Apple on poistanut Advanced Data Protection (ADP) ominaisuuden Britannian iCloud-käyttäjien saatavilta.

[Supersonic]

En löytänyt pikaisella haulla aikaisempaa keskustelua tästä asiasta, joten tämä saattaa kiinnostaa TechBBS lukijoitakin.

Apple on käytännössä vetänyt pois Advanced Data Protection (ADP) ominaisuuden Britannian iCloud-käyttäjiltä. ADP-palvelu tarvitaan iCloud datan kattavaan end-to-end salaukseen, jossa vain käyttäjän laitteella on salausavaimet, ja edes Apple ei niitä tiedä. Jäljellä Britannian iCloud-käyttäjille on enää Standard Data Protection (SDP), jossa data on edelleen salattua, mutta salausavaimet ovat Applen hallinnassa, jolloin Apple pystyy (ja joutuu) purkamaan datan Britannian viranomaisten määräyksestä.

Syynä ADP:n poistoon on Britannian uuden "Investigatory Powers Act" -lain vaatimus backdoor-toiminnon rakentamisesta viranomaisten tiedosteluorganisaatioiden käyttöön, jotta he pääsisivät halutessaan tutkimaan kaikkien iCloud käyttäjien salattua dataa, sekä Britanniassa ja maailmanlaajuisesti. Apple on jo pitkään vastustanut minkäänlaisten backdoor-toimintojen rakentamista omiin palveluihinsa, ja on nyt päättänyt luopua ADP-ominaisuudesta Britanniassa kokonaan, sen sijaan että lähtisi omia tietoturvaratkaisujaan rapauttamaan.

Ilmeisesti asiaan liittyy jonkinlainen lakisääteinen vaitiolovaatimus, koska Apple ei millään tavalla mainitse tiedotteessaan kyseistä lakia tai Britannian viranomaisia, mutta rivien välistä on pääteltävissä, että tästä on kyse ja muutos tehdään pakon edessä.

Tuohon IPA-lakiin liittyy ilmeisesti myös kielto mainita (rangaistuksen uhalla) sanaakaan edes siitä, milloin Britannian viranomaiset olisivat mainittua backdoor-yhteyttä käyttäneet, ja myös viranomaisten veto-oikeus kaikkiin tulevaisuuden tietoturvamuutoksiin iCloud-palvelussa. Ei ihme, että Apple ei halunnut lähteä tähän peliin mukaan.

Daring Fireball sivustolla on hyvä yhteenveto asiasta.

Apple Pulls Advanced Data Protection From the UK, in Defiance of UK Demand for Global Backdoor

The UK’s demands are simultaneously infuriatingly offensive, mathematically ignorant (regarding the nature of end-to-end encryption), dangerous (as proven by the recent Salt Typhoon attack China successfully waged to eavesdrop on non-E2EE communications in the United States), and laughably naive...

daringfireball.net

BBC:n artikkeli asiasta:

Apple pulls data protection tool after UK government security row

Customers' photos and documents stored online will no longer be protected by end-to-end encryption.

www.bbc.com

 

[olkitu]

Apple Advanced Data Protection on hyvä idea mutta koska se pitää itse ottaa käyttöön manuaalisesti niin isolla osalla ei sitä käytössä ole. Toki itsellä se on käytössä kun se tuli iOS 16.4 myötä globaalisti tarjolla. Ehkä huonona ominaisuutena kun jaat jotakin muille esim kuvia niin Apple ei kerro että vastapuolella ei olisi ADP käytössä eli silloin downgrade suoraan standard-salaukseen.

Hyvä huomata että Standard-salauksella on edelleen perusasiat päästä päähän salattu: iCloudin suojauksen yleiskatsaus - Apple-tuki (FI) - salasanat, maksutiedot, WIFI-salasanat, terveystiedot, iMessage ja Facetime. Mutta iMessagessa sitten jos käyttää iCloud varmuuskopioita niin ilman Advanced Data Protection ei ole päästä päähän salattu omilla avaimilla. Varmuuskopiot onneksi voi tehdä paikallisesti Apple Devices-sovelluksella, salata ja siirtää sitten vaikka pilveen.

Kiinassa muuten ilmeisesti on sallittu ADP käyttö vaikka siellä iCloud ylläpitää paikallinen toimittaja. Tätä pidän vähän erikoisena mutta ainakin ehdot tukee tätä.