Researcher Bobol Find My Apple Pakai Linux, Data Lokasi Bocor

Telset.id – Seorang peneliti keamanan berusia 22 tahun berhasil mendaftarkan mesin Linux biasa sebagai perangkat tepercaya di jaringan Find My milik Apple dan menarik data lokasi orang secara langsung yang biasanya hanya tersedia untuk perangkat keras Apple sendiri. Temuan ini mengungkap bahwa batasan keamanan Apple pada fitur Find My lebih lemah dari perkiraan.

Peneliti yang dikenal dengan nama samaran “Zerotistic” ini mendokumentasikan bagaimana ia mendaftarkan mesin Linux sebagai node tepercaya di jaringan Apple dan menggunakan status barunya untuk menerima data lokasi orang secara langsung. Data tersebut biasanya hanya dibagikan Apple kepada perangkatnya sendiri, seperti iPhone dan iPad.

Find My adalah alat serbaguna Apple untuk menemukan perangkat keras seperti AirTags, iPhone, dan iPad. Fitur ini juga memungkinkan pengguna berbagi lokasi dengan keluarga dan teman. Apple selama ini menjaga ketat fitur ini, namun peneliti keamanan justru menargetkannya untuk memperkenalkan perangkat yang tidak sepenuhnya dikendalikan Apple sebagai bagian dari ekosistemnya.

Bukan Eksploitasi Pengawasan Massal

Penting untuk dicatat bahwa pekerjaan ini bukanlah eksploitasi pengawasan massal. Pendekatan ini terbatas ruang lingkupnya dan hanya membaca berbagi lokasi yang telah disetujui oleh seorang teman. Metode ini tidak dapat secara diam-diam menemukan lokasi pengguna Apple secara sembarangan.

Tantangan ini bukanlah perkara mudah. Meyakinkan backend Apple bahwa proses Linux adalah perangkat Apple yang sah membutuhkan banyak trial and error. Sistem Apple sebenarnya tidak sepenuhnya dikompromikan; pendekatan ini tetap membutuhkan teman untuk berbagi data yang kemudian dapat dibaca oleh klien Linux yang dibangun peneliti.

Apple saat ini mengirimkan data lokasi orang melalui layanan Push Notification pribadinya hanya setelah mempercayai bahwa mesin penerima milik akun tersebut dan dapat menangani data tersebut. Ini berarti mesin Linux harus berbicara dalam bahasa privat Apple untuk meminta data ke servernya dan memproses informasi yang diterima.

Prosesnya melibatkan perolehan sertifikat Apple Identity Services (IDS), kredensial perangkat dan pesan khusus yang digunakan kerangka kerja internal Apple untuk menghubungkan Apple Account ke perangkat keras tertentu, kunci enkripsi end-to-end, dan token push notification. Ini berarti merancang permintaan penandatanganan sertifikat dan mengirimkannya ke endpoint pendaftaran lama Apple.

Setelah selesai, kotak Linux dengan sertifikat yang ditandatangani dapat menandatangani permintaannya sendiri dan mendaftar sebagai perangkat Find My. Namun, perangkat tersebut masih harus berlangganan enam sublayanan berbeda agar berfungsi. Permintaan pendaftaran juga harus ditandatangani menggunakan sertifikat IDS dan sertifikat APNs yang diperoleh selama pengaturan jaringan awal.

Kecepatan Eksekusi yang Mengkhawatirkan

Yang mungkin mengkhawatirkan Apple adalah seberapa cepat semuanya terjadi: seluruh proses selesai dalam seminggu. Metode ini juga tidak memerlukan jailbreak, kunci yang bocor, atau bahkan Mac. Sebagai gantinya, klien open-source dan daemon yang didekompilasi menjadi norma, dengan pendekatan trial-and-error yang akhirnya membuahkan hasil.

Teknik ini memiliki keterbatasan: serangan tidak dapat menargetkan orang asing, dan persetujuan diperlukan bahkan untuk melacak teman sendiri. Ini menunjukkan bahwa batasan Apple seputar Find My berasal dari protokol yang tidak jelas yang diterapkannya, bukan kunci kriptografi. Setelah perangkat bertindak seperti berasal dari Apple, ekosistem memperlakukannya sebagai anggota keluarga, bukan node yang tidak tepercaya.

Peneliti kemudian mengeluarkan permintaan SubscribeAndFetch yang memberikan kunci lokasi terenkripsi dari perangkat Apple temannya ke kotak Linux yang menyamar sebagai perangkat Apple. Apple belum menanggapi pertanyaan media tentang apakah perusahaan berencana mengatasi trik yang diperlihatkan atau menambal celah tersebut dalam waktu dekat.

Temuan ini menjadi pengingat penting bahwa keamanan ekosistem tertutup sekalipun dapat ditembus dengan pendekatan yang tepat. Meskipun eksploitasi ini memerlukan persetujuan dan terbatas ruang lingkupnya, kecepatan pengerjaannya dalam seminggu menunjukkan bahwa hambatan teknis Apple mungkin tidak sekuat yang selama ini diasumsikan.

Bagi pengguna Apple, temuan ini tidak berarti data lokasi mereka berisiko langsung, karena metode ini membutuhkan persetujuan dari pemilik data. Namun, ini menunjukkan pentingnya kewaspadaan terhadap siapa yang diberi akses ke data lokasi melalui fitur berbagi lokasi Find My.

Keamanan siber terus berkembang, dan temuan seperti ini menunjukkan bahwa keamanan AI dan sistem perlu terus dievaluasi. Sementara itu, para pengguna disarankan untuk tetap bijak dalam membagikan data lokasi mereka, bahkan kepada teman dan keluarga sekalipun.

Apple dikenal dengan ekosistem tertutupnya yang ketat, namun penelitian ini membuktikan bahwa batasan tersebut bukanlah tembok yang tidak bisa ditembus. Dengan pendekatan reverse engineering yang tepat, perangkat di luar ekosistem Apple pun dapat mengakses layanan yang seharusnya eksklusif.

Meski demikian, perlu ditegaskan kembali bahwa ini bukan celah yang dapat dieksploitasi untuk memata-matai pengguna secara massal. Persetujuan tetap menjadi syarat utama, dan data yang diakses hanyalah lokasi yang memang sudah dibagikan secara sukarela oleh pengguna kepada orang lain.

Pendekatan yang digunakan Zerotistic menunjukkan bahwa protokol keamanan yang tidak jelas dapat menjadi titik lemah. Apple mungkin perlu mempertimbangkan untuk memperkuat validasi perangkatnya atau setidaknya merespons temuan ini dengan serius, mengingat dampak keamanan yang mungkin timbul.

Bagi industri teknologi, penelitian ini menjadi studi kasus menarik tentang bagaimana keamanan ekosistem tertutup dapat diuji. Ini juga menegaskan bahwa tidak ada sistem yang sepenuhnya aman, dan pengujian berkelanjutan oleh peneliti keamanan sangat penting untuk menjaga integritas layanan seperti Find My.

Apple belum memberikan pernyataan resmi mengenai temuan ini. Sementara itu, komunitas keamanan siber menantikan apakah raksasa teknologi tersebut akan merespons dengan patch atau justru membiarkan celah ini tetap terbuka.

Pengguna yang khawatir tentang privasi lokasi mereka dapat membatasi siapa saja yang dapat melihat lokasi mereka melalui pengaturan Find My. Langkah sederhana ini dapat mengurangi risiko penyalahgunaan, meskipun celah yang ditemukan peneliti membutuhkan persetujuan eksplisit dari pengguna.

Penelitian ini juga menjadi pengingat bahwa deteksi ancaman dan keamanan digital harus terus diperbarui. Seiring berkembangnya teknik serangan, pertahanan pun harus semakin kuat dan adaptif.

Dengan waktu pengerjaan hanya seminggu, temuan ini menunjukkan bahwa hambatan teknis untuk masuk ke ekosistem Apple mungkin lebih rendah dari yang diperkirakan banyak orang. Namun, keterbatasan yang ada—seperti syarat persetujuan—tetap menjadi penghalang utama bagi penyalahgunaan skala besar.