Sicherheitsforschung für Private Cloud Compute

• Zu Private Cloud Compute (PCC), das hochintensive Rechenanfragen von Apple Intelligence in der Cloud verarbeitet, hat Apple Materialien veröffentlicht, mit denen externe Forschende die Sicherheits- und Datenschutzgarantien direkt überprüfen können.
• Der Umfang der Veröffentlichung umfasst den PCC Security Guide, Software-Binärdateien, den Quellcode zentraler Komponenten sowie erstmals auf einer Apple-Plattform eine Virtual Research Environment (VRE).
• Die VRE führt die PCC-Knotensoftware auf einem Apple-silicon-Mac als virtuelle Maschine aus und unterstützt Release-Inspektion, Verifikation von Transparenzprotokollen, Download von Binärdateien, virtuelles Booten, Inferenz mit einem Demo-Modell sowie Modifikation und Debugging.
• Apple Security Bounty wurde um PCC als neues Ziel erweitert; für einen Remote-Angriff auf Anfragedaten, der beliebige Codeausführung mit beliebigen Rechten erreicht, werden bis zu 1 Million US-Dollar gezahlt.
• Das PCC-Verifikationssystem konzentriert sich darauf, auch bei Cloud-AI-Verarbeitung sicherzustellen, dass Nutzer die in den Rechenzentren ausgeführte Software und die Datenschutzgarantien direkt überprüfen können.

---

Veröffentlichung von PCC-Verifikationsmaterialien

• Private Cloud Compute (PCC) ist ein System, das rechenintensive Anfragen von Apple Intelligence verarbeitet und dabei das Sicherheitsmodell von Apple-Geräten in die Cloud erweitert.
• Um das öffentliche Vertrauen zu stärken, ermöglicht Apple Sicherheits- und Datenschutzforschenden, die End-to-End-Garantien von PCC zu prüfen und zu verifizieren.
• In den Wochen nach der Ankündigung von Apple Intelligence und PCC stellte Apple Drittprüfern und einigen Sicherheitsforschenden die Materialien einschließlich der PCC Virtual Research Environment (VRE) vorab zur Verfügung.
• Mit dieser Veröffentlichung können Sicherheits- und Datenschutzforschende sowie technisch Interessierte PCC nun studieren und unabhängig verifizieren.
• Auch Apple Security Bounty wurde auf PCC ausgeweitet, sodass Meldungen zu Problemen belohnt werden, die die Sicherheits- und Datenschutzgarantien von PCC brechen.

Was der PCC Security Guide behandelt

• Der Private Cloud Compute Security Guide beschreibt, wie die PCC-Architektur so entworfen wurde, dass sie die Kernanforderungen erfüllt.
• Der Leitfaden behandelt die PCC-Komponenten und wie sie zusammenarbeiten, um bei Cloud-AI-Verarbeitung ein bestimmtes Datenschutzniveau bereitzustellen.
• Zu den Hauptthemen gehören:
  • wie die PCC-Bescheinigung auf in Hardware implementierten unveränderlichen Grundfunktionen aufbaut
  • wie PCC-Anfragen authentifiziert und weitergeleitet werden, um Nicht-Zielgerichtetheit (non-targetability) bereitzustellen
  • wie technisch garantiert wird, dass die in Apples Rechenzentren ausgeführte Software überprüft werden kann
  • wie die Datenschutz- und Sicherheitseigenschaften von PCC auch in verschiedenen Angriffsszenarien erhalten bleiben

Virtual Research Environment

• Apple stellt erstmals für eine Apple-Plattform eine Virtual Research Environment (VRE) bereit.
• Die VRE ist ein Werkzeugsatz, mit dem Sicherheitsanalysen von Private Cloud Compute direkt auf dem Mac durchgeführt werden können.
• Forschende können über das reine Verständnis der Sicherheitsfunktionen von PCC hinaus überprüfen, ob PCC die Privatsphäre der Nutzer tatsächlich auf die von Apple beschriebene Weise wahrt.
• Die VRE führt die PCC-Knotensoftware in einer virtuellen Maschine mit nur wenigen Anpassungen aus.
  • Die User-Space-Software läuft identisch zu einem PCC-Knoten.
  • Boot-Prozess und Kernel sind an die Virtualisierung angepasst.
  • Einschließlich eines virtuellen Secure Enclave Processor (SEP) wird Sicherheitsforschung an dieser Komponente erstmals möglich.
  • Für die Inferenz wird die paravirtualisierte Grafikunterstützung von macOS verwendet.

Mögliche Arbeiten in der VRE und Ausführungsbedingungen

• Mit den VRE-Werkzeugen lassen sich unter anderem folgende Aufgaben durchführen:
  • PCC-Software-Releases auflisten und prüfen
  • Konsistenz von Transparenzprotokollen verifizieren
  • zu jedem Release die zugehörigen Binärdateien herunterladen
  • Releases in einer virtualisierten Umgebung booten
  • Inferenz mit einem Demo-Modell durchführen
  • PCC-Software für tiefergehende Untersuchungen modifizieren und debuggen
• Die VRE ist in der aktuellen macOS Sequoia 15.1 Developer Preview verfügbar.
• Für die Ausführung werden ein Apple-silicon-Mac und mindestens 16 GB gemeinsamer Speicher benötigt.
• Informationen zum Einstieg finden sich in der Einrichtungsdokumentation für die Private Cloud Compute Virtual Research Environment.

Veröffentlichten PCC-Quellcode

• Apple veröffentlicht den Quellcode einiger zentraler Komponenten, die bei der Umsetzung der Sicherheits- und Datenschutzanforderungen von PCC helfen.
• Der Quellcode wird im Rahmen einer Lizenzvereinbarung zur eingeschränkten Nutzung bereitgestellt, um eine tiefergehende Analyse von PCC zu ermöglichen.
• Die veröffentlichten Projekte decken mehrere Bereiche von PCC ab:
  • CloudAttestation: zuständig für Aufbau und Verifikation der PCC-Knotenattestierung
  • Thimble: enthält den auf Nutzergeräten laufenden Daemon privatecloudcomputed und erzwingt mithilfe von CloudAttestation verifizierbare Transparenz
  • splunkloggingd: filtert Protokolle, die von PCC-Knoten exportiert werden können, um versehentliche Datenoffenlegung zu verhindern
  • srd_tools: enthält VRE-Werkzeuge und kann genutzt werden, um zu verstehen, wie die VRE PCC-Code ausführt
• Verfügbarer PCC-Quellcode ist im GitHub-Projekt apple/security-pcc zu finden.

Apple Security Bounty für PCC

• Apple erweitert Apple Security Bounty, um Schwachstellen zu vergüten, die grundlegende Sicherheits- und Datenschutzgarantien von PCC beeinträchtigen.
• Die neuen PCC-Bounty-Kategorien orientieren sich an den zentralen Bedrohungen des Security Guide:
  • Versehentliche Datenoffenlegung: Schwachstellen, bei denen Konfigurationsfehler oder Probleme im Systemdesign zu unbeabsichtigter Offenlegung von Daten führen
  • Externe Kompromittierung über Nutzeranfragen: Schwachstellen, bei denen externe Akteure Nutzeranfragen ausnutzen, um unbefugten Zugriff auf PCC zu erhalten
  • Physischer oder interner Zugriff: Schwachstellen, bei denen eine Systemkompromittierung über den Zugriff auf interne Schnittstellen möglich ist
• Die Höhe der Belohnungen ist mit den iOS-Prämien vergleichbar.
• Für Schwachstellen, die Nutzerdaten und Inferenz-Anfragedaten außerhalb der PCC-Vertrauensgrenze kompromittieren, werden die höchsten Prämien gezahlt.

Höhe der PCC-Prämien

• Die PCC-Bounty-Kategorien sind wie folgt:
  • Remote-Angriff auf Anfragedaten: bis zu 1.000.000 US-Dollar für beliebige Codeausführung mit beliebigen Rechten
  • Zugriff auf Anfragedaten eines Nutzers oder sensible Informationen im Zusammenhang mit Nutzeranfragen außerhalb der Vertrauensgrenze: bis zu 250.000 US-Dollar
  • Angriff auf Anfragedaten von einer privilegierten Netzwerkposition aus: bis zu 150.000 US-Dollar bei Zugriff auf Anfragedaten eines Nutzers oder andere sensible Informationen außerhalb der Vertrauensgrenze
  • Ausführung von nicht attestiertem Code möglich: bis zu 100.000 US-Dollar
  • Versehentliche oder unerwartete Datenoffenlegung durch Bereitstellungs- oder Konfigurationsprobleme: bis zu 50.000 US-Dollar
• Apple prüft auch Sicherheitsprobleme mit erheblicher Auswirkung auf PCC für eine Apple-Security-Bounty-Prämie, selbst wenn sie nicht exakt zu den veröffentlichten Kategorien passen.
• Meldungen werden nach Qualität der Darstellung, Nachweis der Ausnutzbarkeit und Auswirkungen auf Nutzer bewertet.
• Programminformationen und Einreichungen sind auf der Seite Apple Security Bounty möglich.

Verifizierbare Transparenz bei Cloud-AI-Verarbeitung

• PCC wurde als Teil von Apple Intelligence entwickelt, um den Datenschutz im Bereich KI deutlich voranzubringen.
• Zu den Kerneigenschaften gehört verifizierbare Transparenz, ein Merkmal, das PCC von anderen serverbasierten KI-Ansätzen unterscheidet.
• Aufbauend auf den Erfahrungen aus dem Apple Security Research Device Program erleichtern die veröffentlichten Werkzeuge und Dokumente die Erforschung und Verifikation der zentralen Sicherheits- und Datenschutzfunktionen von PCC.
• Apple beschreibt PCC als die fortschrittlichste Sicherheitsarchitektur, die bisher für großskalige Cloud-AI-Compute bereitgestellt wurde, und will gemeinsam mit der Forschungsgemeinschaft das Vertrauen in das System sowie dessen Sicherheit und Datenschutz weiter stärken.