Apple Find My su Linux: cosa può fare e cosa no

Un computer con Linux si è presentato ai server di Apple e questi lo hanno trattato come un dispositivo di casa, autorizzato a leggere le posizioni gestite da Find My, l’app che in italiano si chiama Dov’è. A riuscirci è stato un ricercatore di sicurezza che si firma Zerotistic, e il suo esperimento è stato raccontato a fine agosto 2026 dal sito ilsoftware.it, che ne ha ricostruito i passaggi tecnici.

La prima cosa da dire è quella che di solito manca nei titoli: nessuna posizione altrui è stata sottratta a qualcuno che non l’avesse già concessa. Se hai un iPhone e non hai mai condiviso il tuo puntino sulla mappa con l’account usato nell’esperimento, quel computer non ti ha visto e non poteva vederti. Quello che è caduto non è la protezione dei dati: è il confine tra hardware Apple e hardware qualunque.

Farsi passare per un dispositivo di fiducia

Find My serve a ritrovare oggetti e persone. Nel 2019 si è allargato fino a comprendere il rintracciamento offline, con le versioni di sistema uscite quell’anno: macOS 10.15 sui computer, iOS 13 sugli iPhone e iPadOS 13.1 sui tablet. Da allora i dispositivi Apple che passano vicino a un oggetto smarrito ne captano il segnale Bluetooth e ne trasmettono la posizione in forma cifrata. Apple presenta questa architettura come end-to-end, cioè con le chiavi private che restano sul dispositivo e non finiscono sui suoi server. È lo stesso principio che regola tanti altri servizi dell’azienda, dal messaggio al backup, e che rende utile capire come si muovono gli aggiornamenti dei sistemi Apple quando toccano le funzioni di sicurezza.

La condivisione della posizione tra due persone, però, viaggia su un binario diverso dal ritrovamento degli oggetti. Un account vede dove si trova un contatto solo se quel contatto ha detto di sì, e l’interfaccia web di Apple non offre tutto ciò che l’app permette di fare. È in questo secondo binario che il ricercatore ha lavorato, e non per costruire un’app grafica alternativa: l’obiettivo dichiarato erano i protocolli interni.

Il primo ostacolo è l’autenticazione, cioè il momento in cui i server verificano chi sta bussando. Passa da GrandSlam, il sistema con cui Apple riconosce gli account. Da quel materiale il ricercatore ha costruito una richiesta di certificato — una CSR, in gergo: un modulo firmato con cui si chiede a un’autorità di emettere un documento digitale — e ha ottenuto un certificato IDS, quello degli Apple Identity Services. La firma usata era SHA-1, con una chiave RSA a 2048 bit: una combinazione datata, che secondo la ricostruzione serviva probabilmente a farsi accettare da un vecchio punto di accesso rimasto in funzione, chiamato authenticateDS.

Ottenuto il documento, il PC ha inviato una registrazione che elencava sei sottoservizi, le capacità crittografiche a disposizione e le chiavi pubbliche richieste, controfirmata da un certificato APNs. Da lì in poi ha tenuto aperta una connessione TLS verso i server, comparendo tra i dispositivi legati all’account. Per chi ha sempre sentito dire che Linux vive fuori dai giardini recintati, è un risultato curioso: qui è entrato dalla porta principale.

Registrato non vuol dire ammesso alle mappe

Qui sta il punto che vale la pena tenere separato, perché la differenza tra le due cose è tutta la notizia. Essere riconosciuti come dispositivo dell’account non apre nessuna mappa. Per arrivare alle posizioni condivise è servito un secondo passaggio, una richiesta chiamata SubscribeAndFetch, e la risposta è stata una chiave cifrata riferita a una singola condivisione già autorizzata da un contatto.

Una chiave per quella relazione, non un passe-partout per il servizio. La distanza tra le due ipotesi è la stessa che passa tra avere le chiavi di casa di un amico che te le ha date e avere il mazzo del portiere: nel primo caso il permesso resta la cosa che decide tutto, e può essere ritirato. I dati poi arrivavano dal servizio SearchParty ancora cifrati; il ricercatore ha aperto il pacchetto con uno script, ne ha ricavato la chiave di posizione e ha letto in chiaro coordinate, orario e margine di precisione, ricevendo anche gli aggiornamenti successivi.

Cosa controlla davvero Apple prima di fidarsi

Il risultato non dice che la cifratura di Find My sia stata forzata. Dice qualcosa di diverso e, a leggerlo bene, più scomodo: quando decide di chi fidarsi, Apple guarda soprattutto i certificati, le chiavi e le capacità dichiarate dal software, meno da quale ferro provenga la richiesta. Se quei documenti si possono ricostruire altrove, un sistema che non è iOS né macOS può ottenere lo stesso trattamento riservato a iPhone, iPad e Mac.

Vale però la pena mettere in fila cosa serviva per arrivare in fondo, perché è la misura di quanto l’esperimento sia lontano dalla vita di chiunque:

• un account Apple nella disponibilità di chi conduceva la prova;
• certificati validi, ottenuti attraverso il canale di autenticazione ufficiale;
• una registrazione del dispositivo portata a termine;
• una condivisione della posizione che qualcuno aveva già attivato verso quell’account.

Se hai un iPhone, cosa cambia

Per chi usa Find My tutti i giorni, la risposta pratica è che non cambia il modo in cui il servizio protegge i dati. Il perimetro di quello che è stato letto coincide con il perimetro di quello che era già stato concesso: chi non ha attivato una condivisione verso quell’account non compariva da nessuna parte. L’allarme, semmai, riguarda chi tiene attive condivisioni dimenticate da mesi con contatti di cui non si ricorda più il motivo, perché quella è l’unica porta che l’esperimento ha attraversato — e resta una porta aperta dall’interno.

Vale anche la lettura opposta, ed è il motivo per cui la vicenda interessa più gli sviluppatori che i preoccupati: la stessa strada che qui è stata usata per un esperimento è quella che servirebbe a far parlare un PC non Apple con servizi finora chiusi.

Cosa resta aperto

Al momento in cui la ricostruzione è stata pubblicata, Apple non aveva annunciato modifiche ai servizi coinvolti. Sul tavolo, come contromisure possibili, restano tre direzioni: verifiche più rigide sull’attestazione dei dispositivi, cioè sulla prova che l’apparecchio sia quello che dichiara di essere; limiti al vecchio punto di accesso che accettava la firma SHA-1; controlli aggiuntivi prima di consegnare le chiavi. Sono ipotesi, non annunci.

Resta il dato di partenza, che è anche il modo più onesto di raccontare la storia: la crittografia ha retto, il consenso ha retto, ha ceduto l’idea che soltanto un dispositivo con la mela stampata sopra possa essere creduto sulla parola.