Ваши свежие яблочки — не ваши

2

0

Как выяснилось позавчера, операционка от самой любящей приватность компании пересылает на сервера этой самой компании данные о каждом запускаемом на компьютере приложении.
А выяснилось это потому, что сервера не выдержали перегрузки, что вызвало (вероятно, из-за блестящего решения сделать отправку хеша приложения обязательным условием запуска) дичайшие задержки в запуске приложений на новеньких и не очень маках.
Я лично до этого не знал, но оказывается, у маководов давно уже был в пользовании костыль для отключения телеметрии, но в Big Sur его поломали.
Обсуждение на Reddit.
Статья какого-то германского ноунейма.
А пользователи маков в России что-нибудь такое почувствовали? Может, модераторы чего расскажут?

P.S. А Linux тут при том, что ждём такой же функциональности в systemd.

Ссылка

←	Помогите вспомнить название платы

Потайной компьютер

→

← 1 2 →

Может поэтому макос такой гладенький как авокадо, а линукс колкий как шишка?

~~chenbr0~~ ☆
(14.11.20 11:51:02 MSK)

Ссылка

А пользователи маков в России что-нибудь такое почувствовали?

Я как всегда всё пропустил…

fornlr ★★★★★
(14.11.20 12:06:57 MSK)
Последнее исправление: fornlr 14.11.20 12:07:07 MSK (всего исправлений: 1)

Ссылка

Странно, почему тогда у меня всё запускается, даже если интернета нет вообще?

Miguel ★★★★★
(14.11.20 12:09:54 MSK)

Эпл говно. Хотя, годится для оценки работодателя

TooPar ☆
(14.11.20 12:11:01 MSK)

Ответ на: комментарий от Miguel 14.11.20 12:09:54 MSK

Пишут, что эта штука отключается при отсутствии подключения. Что довольно странно, если проверка действительно задумана как защита от вредоносного ПО.

dogbert ★★★★★
(14.11.20 12:12:28 MSK) автор топика

Ответ на: комментарий от dogbert 14.11.20 12:12:28 MSK

Чего странного? Это проверка сертификатов.

Если интернета нет, то как раз странно посылать пользователя с «я ничего запускать не буду»

fornlr ★★★★★
(14.11.20 12:15:55 MSK)

Ответ на: комментарий от fornlr 14.11.20 12:15:55 MSK

А зачем их каждый раз при запуске проверять?

dogbert ★★★★★
(14.11.20 12:33:24 MSK) автор топика

Ответ на: комментарий от dogbert 14.11.20 12:33:24 MSK

Ну сертификат могут отозвать

https://support.apple.com/en-us/HT202491

fornlr ★★★★★
(14.11.20 12:38:08 MSK)

Ответ на: комментарий от fornlr 14.11.20 12:38:08 MSK

Конечно могут. Но что это поменяет?
Я могу понять проверку пакета в момент установки или обновления, но в момент запуска (причём не первого) — какая уже разница?

dogbert ★★★★★
(14.11.20 12:43:44 MSK) автор топика
Последнее исправление: dogbert 14.11.20 12:44:13 MSK (всего исправлений: 1)

Ответ на: комментарий от dogbert 14.11.20 12:43:44 MSK

это типа, если выяснится, что приложение нехорошее, но уже запускалось ранее, то всё равно уже.

ну странная логика

fornlr ★★★★★
(14.11.20 12:58:37 MSK)

Ответ на: комментарий от fornlr 14.11.20 12:58:37 MSK

Логика «сплошняком проверять приложения на вредоносность (но только если компьютер подключён к интернету)» ещё страннее.

dogbert ★★★★★
(14.11.20 13:05:57 MSK) автор топика

Ответ на: комментарий от dogbert 14.11.20 13:05:57 MSK

Логика «сплошняком проверять приложения на вредоносность (но только если компьютер подключён к интернету)» ещё страннее.

Не факт, что она такая. Описания нигде толкого нет.

Нормально бы, что бы был интервал доверия - типа если сегодня уже чекал, то всё равно – второй раз не чекать.

Может так и есть, а может нет. Little Snitch можно проверить…

fornlr ★★★★★
(14.11.20 13:08:28 MSK)
Последнее исправление: fornlr 14.11.20 13:12:15 MSK (всего исправлений: 2)

ждём такой же функциональности в systemd

ждём

Bad_ptr ★★★★★
(14.11.20 13:09:17 MSK)

Ссылка

Ответ на: комментарий от fornlr 14.11.20 13:08:28 MSK

Твоя правда.
Хотя насчёт кэша — если считать необходимой проверку приложения перед запуском, то тогда логично было бы хранить сведения о доверенных сертификатах издателей локально (с возможностью инициирования принудительного внепланового обновления, например, при событии отзыва сертификата). Заодно и трафика поменьше надо будет гонять — вряд ли Эппл отзывает сертификаты так же часто, как её пользователи запускают приложения.
И раз уж такая пьянка, можно сделать и локальную базу с сигнатурами известных зловредных приложений. С периодическим обновлением.

dogbert ★★★★★
(14.11.20 13:20:13 MSK) автор топика
Последнее исправление: dogbert 14.11.20 13:21:34 MSK (всего исправлений: 2)

Ответ на: комментарий от dogbert 14.11.20 13:20:13 MSK

И раз уж такая пьянка, можно сделать и локальную базу с сигнатурами известных зловредных приложений. С периодическим обновлением.

Так и есть. Сейчас найду тот файл…

https://www.howtogeek.com/217043/xprotect-explained-how-your-macs-built-in-anti-malware-works/

Хотя может уже чего опять наменяли

fornlr ★★★★★
(14.11.20 13:22:19 MSK)
Последнее исправление: fornlr 14.11.20 13:27:07 MSK (всего исправлений: 2)

Ссылка

Не из России, но заметил и даже поделился этим в комментариях в одной из яблочных тем: И ещё... Apple Event NOV 10 (комментарий)

Проблема с новыми приложениями и обновлёнными. Кто не обновляет софт, проблемы не почувствовал.

Согласен, Мак Ось - кал.

Irben ★★★
(14.11.20 13:38:00 MSK)

Ссылка

Не ну, хорошо, что я не маковод, это какое-то очередное дно пробитое. Даже винда пока еще не достигла.

И да, кто думает, что это ради безопасности юзеров - ха, ха, ха. Я уже давно поял простую вещь: если безопасность чего-то принудительная настолько, что от нее нельзя никак отказаться, то это не безопасность, а что-то другое.

praseodim ★★★★★
(14.11.20 13:51:44 MSK)

Вообще с таким подходом проверять софт при запуске можно предположить, что пока Эппл просто собирает статистику, а в будущем может бросить софт, если вышла новая версия. Либо производители будут покупать эту фичу у Эппла, типа запретить пользователям запускать софт ниже версии Х. Это облегчит производителю софта миграцию клиентов на свежие версии, уменьшит сложность поддержки клиентов и так далее. Но в целом звучит стрёмно.

Irben ★★★
(14.11.20 14:12:06 MSK)

Ответ на: комментарий от TooPar 14.11.20 12:11:01 MSK

Удваиваю. Там где бухам и секретуткам ставят аймаки это показатель неадеквата.

yu-boot ★★★★★
(14.11.20 14:22:35 MSK)

Ссылка

Ответ на: комментарий от praseodim 14.11.20 13:51:44 MSK

Даже винда пока еще не достигла.

SmartScreen ровно тоже самое.

No ★★
(14.11.20 14:30:44 MSK)

Ответ на: комментарий от Irben 14.11.20 14:12:06 MSK

Это тупо сбор телеметрии под предлогом «заботы о безопасности». Бинарники можно было проверять и локально, сверяя с базой установленных - к бинарнику добавляется сигнатура подписанная эпплом и всё. Ну или сигнатура подписывается сертификатом разработчика (или сертификатом приложения) который подписывается сертификатом эппла.

А то что сделано - это именно голимая слежка, сбор данных о том что, когда и где пользователь запускал. Но эппланутые готовы кушать даже экскременты с лопаты если лопату или её груз сделает Apple, поэтому будут кричать «всё правильно сделали».

Nastishka ★★★★★
(14.11.20 14:33:44 MSK)

Ответ на: комментарий от No 14.11.20 14:30:44 MSK

Э нет, smartscreen трекает загружаемые файлы и URLы - и как минимум делает это не по http, а по https.

Nastishka ★★★★★
(14.11.20 14:37:50 MSK)

Ссылка

Ответ на: комментарий от No 14.11.20 14:30:44 MSK

… и smartscreen отключается без плясок с бубном

Nastishka ★★★★★
(14.11.20 14:43:02 MSK)

Ссылка

Ответ на: комментарий от No 14.11.20 14:30:44 MSK

Во первых, SmartScreen работает только в браузере и почтовой программе, проверяя только загрузки. Во вторых, его можно штатно отключить.

Так что совершенно не тоже самое.

praseodim ★★★★★
(14.11.20 14:58:53 MSK)

Ответ на: комментарий от praseodim 14.11.20 13:51:44 MSK

Я уже давно поял простую вещь: если безопасность чего-то принудительная настолько, что от нее нельзя никак отказаться, то это не безопасность, а что-то другое.

Кто тебе это сказал? Отключить можно.

fornlr ★★★★★
(14.11.20 15:00:46 MSK)

Ссылка

Ответ на: комментарий от praseodim 14.11.20 14:58:53 MSK

SmartScreen работает только в браузере и почтовой программе, проверяя только загрузки

Врёшь. Ты прочитай хоть чуть-чуть как и то, и то работает, а…

https://www.howtogeek.com/320711/what-is-smartscreen-and-why-is-it-running-on-my-pc/

fornlr ★★★★★
(14.11.20 15:01:20 MSK)
Последнее исправление: fornlr 14.11.20 15:05:33 MSK (всего исправлений: 2)

Ответ на: комментарий от Nastishka 14.11.20 14:33:44 MSK

А то что сделано - это именно голимая слежка, сбор данных о том что, когда и где пользователь запускал. Но эппланутые готовы кушать даже экскременты с лопаты если лопату или её груз сделает Apple, поэтому будут кричать «всё правильно сделали».

В следующей итерации видимо техника без интернета совсем откажется работать. Или работать, но не более например часа и с передачей отложенной информации. Ради безопасности конечно же. Пока этому мешает все-таки далеко не повсеместная доступность интернета - даже в крупных городах попадаются экранированные места, где интернета или совсем нет или нестабилен.

praseodim ★★★★★
(14.11.20 15:03:16 MSK)

Ответ на: комментарий от fornlr 14.11.20 15:01:20 MSK

Чего-то оно мне не мешало почему-то.

praseodim ★★★★★
(14.11.20 15:06:25 MSK)

Ответ на: комментарий от praseodim 14.11.20 15:06:25 MSK

А мне мешало. Дальше что?

Кнопки «это я писал, отстаньте» не было.

fornlr ★★★★★
(14.11.20 15:07:21 MSK)
Последнее исправление: fornlr 14.11.20 15:08:07 MSK (всего исправлений: 1)

Ответ на: комментарий от dogbert 14.11.20 12:12:28 MSK

А как оно определяет, нет подключения вообще или просто дикие тормоза?

Miguel ★★★★★
(14.11.20 15:10:19 MSK)

Ответ на: комментарий от dogbert 14.11.20 12:43:44 MSK

Так другой софт может внести изменений в этот уже после установки.

targitaj ★★★★★
(14.11.20 15:14:08 MSK)

Ссылка

Ответ на: комментарий от dogbert 14.11.20 13:20:13 MSK

Если что-то локально подменило код софтины, то оно же может и подменить отпечаток в локальном хранилище.

targitaj ★★★★★
(14.11.20 15:15:22 MSK)

Ответ на: комментарий от Miguel 14.11.20 15:10:19 MSK

А как оно определяет, нет подключения вообще или просто дикие тормоза?

Похоже, что самым тупым способом - долбится по адресу. Если не отвечает, то плюет и запускает. Проблема в четверг была в том, что эппловские инфраструктурные макаки устроили себе что-то типа DDoS. Так что технически он был, но не отвечал. В результате из-за диких таймаутов у trustd (похоже что-то типа минуты) вся система вставала колом.

ptarh ★★★★★
(14.11.20 15:19:37 MSK)

Ответ на: комментарий от ptarh 14.11.20 15:19:37 MSK

Если не отвечает, то плюет и запускает.

Так что технически он был, но не отвечал.

То есть, должно было плюнуть и запустить?

Miguel ★★★★★
(14.11.20 15:23:19 MSK)

Ответ на: комментарий от Miguel 14.11.20 15:23:19 MSK

Ну если бы скажем сервис просто полег, то так бы и произошло без всяких тормозов.

ptarh ★★★★★
(14.11.20 15:27:01 MSK)

Ответ на: комментарий от ptarh 14.11.20 15:27:01 MSK

Дык а как оно разницу-то видело?

Miguel ★★★★★
(14.11.20 15:28:03 MSK)

https://imgur.com/kv4PTiD

~~Im_not_a_robot~~ ★★★★★
(14.11.20 15:28:30 MSK)

Ссылка

Ответ на: комментарий от Miguel 14.11.20 15:28:03 MSK

Полагаю, что пинговало говносервис. Говносервис отвечал, оно храбро слало сертификат и ожидало ответа, блокируя на это время запуск.

ptarh ★★★★★
(14.11.20 15:30:06 MSK)

Ссылка

В системд это уже много лет как реализовано.
man systemd-journal-gateway, systemd-journal-remote, systemd-journal-upload

Goury ★★★★★
(14.11.20 15:36:49 MSK)

Не, ну так-то проверять сертификаты на предмет того, не отозвали ли их, нужно в принципе в любой системе. Но уважающий пользователя софт должен позволять свободно это настраивать и отключать по желанию.

Harald ★★★★★
(14.11.20 15:41:39 MSK)

Ссылка

Ответ на: комментарий от fornlr 14.11.20 15:07:21 MSK

Кнопки «это я писал, отстаньте» не было.

Оно реагирует на дополнительный поток в NTFS в котором прописано, что скачено с интернета.

praseodim ★★★★★
(14.11.20 15:47:39 MSK)

Ответ на: комментарий от praseodim 14.11.20 15:47:39 MSK

Во ☝️ Уже лучше.

fornlr ★★★★★
(14.11.20 15:52:33 MSK)

Ссылка

Ответ на: комментарий от Goury 14.11.20 15:36:49 MSK

В системд это уже много лет как реализовано.

man systemd-journal-gateway, systemd-journal-remote, systemd-journal-upload

Ага, только надо:

1. Установить systemd-journal-remote и/или systemd-journal-gateway - по умолчанию, они например в Debian 10 не ставятся в систему.

2. Настроить куда сливать логи. И конечно настроить серверную часть, которая принимает логи.

В итоге имеем удобный механизм для системного администратора в компьютерной сети, которую он обслуживает и никакой телеметрии для непонятно кого.

praseodim ★★★★★
(14.11.20 15:54:09 MSK)
Последнее исправление: praseodim 14.11.20 15:54:32 MSK (всего исправлений: 1)

Ссылка

Все ради безопасности и удобства пользователей, на минуточку! 🧐

BceM_IIpuBeT ★★☆☆☆
(14.11.20 17:02:27 MSK)
Последнее исправление: BceM_IIpuBeT 14.11.20 17:04:03 MSK (всего исправлений: 1)

Ссылка

Ответ на: комментарий от targitaj 14.11.20 15:15:22 MSK

Конечно может. И код подменить, и сертификаты.
Но смотри, если мы боимся наличия на машине недоверенного софта, который будет вести себя как зловред, то тогда надо проверять реально каждый запуск всего подряд независимо от того, есть у машины доступ в сеть или нет. Собственно, вот вам и резидентный антивирус, любимая страшилка из рекламы I'm a Mac.
При этом, если исполняемый файл подписан, иньекция и так будет замечена при локальной проверке подписи — хоть истёк там сертификат, хоть нет.
Что касается вторжения в локальное хранилище сертификатов — не верю, что в современной системе невозможно организовать его мало-мальскую защиту. Если же зловред у нас сурьёзный, который себе и повышение прав может организовать — то он на раз-два вырубит и сабж (учитывая, что народ лечит эти непонятные коммуникации элементарным добавлением строчки в hosts).

dogbert ★★★★★
(14.11.20 18:11:29 MSK) автор топика

Ответ на: комментарий от praseodim 14.11.20 15:03:16 MSK

Линукс как бы никуда не денется, если мы не только про маки. Вот реально где будет и альтернатива и замена проприетарным системам.

Со всей моей любовью к продукции мелкософт, любой линукс (даже рач) куда менее конченый чем macOS. Если бы поставили перед выбором - линуксы или макос без других альтернатив, не сомневаясь бы выбрал линуксы. После винды на маке откровенно «тесно».

yu-boot ★★★★★
(15.11.20 00:36:22 MSK)