这是一个创建于 1474 天前的主题，其中的信息可能已经有所发展或是发生改变。
昨天 MacRumors 上看见此新闻，说苹果服务器故障导致 macOS 用户无法打开程序。macOS 在打开每个程序前都要给苹果服务器发送包含用户 IP 、地理位置、运营商、程序 hash 的信息。无连接时会自动跳过，但有网络但服务器故障时，问题就显露了出来。
Big Sur 更新后，新的问题出现了： https://sneak.berlin/20201112/your-computer-isnt-yours/。总结：新系统里，这个用来给苹果通讯的 trustd 程序被苹果加入了白名单，无法被 Little Snitch 控制了。
苹果作为硬件公司，在我心里的标准是要高于卖用户信息的谷歌脸书等广告公司的。但苹果长期鼓吹保护用户隐私，但传输这种信息却不给用户关闭的选项。如果 macOS 上都无法关闭，更别说 iOS 上了。这个信息也没有加密，所以 ISP 也能截取，然后通过比对常见软件 hash，就可以知道何时何地用户用了什么软件。
作为一个长期果粉，看到苹果这种操作还是很难受的。
 |
1
kiwier 2020-11-14 07:59:55 +08:00
装 firewall，禁掉试试 https://github.com/objective-see/LuLu
|
 |
2
hello2060 2020-11-14 08:05:14 +08:00 via iPhone
还有这种事？那没有网络怎么办？
|
 |
3
XsterreX 2020-11-14 08:08:20 +08:00
Macrumors 原文不是只说了因为服务崩溃导致打不开或者变卡，没说后面的什么 IP 隐私加密不加密啊
|
|
4
XsterreX 2020-11-14 08:10:18 +08:00
|
 |
6
tzm41 OP @kiwier #1 LuLu 跟 Little Snitch 一样的情况，基于 kext 的防火墙都不能在 Big Sur 上用了。
|
 |
9
clrss 2020-11-14 08:38:55 +08:00 via iPhone
关了 SIP 好像就不会了（以及 Gatekeeper ？）
现在系统 Volume 分离，关了 SIP 也不会改变系统文件。 |
|
10
XsterreX 2020-11-14 08:45:16 +08:00
@tzm41 那个人也说是 ISP 级别的信息，还好吧……你手机只要联网这些信息不也是随便就拿到了，要说就是那个 App 的 hash 可以说道说道
|
 |
13
SWYou 2020-11-14 09:37:35 +08:00 via iPhone
看了原文，有把 PRSM 联想到云上贵州，还蛮可怕的。
不过换别的系统：windows Android 未尝不是如此，说不定更夸张。 难道要用 unbuntu laptop + unbuntu 手机 |
 |
14
lovestudykid 2020-11-14 10:03:58 +08:00
我记得昨天很多人说电脑变慢，原来是这个原因。但是有人让把相关域名加入 hosts 屏蔽就不会变慢，是不是这样就能防止被发送 log
|
|
15
lovestudykid 2020-11-14 10:04:56 +08:00
127.0.0.1 ocsp.apple.com
把这个加到 hosts |
 |
16
felixcode 2020-11-14 10:16:33 +08:00 via Android  1
苹果的隐私就是阻止其他公司获取隐私，而苹果掌握所有信息。
|
 |
17
szq98 2020-11-14 10:43:14 +08:00 via iPhone
不解苹果是为什么这么做，但如果单纯是为了获取用户数据，那获取信息的过程不应该影响应用启动
|
 |
18
rainboat 2020-11-14 10:57:01 +08:00
之前我一直认为这个功能是验证应用是否安全的，感觉还挺好的。但是这把用户 ip，位置都给发出去就不太理解了，这一点都不隐私。
|
 |
19
icyalala 2020-11-14 11:00:10 +08:00 18
OCSP 是一个标准的互联网协议： https://en.wikipedia.org/wiki/Online_Certificate_Status_Protocol
是用于证书吊销列表替代的，一般使用标准 http 协议，不是 https，通信请求和返回都是 ASN.1 编码。 我抓了十来分钟手机，就已经发现了 4 个 oscp 服务： ocsp.digicert.com ocsp.int-x3.letsencrypt.org ocsp.sectigo.com ocsp.apple.com 请求的数据可以先用 URL Decode 解码为 base64，然后再用 ASN.1 解码，里面就两个 sha1 值， 返回也可以用 ANS.1 解码，内容就是证书相关信息。 苹果在官网也列出了 Certificate validation 域名和作用： https://support.apple.com/en-us/HT210060 这都是长时间公开的东西，怎么突然就成新闻了呢。。 |
 |
20
NoobX 2020-11-14 11:02:07 +08:00
为了实时更新证书，防止吊销，基本操作了
你打开 windows 应用的时候其实也会联系 Microsoft 服务器验证，只是没出这个服务器的事，你不知道罢了 |
 |
21
geniussoft 2020-11-14 11:04:12 +08:00
有点怀疑。
苹果上哪知道你 Mac 的运营商是什么... 但是显然，这应该有选修关掉。 |
 |
22
tsanie 2020-11-14 11:14:00 +08:00
国内不是因为 ocsp.int-x3.letsencrypt.org 经常被污染出过不少 OCSP 相关的幺蛾子么，我以为都习以为常了 😂
|
 |
24
opengps 2020-11-14 11:45:43 +08:00 1
据我所知，lbs 服务后台，iphone 掌握的 wifi，ip，蓝牙等基站数据远远多于其他厂商，然而却只有自己用，这种所谓的保护隐私，不过是独占隐私而已
|
 |
25
marcong95 2020-11-14 11:56:58 +08:00 1
如果只是 OCSP 的话估计又是你们又想搞个大新闻，这不是 HTTPS 的基本流程么，怎么可能让用户关掉呢，跟普通的 telemetry 不是同一个事情的。AppStore 不是玩全面 HTTPS 的么，这个自然就必不可少了。
你们这么重视隐私还是把自己藏 Tor 下面算了。。。 |
 |
26
des 2020-11-14 12:17:09 +08:00
trustd 绕过防火墙，也不走代理了，难道这个不能算新闻吗？
|
 |
28
venster 2020-11-14 13:12:17 +08:00 via iPhone
|
|
29
tzm41 OP 2
Little Snitch blog 的解释： https://obdev.at/support/littlesnitch/245914647368270
|
 |
31
iptables 2020-11-14 17:25:05 +08:00
我的第一反应是 Gatekeeper 在检测应用，不知道移除 com.apple.quarantine 的属性能否解决这个问题？
|
 |
33
dingwen07 2020-11-14 21:09:05 +08:00 via iPhone
iOS 应该是一直有的，之前路由器 koolss 坏掉了把国外网站的连接全部丢掉，之后就出现 iOS 打开许多 app 跳出一个 iTunes 交易失败的提示，其中甚至包含 Safari
|
 |
34
jim9606 2020-11-14 21:45:42 +08:00 2
OCSP 这玩意被谷歌的工程师 Adam Langley 嘲讽为“崩溃时扣上的安全带”。
而且确实存在向 OCSP 服务器暴露域名访问记录的问题，这个问题跟用不用加密无关。 而且部分 CA 的 OCSP 服务器质量确实不咋地，反正我的 win10 是把这功能关了。 |
 |
38
shily 2020-11-15 00:23:23 +08:00 via Android 1
|
 |
40
theolin 2020-11-15 02:03:30 +08:00
macOS 在 设置-安全性与隐私 里面不是提供了开关的么？而且也说得很清楚会收集哪些内容。为什么说没有给用户开关呢？
|
 |
41
H0u5er 2020-11-15 02:08:41 +08:00 via iPhone
|
 |
42
clearc 2020-11-15 02:51:00 +08:00 via iPhone 2
ocsp 是没用的协议
Google 没在用 Apple 用而且放在系统层面肯定有自己的利益考量，没准哪天 Mac 也只能从 App Store 下软件 路由加黑名单干掉，改机器配置万一未来规则严格可能变砖 |
 |
43
dawn009 2020-11-15 04:54:10 +08:00 1
@icyalala 因为把 OCSP 用于应用签名验证，确实存在文章里所说的隐私泄漏问题。
由于应用场景变化，原本不是问题的协议变成了问题 |
 |
45
zitengdu 2020-11-15 09:05:40 +08:00 via Android
naut.ca: Forbidden Commands to Speed Up macOS.
https://www.naut.ca/blog/2020/11/13/forbidden-commands-to-liberate-macos/ |
|
46
des 2020-11-15 09:46:03 +08:00 1
|
|
48
tzm41 OP @nikolai #23 新版 Little Snitch 和 LuLu 用 Network Extension API 的最大问题是，系统白名单中的软件无法被控制。除了无法禁止 trustd 的 call 以外，如#46 所分享，第三方软件也可以用这种方式绕过防火墙。
|
|
51
tzm41 OP 苹果回应： https://support.apple.com/en-us/HT20249
总结： 1.苹果没有交叉比对，也不储存用户的 Apple ID 或设备 UUID 。 2.苹果决定停止记录用户 IP 地址，并且会删除现存 log 中已储存的用户 IP 。 3.在明年苹果打算实现加密的开发者 ID 证书检测、增加防止服务器故障导致无法打开程序的保护，并且给用户提供关闭此检测的选项。 |
Select Language