular, OF aims to ensure finder anonymity, untrackability of owner devices, and confidentiality of location reports. This paper presents the first comprehensive security and privacy analysis of OF. To this end, we recover the specifications of the closed-source OF protocols by means of reverse engineering. We experimentally show that unauthorized access to the location reports allows for accurate device tracking and retrieving a user's top locations with an error in the order of 10 meters in urban areas. While we find that OF's design achieves its privacy goals, we discover two distinct design and implementation flaws that can lead to a location correlation attack and unauthorized access to the location history of the past seven days, which could deanonymize users. Apple has partially addressed the issues following our responsible disclosure. Finally, we make our research artifacts publicly available.

研究动机与目标

• 分析苹果离线查找（OF）系统的安全与隐私特性，该系统是一个大规模、基于众包的蓝牙设备追踪系统。
• 对macOS和iOS上的闭源OF协议进行深度逆向工程，以理解其设计与实现机制。
• 评估苹果的隐私声明（如查找者匿名性、不可追踪性及位置保密性）是否具备密码学上的坚实基础。
• 识别并披露可能导致未经授权访问用户定位历史记录或通过位置关联实现去匿名化的安全漏洞。
• 倡导对类似OF等敏感系统发布完整公开规范并开源，以支持独立安全审计。

提出的方法

• 对macOS和iOS上的OF组件进行深度逆向工程，提取‘丢失’、‘搜索’和‘查找’阶段的协议规范。
• 重建加密协议，包括利用滚动公私钥对通过蓝牙低功耗（BLE）实现匿名定位报告。
• 实现概念验证（PoC）系统，使用已知公钥从苹果的中央服务器收集并解密OF定位报告。
• 通过步行、驾车、乘火车等移动实验，收集真实世界的定位报告，以评估空间精度与时间一致性。
• 利用macOS中的实现缺陷，演示本地权限提升及对缓存滚动密钥和定位报告的未授权访问。
• 提出缓解措施，包括服务器端访问控制与客户端密钥存储加固，并通过负责任披露渠道报告发现。

实验结果

研究问题

• RQ1 苹果离线查找系统在多大程度上实现了其宣称的隐私目标，包括查找者匿名性、设备不可追踪性及位置保密性？
• RQ2 攻击者能否绕过macOS上的苹果位置访问控制，以获取其他用户的历史定位报告？
• RQ3 是否可能通过共享查找设备关联多个用户的位置？其隐私影响如何？
• RQ4 在真实城市环境中，OF定位报告的精度如何？能否用于推断如家庭或工作场所等敏感位置？
• RQ5 在文件系统中以明文形式存储滚动公钥的安全隐患是什么？攻击者如何利用该缺陷？

主要发现

• 恶意macOS应用程序可访问并解密过去七天的定位报告，在城市环境中平均追踪误差低于30米。
• 通过分析一周的OF报告轨迹，可将用户的主要位置（如家庭与工作地点）推断出来，误差约10米。
• macOS上的实现缺陷使本地应用程序可绕过苹果的位置API，直接以明文形式获取缓存的滚动公钥，从而实现对定位历史的未授权访问。
• 若同一查找设备向中央服务器报告，苹果可关联多个用户的位置，可能构建社交图谱，从而破坏用户匿名性。
• 一个漏洞（CVE-2020-9986）已在苹果发布macOS 10.15.7补丁后修复，但另一漏洞在论文发表时尚未修补。
• 作者发布了开源PoC代码与实验数据，以支持可复现性与进一步分析，推动隐私关键系统的透明化。