Un investigador de seguridad ha logrado realizar la ingeniería inversa del protocolo privado Find My People de Apple. El hallazgo demuestra que es posible utilizar una máquina con Linux para registrarse en los servicios internos de Apple, obtener una clave de compartido de ubicación y desencriptar la ubicación en tiempo real de un amigo sin necesidad de utilizar un dispositivo Mac o iPhone. El proyecto surgió originalmente con el objetivo de crear alertas de geovallas para Discord.

Un investigador de seguridad ha logrado realizar la ingeniería inversa del protocolo privado Find My People de Apple, demostrando que una máquina con Linux puede registrarse en los servicios internos de Apple, recibir una clave de uso compartido de ubicación ya existente y descifrar la ubicación en vivo de un amigo sin haber tocado nunca un Mac o un iPhone.

El proyecto comenzó de forma inocente: el investigador quería crear alertas de geovallas en Discord utilizando los datos de ubicación que un amigo ya estaba compartiendo a través de la aplicación Find My de Apple. Lo que parecía una simple llamada a una API autenticada se convirtió en aproximadamente una semana de ingeniería inversa de la infraestructura de mensajería e identidad de dispositivos privada de Apple, ya que ningún proyecto de código abierto previo había replicado completamente el flujo.

Utilizando decompilaciones de los demonios fmfd, findmylocated y searchpartyd de Apple, junto con herramientas de código abierto como FindMy.py y pypush, el investigador reconstruyó todo el proceso paso a paso.

Falsificando un dispositivo Apple desde cero

El primer obstáculo fue la autenticación. Los tokens de inicio de sesión estándar de iCloud devolvieron errores 401 contra la antigua API de Find My Friends, ya que cada servicio de Apple emite sus propias credenciales limitadas a través de un intercambio de agentes (broker exchange).

Tras autenticarse a través de GrandSlam, el protocolo de inicio de sesión de cuentas de Apple, el investigador obtuvo un token de delegado para IDS, la capa privada de identidad y mensajería cifrada de Apple que sustenta tanto a iMessage como a Find My.

Convertir ese token en una identidad de dispositivo operativa requirió una solicitud de firma de certificado con restricciones muy específicas y no documentadas: una clave RSA de 2048 bits, una firma SHA-1 y un nombre común derivado del hash SHA-1 del ID de perfil de la cuenta, envuelto en una lista de propiedades XML comprimida en gzip.

Registrarse como un dispositivo de Find My fue igualmente particular, requiriendo la inscripción bajo el servicio multiplexor "alloy" de Apple con seis sub-servicios específicos, en lugar de registrar Find My Friends directamente.

La parte conceptualmente más complicada fue convencer a Apple para que enviara la clave de cifrado de un recurso compartido ya aceptado al nuevo "dispositivo" Linux.

Según un investigador de Zerotistic, una solicitud SubscribeAndFetch con una intención de distributeKeys provoca que el dispositivo que comparte la ubicación redistribuya su clave actual a través del Servicio de Notificaciones Push de Apple, envuelta en un sobre firmado y verificado por ECDH llamado pair-ec.

Fundamentalmente, esto no requirió volver a compartir la ubicación ni realizar cambios en la cuenta, ya que la arquitectura de Apple está diseñada para entregar automáticamente las claves existentes a los dispositivos recién añadidos.

Resultó que la clave entregada utilizaba criptografía de curva elíptica en la curva P-224, distinta de las claves P-256 utilizadas en el propio sobre de mensajería.

Con esa clave de recurso compartido en mano, el investigador consultó el servicio SearchParty de Apple, que almacena los informes de ubicación cifrados, y descifró el texto cifrado localmente utilizando el intercambio de claves ECDH y AES-GCM. El resultado: una coordenada en vivo y verificada, un radio de precisión y una marca de tiempo para el dispositivo del amigo que dio su consentimiento, obtenido íntegramente mediante herramientas de Linux.

El ejercicio no reveló un fallo de seguridad que Apple tuviera que parchear, ya que solo accedió a una ubicación que ya había sido compartida voluntariamente con la cuenta del investigador.

Su valor reside, en cambio, en documentar detalladamente por primera vez cómo los protocolos privados IDS y SearchParty de Apple distribuyen y rotan las claves de uso compartido de ubicación, información útil para los investigadores que construyan clientes de Find My interoperables o auto-alojados.

Fuentes:
https://cybersecuritynews.com/apple-find-my-people-reversed/