I problemi con Apple non sono solo interruzioni, sono ingiustizie

Read this article in English at https://www.fsf.org/news/the-problems-with-apple-arent-just-outages-they-are-injustices

Questo novembre, sia gli utenti di tutti i giorni che i sostenitori della privacy hanno trovato nuovi motivi per preoccuparsi di Apple. Dopo un aggiornamento all'ultima versione del loro sistema operativo, gli utenti hanno scoperto di non essere in grado di avviare applicazioni che non sono state scritte da Apple stessa. Questo problema è stato causato da un'interruzione del server Apple. Ma perché l'indisponibilità di un server remoto ha impedito a un utente di avviare un programma sul proprio computer?

Si scopre che ogni volta che un programma viene aperto su macOS, telefona a casa tramite il protocollo OCSP (Online Certificate Status Protocol) per vedere se quell'applicazione è "ok" per l'avvio: chiede all'azienda il permesso ogni volta che viene rilevata una nuova applicazione, inviando informazioni potenzialmente identificative insieme a quella richiesta. Mentre questa funzione ha fatto notizia solo a causa della recente interruzione del server causata dal rilascio della versione più recente di macOS, Big Sur, la ricerca indica che il report-back esiste nel sistema operativo da settembre 2018, con il rilascio di macOS Mojave. Questo è un classico caso di software proprietario che funge da strumento di potere ingiusto.

Sebbene Apple non riceva direttamente il nome dell'applicazione, ma piuttosto informazioni su chi l'ha sviluppata, la maggior parte degli sviluppatori ha solo un numero molto limitato di app sull'App Store, rendendo facile per Apple dedurre. Ancora più inquietanti sono le altre informazioni identificative che vengono inviate insieme alla richiesta, che include la posizione approssimativa dell'utente e la data e l'ora correnti.

Poiché macOS è così limitato, lascia tutti, compresi gli sviluppatori di software libero, impotenti per aiutare gli utenti a impedire che l'uso delle applicazioni venga segnalato ad Apple. A causa del modo in cui il sistema è progettato, i firewall software gratuiti come LuLu non sono in grado di impedire l'invio delle informazioni ai domini Apple. Inoltre, le informazioni vengono inviate non criptate sulla rete, consentendo potenzialmente a un curiosone di vedere quali applicazioni un utente stava cercando di avviare sul proprio computer. La richiesta ignora anche qualsiasi VPN, facendo conoscere ad Apple la loro posizione approssimativa anche se l'utente ha adottato misure per rimanere anonimo.

In una recente nota aggiunta a una pagina di supporto, Apple ha promesso di apportare modifiche al sistema e criptare le richieste, ma questo non ripara il danno che è stato fatto agli utenti, né fornisce alcuna reale rassicurazione che queste modifiche sono in meglio, o che in futuro per Apple la tua privacy varrà improvvisamente la pena di esser protetta. Anche se apporteranno modifiche al sistema (in una vaga cronologia di "nel corso del prossimo anno"), c'è stato un periodo durante il quale Apple ha imposto l'uso del servizio senza opt-out, e continueranno a farlo. Non solo stavano invadendo la privacy di ogni utente, ma i record senza dubbio esistono ancora. Se Apple è interessata alla privacy come sostiene la sua copia pubblicitaria, l'utente dovrebbe poter essere in grado di consentire a un server o a un gruppo indipendente di verificare che le applicazioni in esecuzione non siano dannose, piuttosto che dover fare affidamento su Apple stessa.

Inoltre, l'aggiunta di un'opzione di opt-out in un qualche momento "nel corso del prossimo anno" non è sufficiente. I servizi potenzialmente invasivi come questo dovrebbero essere solo opt-in e avere un messaggio chiaro e inequivocabile su come potrebbero influire sulla privacy degli utenti. A meno che la configurazione non venga sostanzialmente modificata in modo che gli utenti abbiano un messaggio chiaro e inequivocabile fin dall'inizio che questi servizi esistono e potrebbero influire sulla loro privacy, anche dopo che queste modifiche vengano finalmente implementate, la stragrande maggioranza degli utenti invierà comunque questi dati ad Apple. Continueranno a non essere consapevoli del fatto che Apple viene avvisata ogni volta che aprono un programma e non avranno modo di sapere cosa fa Apple con queste informazioni.

Servizi come OCSP possono servire a uno scopo di sicurezza legittimo. Potrebbe avere senso che un utente voglia verificare in tempo reale che un'app che sta per eseguire sia firmata e controllata da qualcuno di cui si fida, piuttosto che da un malware che in qualche modo si è installato da solo . Ma per essere veramente un sistema di sicurezza e non un sistema di assoggettamento, l'utente deve essere in grado di decidere di chi vuole fidarsi per gestire quel controllo. Apple nega agli utenti tale scelta in più modi. Ad esempio, non c'è modo per un utente di rimuovere Apple come autorità attendibile.

Siamo preoccupati per il modo in cui questo punto è stato perso nelle discussioni pubbliche su questo sistema e sulla sua interruzione. La scelta qui non è tra OCSP e gli utenti che eseguono ogni singolo programma che eseguono da soli o hanno un dispositivo non sicuro. La vera scelta è tra ciò che Apple fa con OCSP e la possibilità per gli utenti di scegliere un'altra azienda o organizzazione su cui fare affidamento quando perdono fiducia in Apple. Lo facciamo continuamente nella nostra vita, come quando si passa a un meccanico di auto diverso dopo aver avuto una brutta esperienza, o a un medico diverso quando qualcosa sulla nostra situazione è cambiato. Non dobbiamo sbarazzarci della nostra auto -- o del nostro corpo -- per fare queste scelte, e non c'è motivo per cui dobbiamo farlo con i nostri dispositivi software-running. Fino a quando Apple non cambierà la dinamica fondamentale e consentirà a software di sicurezza "free as in freedom" ("libero come in libertà") di terze parti su macOS come cittadino a pieno titolo, un sistema OCSP anche con miglioramenti della privacy sarà fondamentalmente sull'assoggettamento e non sulla sicurezza.

La debacle OCSP è solo l'esempio più recente del perché gli utenti non dovrebbero fidarsi di Apple per la propria informatica. Il fatto che ci sia voluto un'interruzione del server per consentire agli utenti di prendere coscienza di questa pratica, che va avanti da almeno due anni, dovrebbe darci una pausa. Quante altre pratiche eticamente inaccettabili riveleranno la prossima interruzione del server Apple? E quanti prima che gli utenti Apple abbia nella sua morsa dicono che abbastanza è sufficiente? È meglio non aspettare per scoprirlo. Gli utenti catturati nella trappola di Apple dovrebbero passare a GNU / Linux oggi per liberarsi. Scegliere la libertà invece dell'autoritarismo aziendale è il passo più importante che si possa fare per riconquistare la propria autonomia digitale e assumere il controllo della propria informatica.

Per assicurarti che Apple ottenga il messaggio, tieni il passo con le email che hai inviato a Tim Cook facendogli sapere che ti stai sbarazzando dei tuoi dispositivi Apple o non comprerai alcun dispositivo Apple fino a quando non smetteranno di usare la facciata della sicurezza per bloccare gli utenti.

Nota: Nel gennaio 2021, dopo pressione pubblica, Apple ha deciso di fare un passo indietro nella sua politica di non permettere ai firewall software di filtrare i domini Apple.