In der Nacht zum Freitag hatten einige Server bei Apple gestreikt und das Update auf macOS Big Sur erschwert. Vor allem der OCSP-Server machte Probleme, jener für das Online Certificate Statur Protocol zuständige, der Apps notarisiert und so ihre Legitimität feststellt. Das hatte zur Folge, dass sich einige Anwendungen nicht mehr starten ließen, solange der Mac mit dem Internet verbunden war.
Der Sicherheitsforscher Jeffrey Paul nahm das zum Anlass für den Hinweis, dass der Mac teils unverschlüsselt “nach Hause telefoniere”, Provider und auch das Militär könnten den Traffic zwischen Notarisierungsstelle und Mac mitlesen. In den unverschlüsselten Logs, die ein Rechner an die Notarisierungs-Server schickt, waren demnach das Datum und die Uhrzeit der Verbindung, die IP-Adresse der Verbindung, Art des Geräts und ein Hash (Prüfsumme) der überprüften Apps. Selbst diese rudimentären Daten lassen in der Kombination allerlei Rückschlüsse auf den einzelnen Nutzer und seine Gewohnheiten zu.
Mit der IP beispielsweise lässt sich mehr oder weniger genau der Standort raten, selbst mit den Prüfsummen der Programme kann man mit einigem Aufwand feststellen, was genau der Nutzer auf seinem Mac öffnet. Die Behauptung von Jeffrey Paul, Apple schicke App Hashes an eigene Server, revidiert jedoch der Stunden für Computer-Wissenschaften an der Uni Mailand Jacopo Jannone in seinem Blog : Er hat per Little Snitch die Daten an den OCSP-Server bei einem Firefox-Start abgefangen und sich diese genauer angeschaut: Apple hasht zwar Infos, daraus lässt sich nicht auf die App schließen, sondern auf die Entwickler-Zertifikate, die zu dieser App gehören. Das ist sinnvoll, im Anbetracht dessen, dass OCSP überprüft eigentlich, ob bei der gerade eröffneten App die Entwickler-Zertifikate noch gültig sind. Die Entwickler-Zertifikate lassen jedoch nicht immer auf eine konkrete App in Verwendung schließen, ein Developer kann das Zertifikat mehrmals verwenden. Apple schickt zwar die Hashes von Apps als Überprüfung per Gatekeeper, doch diese Überprüfung wird verschlüsselt übertragen und der Nutzer bekommt eine Warnung vom System.
In seinem Support-Dokument “Safely open Mac Apps” hat Apple aber nun klargestellt, dass niemals die Apple ID oder die Identität des Geräts übertragen worden wäre. Man habe nun aber damit aufgehört, die zu den Entwickler-Zertifikaten gehörenden IP-Adressen zu protokollieren, als alten Logs werde man diese Daten nun auch löschen. Apple verspricht ebenfalls, dass in der Zukunft die Überprüfung der Apps gegenüber dem Notarisierungs-Server verschlüsselt stattfindet, und dass eine solche Verbindung gegen Serverausfälle abgesichert sein wird. In der Zukunft will Apple ebenfalls in den Systemeinstellungen den Nutzern eine Option anbieten, die Notarisierungs-Überprüfung ganz abzuschalten.