Pesquisador registra computador Linux no Find My e recebe localizações compartilhadas da Apple
Um pesquisador de segurança de 22 anos, conhecido pelo apelido “Zerotistic”, demonstrou que é possível conectar um computador com Linux à infraestrutura do Find My, da Apple, e receber informações de localização compartilhadas com uma conta Apple utilizada no experimento.
A descoberta é relevante porque a experiência completa do Find My permanece concentrada no ecossistema da Apple. Embora o iCloud ofereça uma ferramenta web para localizar iPhones, Macs e outros dispositivos vinculados à conta, o acesso às posições compartilhadas por outras pessoas não é disponibilizado de forma equivalente pelo navegador.
Isso não significa que qualquer usuário possa ser rastreado por meio da técnica. O recebimento dos dados depende de uma autorização anterior: a pessoa precisa ter compartilhado voluntariamente a localização com a conta Apple configurada no computador Linux. Portanto, o método não cria acesso irrestrito às posições de usuários da empresa.
Como o Linux foi reconhecido pela Apple
O primeiro obstáculo foi fazer os servidores da Apple identificarem o computador Linux como um dispositivo legítimo e autorizado. Para isso, o pesquisador utilizou o protocolo de autenticação GrandSlam, vinculando a máquina à conta Apple empregada no teste.
Na etapa seguinte, foi necessário obter um certificado de dispositivo emitido pelo Apple Identity Services, conhecido pela sigla IDS. Esse certificado associa o equipamento a uma conta e permite que ele participe de determinados fluxos internos de comunicação da companhia.
Zerotistic elaborou uma solicitação personalizada de assinatura de certificado, ou CSR. Depois de várias tentativas, constatou que o sistema exigia uma requisição no padrão PKCS#10, uma chave RSA de 2.048 bits e uma assinatura baseada em SHA-1.
Esses elementos foram reunidos em um arquivo XML compactado e enviados ao endpoint legado authenticateDS. A Apple aceitou a requisição, assinou o conteúdo e devolveu o certificado IDS necessário para registrar a chave pública do computador na conta.
Na avaliação do pesquisador, a necessidade de utilizar SHA-1 e uma estrutura XML pode estar ligada à idade do serviço authenticateDS, que aparentemente mantém padrões tecnológicos mais antigos em partes de sua implementação.
Certificados e conexão com o serviço de notificações
A obtenção do certificado, porém, não transformou automaticamente o Linux em um dispositivo compatível com o Find My. Ainda era necessário preencher outros requisitos de registro e comunicação.
O pesquisador descobriu que a solicitação precisava assinar seis subserviços distintos, declarar os mecanismos criptográficos disponíveis e apresentar chaves públicas usadas na comunicação entre aparelhos associados ao ecossistema Apple.
Além disso, o processo exigia a assinatura da solicitação com certificados IDS e APNs obtidos durante a configuração inicial. Depois de concluir essas etapas, o computador conseguiu estabelecer uma conexão TLS binária e persistente com servidores privados do Apple Push Notification service.
A partir desse momento, a infraestrutura da Apple passou a reconhecer a máquina como apta a receber determinadas mensagens relacionadas ao Find My. O serviço APNs desempenhou um papel central, pois é usado para entregar notificações e dados aos dispositivos autorizados.
Solicitação específica para receber a localização
Mesmo com o registro concluído, as posições compartilhadas não foram exibidas automaticamente. Para iniciar o fluxo de dados, Zerotistic precisou enviar uma solicitação denominada SubscribeAndFetch.
Essa requisição fez com que o dispositivo de um amigo, que já havia autorizado o compartilhamento de localização, enviasse uma chave criptografada ao computador Linux. A chave era necessária para acessar o conteúdo protegido transmitido pelo sistema.
O passo final envolveu a interpretação das mensagens produzidas pelo SearchParty, componente associado aos recursos de localização da Apple. Como não existia um aplicativo gráfico oficial do Find My em execução no Linux, o pesquisador desenvolveu um script próprio para analisar os pacotes recebidos.
O programa conseguiu extrair a chave compartilhada e descriptografar os dados. Entre as informações recuperadas estavam as coordenadas geográficas, o horário do registro e o nível de precisão da localização. O script também processou atualizações posteriores relacionadas ao mesmo compartilhamento previamente autorizado.
O que a descoberta revela
O experimento indica que as restrições oficiais de compatibilidade não impedem necessariamente a interação de sistemas externos com os protocolos internos da Apple. Com engenharia reversa, conhecimento sobre autenticação e análise dos formatos de comunicação, um dispositivo Linux pôde assumir funções normalmente associadas a um iPhone, iPad ou Mac.
A demonstração, contudo, não representa uma quebra completa do modelo de privacidade do Find My. O sistema continua dependendo de uma relação de confiança previamente estabelecida entre a conta e a pessoa que compartilha sua posição. Sem essa autorização, a técnica não oferece um caminho simples para consultar a localização de terceiros.
Também é importante diferenciar a prova de conceito de uma ferramenta pronta para uso cotidiano. O procedimento envolve múltiplas etapas de autenticação, certificados, chaves criptográficas, conexões persistentes e interpretação de mensagens internas. Qualquer alteração nos servidores da Apple pode interromper o funcionamento do método.
Possíveis implicações de segurança
A pesquisa chama atenção para os riscos de implementar serviços fechados sobre protocolos que podem ser analisados e reproduzidos fora das plataformas oficiais. Mesmo quando os dados permanecem criptografados, a existência de mecanismos de registro e comunicação compatíveis com dispositivos não oficiais pode ampliar a superfície de análise por pesquisadores e possíveis invasores.
Por outro lado, a necessidade de compartilhamento prévio reduz significativamente o potencial de abuso. O cenário mais plausível envolve uma conta que já recebeu autorização de localização e cujo acesso, certificado ou dispositivo venha a ser comprometido.
Para os usuários, a principal recomendação é revisar periodicamente quais pessoas podem visualizar sua localização, remover compartilhamentos antigos e proteger a conta Apple com autenticação em dois fatores. Também é prudente verificar os dispositivos associados à conta e revogar aqueles que não são reconhecidos.
O trabalho teria sido desenvolvido em menos de uma semana. Até o momento da publicação da reportagem original, a Apple não havia informado se pretendia modificar os serviços envolvidos, bloquear registros externos ou atualizar os mecanismos legados utilizados na autenticação.