苹果用 http OCSP 协议校验每个程序的 HASH 这个没得洗

[bethebetter]

https://apple.slashdot.org/story/20/11/13/1726224/your-computer-isnt-yours

These OCSP requests are transmitted unencrypted.

https://en.wikipedia.org/wiki/Online_Certificate_Status_Protocol

OCSP 一般浏览器用来校验 CA 根证书状态，根 CA 可以签发多个不同的网站，并不是把你访问网站的域名发过去校验

但是$Apple OCSP$这个东西就厉害了，他是校验你程序的 HASH，你运行任何程序都会发给他，我们苹果太厉害啦！

[ryanlid]

泄露的东西多了去了，在 https 中，主机名部分，是没有加密的，经过的网络设备都是可以知道你访问某个域名的哦，还有目标主机的 IP 地址哦，收集起来也是可以分析。

[sockpuppet9527]

@aydd2004 #99 看了之后我明白了恶臭的来源[doge]

[visualbasic]

@daveh 枚举常见开发者的 hash 值，然后匹配就可以，不需要还原成原始数据，和什么安全概念无关

[daveh]

@visualbasic 你还真聪明。。。
hash 加盐估计你是看不懂。

[astkaasa]

https://news.ycombinator.com/item?id=25107679

[astkaasa]

https://support.apple.com/en-us/HT202491

update，别洗了

[WuwuGin]

@daveh 网络嗅探者可以下载常见的已经打包好的 macOS 翻墙应用，从应用中 dump 出 issuer key hash 。这么说明白了吗。

[Reficul]

@WuwuGin

OCSP 这个问题最好的利用场景也就这个了：找到用某一个软件的人或者 Ban 掉某一个软件，而且要利用这个洞还不容易，至少得是 ISP ？


1. 有能力在这个层面监听 /MITM ；
2. 知道每个用户 IP 对应实名信息 ；
3. 有信息 /能力把上面两个关联起来；


三个都有才能利用，苹果还真不一定有这个能力。退一步说苹果的 OCSP 实现里有啥 Track ID，能在服务端和 AppleID 对上，但也定位不到实名的人，最多是做一下用户画像卖个广告？苹果不卖广告吧。

[WuwuGin]

@Reficul 苹果不会用明面上声明不会用，当然它也没必要用这个来做画像。但是这不代表别人不能用这个明文请求得到你用的软件。最简单的可以通过开发者比对你是不是用了魔法上网客户端。

[Gaussia]

@kerro1990 这是直接写 hosts 么？

[Reficul]

@WuwuGin 没，别人只能知道有人在用，不能知道谁在用。

所以就两个利用的点：
1. 需要定位到人来爆破水表，这个只有 ISP 或者更上层的神秘力量有这个能力；
2. 只是中间投毒，想 BAN 掉 App 而不在乎是谁。有这个动机的好像也只有它；

所以我说好像也就能拿来反一下梯子

[kerro1990]

@Gaussia 对啊