科普:苹果公司向中共提供哪些私人数据?iPhone安全性与苹果透明度报告解读

前言

写这篇文章已经很久了,无奈平常一直没有时间。所以断断续续的拖到前几天才全部写完。

原不想写的太多,写的太多看的人就少。但在写作过程中我发现有些问题必须说清楚,过于简略反而会让读者摸不到头脑。
写此文的初衷是为品葱贡献一点干货,提高葱油们的安全防范意识,特别是手机安全。中共在信息安全领的投入越来大,妄图在中国打造一个数字监狱。不注意很容易造成安全隐患,产生不必要的损失。
除此之外也想澄清一些误区,比如许多人认为“iPhone比安卓更能保护隐私”。读完全文之后,希望会有新的认识。
这篇科普文的阅读对象是非机算机/软件专业的用户。所以我写作的时候尽量通俗表述,某些问题在技术上缺乏专业性。希望葱油们包涵和指出。

首先讲两个老生常谈的问题:

iPhone是否比安卓手机更安全?
一定程度上是。简单说两点原因:
1.系统设计架构
iOS的系统架构更多的考虑了数据安全,相比之下安卓则有点先天不足。比如iOS强制App使用沙盒,硬件层面的安全隔区与数据加密。虽然安卓10版本之后的系统在安全性方面有所改进,但也没解决根本问题,除非将整个系统架构推倒重来。
2.硬件的多样性
Google无法统一安卓手机生产商的硬件标准。不同的手机生产商,对手机安全硬件、底层固件的标准定义不同。即使不考虑国产品牌放置后门的因素,用同一个安卓系统的手机所能达到的安全程度也不一样。

iPhone是否比安卓手机更能保护隐私?
用户的隐私保护取决于app与服务提供商的隐私保护政策。只要你用,就有隐私泄露的风险。 国外的网络服务提供商在商业利益与法律道德上会有权衡,有畏惧有底线。而中(共)国的就肆无忌惮了。
iPhone一定程度上限制了中(共)国流氓app的行为,但鉴于中(共)国非常恶劣的互联网与软件环境,无论是iPhone还是安卓都无法从根本上保护用户隐私。
要保护个人隐私,就应立即停止使用中(共)国产的软件和服务。

在讲苹果向政府提供哪些数据之前,首先说说苹果的iCloud

1.iCloud是什么?
iCloud是苹果的云端服务。
iCloud不是通常大家理解的类似微软OneDrive、GoogleDrive的“存文件的网盘”, iCloud是深度整合苹果账号与苹果设备的网络服务。

只要用户的设备登陆了AppleID,iCloud云服务是默认启用的,除非用户手动关闭。
如何彻底关闭iCloud参见下文【苹果用户的安全设置建议】。

2.iCloud储存了用户的哪些信息?
iCloud的默认设置几乎储存了用户设备上的一切。

包括但不限于以下内容:
  • AppleID绑定的用户名称、地址、电话等联系方式
  • AppleID绑定的用户支付信息,比如银行卡
  • AppleID绑定的用户设备信息、登陆的设备的地理位置、IP地址等
  • 用户设备上安装的App及储存的信息(比如微信、Telegram电报的聊天记录)
  • 用户的相册、通讯录、短信、通话历史、浏览器浏览记录等



如果打开了iCloud备份,用户设备内的所有内容都会被上传到云端保存。

当然啦,iCloud的数据苹果是加密保存在服务器上的,所以不用特别担心第三方会轻易拿到数据。但苹果却很鸡贼的在加密方式上作了区别,给政府获索取用户数据提供了可能。

3.iCloud数据的加密方式
苹果采用了两种加密方式保护这些数据。
第一种是端到端(end-to-end encryption)加密,第二种是非端到端加密。
举个例子说明两种加密方式的不同:
iCloud好比苹果建的一座坚固的仓库,并安装了一扇同样坚固的防盗门,提供给用户储存货物。
端到端加密的仓库,防盗门锁是用户自己安装的,防盗门的钥匙在用户手里。非端到端加密的仓库,防盗门锁是苹果安装的,防盗门的钥匙由苹果代替用户保管。
有一天,一个警察向苹果声称用户王x储存了非法货物。在履行“法律”手续后,苹果将王x的非端对端加密仓库的钥匙给了警察。并表示没有端对端加密的仓库的钥匙,让警察自己去要。

  • 大部分苹果iCloud数据,以非端到端加密的形式储存在服务器上。
  • 少部分苹果认为是重要的敏感数据,采用端到端加密的形式储存在服务器上。只限于钥匙串、健康、屏幕使用时间、Wi-Fi密码等。


苹果提供给政府的数据与透明度报告
iCloud上储存的非端到端加密的数据,苹果可依据当地的法律提供给政府。政府履行一定的手续后可获得。

对于苹果这样打着保护用户隐私旗号为产品卖点的企业,虽然不愿意得罪用户,但又不得不遵守政府的法令。特别是面对中共惯用绑架中国14亿人口的市场要挟外企遵守它制订的(邪恶)法律。苹果选择披露“透明度报告”减轻舆论的指责。

1.透明度报告解读
Transparency Report,中文名《透明度报告》,是苹果报告其响应各国政府要求披露用户数据的情况,地址https://www.apple.com/legal/transparency/
透明度报告(下文简称“报告”)每半年为一次披露周期,最近的一次披露是2020年1月-6月周期。报告按国别汇总每一披露周期内政府对iCloud储存的用户数据的请求类型、次数和苹果最终提交给政府的用户数据情况。大概是为了不得罪中共政府,该报告不提供中文版本。
苹果的透明度报告披露的数据大致分为下面几类:
  • Device-设备
  • Financial Identifier-财务信息
  • Account-账户信息
  • Account Preservation-账户保留
  • Account Restriction/Deletion-账户限制与删除
  • Emergency-紧急请求
  • Apple Removal-App下架

对于每一类型的数据,报告给出了具体例子解释。
Account类型的数据请求最重要。 政府请求Account类型的数据的目的,是拿到用户iCloud上储存的所有非端到端加密数据。 感兴趣的同学可以去看看中共已经拿到了多少用户的数据。

2.透明度报告-中国大陆数据的疑问
苹果向中共政府提供的用户数据的类型与数量的历年统计地址https://www.apple.com/legal/transparency/cn.html
据报告,仅2017年1到6月,中共向苹果请求解密用户Account24次、要求苹果解密提供34591个人次(设备)的iCloud的数据。
到2019年7到12月,请求人次(设备)数降至2085。2020年1到6月的请求人次(设备)数更夸张的降到了145人次(设备),连2017年半年的零头还没有。2020年上半年正好赶上大陆CCP病毒的高峰,舆论管控力度前所未有。而请求数据却逐年下降,是中共收敛了吗?鬼才信。

问题出在哪呢?参见下文【云上贵州iCloud】。

云上贵州iCloud
2018年初,苹果宣布中国大陆地区的iCloud数据迁移至云上贵州储存。其实在云上贵州之前,大陆地区iCloud的数据就已储存在了国内云服务平台上,比如天翼云。

那么为啥中共要求外企(比如苹果)将数据保存在云上贵州呢?

确切的说,中共的要求是苹果与云上贵州合作,把用户的iCloud数据直接委托给云上贵州处理。
云上贵州是中共控制下的企业。苹果与云上贵州合作后,不仅数据、加密密钥迁移到了云上贵州保存,原来“用户-苹果-数据储存商”的法律关系亦变为“用户-云上贵州/苹果”。细心的同学会发现,中国大陆iCloud用户协议中的乙方已经成了“云上贵州”而不是苹果了。
所以,中共通过云上贵州,直接提取用户数据。绕过了苹果复杂的内部法律审核程序,不再需要苹果同意和批准。
所以,中共通过云上贵州获得的数据,不会披露在苹果的透明报告中。

外区的iCloud就安全了吗?
为规避风险,一些在意隐私安全的用户将原绑定在中国大陆区Apple ID的数据迁移至外区iCloud。这样安全了吗?
我认为没有。原因有二:
[li]将账号与数据迁移至中国境外并没有改变数据加密的属性。中共依旧可要求苹果提供用户数据,只是没有直接从云上贵州拿数据那么方便。[/li]
[li]没有证据表明苹果公司会拒绝中共政府“依(恶)法”要求提供中(共)国公民储存在境外数据的请求。[/li]

我不负责任的猜测一下:大陆地区用户的iCloud迁移到云上贵州之后,苹果透明度报告披露的数据,很可能是中共向苹果请求解密的外区iCloud的数量。

苹果用户的安全设置建议
无论你煞费苦心的隐藏了Telegram的电话号码、还是用了某端到端加密的即时通讯软件,iCloud却悄悄把你的底裤给了中共。如果你是iPhone用户,中共通过一些线索怀疑到了一些人,要云上贵州交数据,那么你基本就暴露了,“反共”证据确凿。

与苹果设备深度捆绑的iCloud是安全和隐私的定时炸弹,我强烈建议所有重点人士关闭它。这里的重点人士,指:肉身在中(共)国境内,从事“反共”的人群。包括但不限于:
[li]公开在国外论坛、视频网站发表有一定影响力“反共”内容的。[/li]
[li]经常在Telegram等平台交流“反共”活动的人群。[/li]
[li]使用iPhone等苹果设备的大陆法轮功学员。[/li]
[li]在中(共)国境内组织中共禁止团体的人群。比如地下教会、组织一定规模的维权上访。[/li]
仅翻墙作一般浏览的人群,风险要小很多。如果对个人安全与隐私比较在乎,也可参照处理。

关闭iCloud设置步骤
  • iPhone/iPad点击“设置”,点击“你的头像(Apple ID、iCloud、媒体与购买项目)”,点击“iCloud”。把所有使用iCloud的APP关闭,尤其是“通讯录”“邮件”“照片”“备忘录”“Safari浏览器”“iCloud云备份”“iCloud云盘”“Telegram”等项目。
  • 如果过去设置了使用云端(iCloud)服务 ,很多信息已经自动上载到云端了,因此在取消云端设置后,还要把云端中的全部内容删掉。方法是点击“你的头像(Apple ID、iCloud、媒体与购买项目)”,点击“iCloud”,点击“管理储存空间”。逐个点击列表中的项目,点击“停用并删除”。


还是那句话, 墙内敏感活动尽量用电脑,做好安全措施。手机非常不安全,一不小心就会泄露隐私。

最后,储存在iPhone本地的数据安全吗?
这类数据受iPhone的锁屏密码保护,以AES256加密储存在设备本地。此类数据政府无法请求苹果提供,中共也无法通过技术手段获取。现有的办法也只是绕过A11及更旧款芯片的密码重试次数,暴力猜解。设置强锁屏密码(12位及以上的数字+符号+字母大小写混合的密码)就能防止此类破解技术。论坛里有“前网警”透露的中共网警的现行的技术细节,从侧面给予了证实iPhone本地数据的安全。

附上一篇纽约时报2021年5月18日的新闻报道《审查、监控与利润:为做生意,苹果向中国政府妥协》
https://cn.nytimes.com/technology/20210518/apple-china-censorship-data/
14
分享 2021-05-20

4 个评论

如果真的想安全,不妨买O版pixel,不可解锁rec
比其他的好很多
其实一句话  在我地盘上我做主,不然你就别进来。很明显水果低头了
范松忠 黑名单
储存在iPhone本地的数据安全吗?

这个比较重要,其他,有的是别的网盘可以用,又不是非要用iCould。虽然我没什么问题,但还是很鼓励你的详细分析!
对于真正从事高危活动的人来说,安卓更安全,前提是懂配置的技术,而苹果id绑定机制要命的多

要发言请先登录注册

要发言请先登录注册