昨天“苹果服务器故障导致 macOS 用户无法打开程序”新闻有感

[tzm41]

昨天 MacRumors 上看见此新闻，说苹果服务器故障导致 macOS 用户无法打开程序。macOS 在打开每个程序前都要给苹果服务器发送包含用户 IP 、地理位置、运营商、程序 hash 的信息。无连接时会自动跳过，但有网络但服务器故障时，问题就显露了出来。

Big Sur 更新后，新的问题出现了： https://sneak.berlin/20201112/your-computer-isnt-yours/。总结：新系统里，这个用来给苹果通讯的 trustd 程序被苹果加入了白名单，无法被 Little Snitch 控制了。

苹果作为硬件公司，在我心里的标准是要高于卖用户信息的谷歌脸书等广告公司的。但苹果长期鼓吹保护用户隐私，但传输这种信息却不给用户关闭的选项。如果 macOS 上都无法关闭，更别说 iOS 上了。这个信息也没有加密，所以 ISP 也能截取，然后通过比对常见软件 hash，就可以知道何时何地用户用了什么软件。

作为一个长期果粉，看到苹果这种操作还是很难受的。

[H0u5er]

<amp-youtube data-videoid="vC7fZv13aXM" layout="responsive" width="480" height="270"></amp-youtube>

[clearc]

ocsp 是没用的协议

Google 没在用

Apple 用而且放在系统层面肯定有自己的利益考量，没准哪天 Mac 也只能从 App Store 下软件

路由加黑名单干掉，改机器配置万一未来规则严格可能变砖

[dawn009]

@icyalala 因为把 OCSP 用于应用签名验证，确实存在文章里所说的隐私泄漏问题。
由于应用场景变化，原本不是问题的协议变成了问题

[holulu]

@clearc 如果这样，估计开发者也走光了，还有什么生态可言。

[zitengdu]

naut.ca: Forbidden Commands to Speed Up macOS.
https://www.naut.ca/blog/2020/11/13/forbidden-commands-to-liberate-macos/

[des]

@des 以及这个，看样子恶意软件也可以利用这种方式，绕过这种防火墙？
https://twitter.com/patrickwardle/status/1327726496203476992

[tzm41]

@des #46 那这个设计岂不是很失败吗，苹果为什么要设计一个第三方软件也可以编辑的白名单……

[tzm41]

@nikolai #23 新版 Little Snitch 和 LuLu 用 Network Extension API 的最大问题是，系统白名单中的软件无法被控制。除了无法禁止 trustd 的 call 以外，如#46 所分享，第三方软件也可以用这种方式绕过防火墙。

[mpco]

@venster 请问是组策略中的哪个选项？

[petercui]

@icyalala 带节奏而已，对于不懂技术的普通大众还是很有杀伤力的。看这个帖子的回复就知道了。

[tzm41]

苹果回应： https://support.apple.com/en-us/HT20249
总结：
1.苹果没有交叉比对，也不储存用户的 Apple ID 或设备 UUID 。
2.苹果决定停止记录用户 IP 地址，并且会删除现存 log 中已储存的用户 IP 。
3.在明年苹果打算实现加密的开发者 ID 证书检测、增加防止服务器故障导致无法打开程序的保护，并且给用户提供关闭此检测的选项。