Luka w AirDrop może łatwo ujawnić nieznajomym Twój numer telefonu i adres e-mail
Odkryto krytyczny błąd bezpieczeństwa w działaniu funkcji AirDrop. Nie robiąc nic poza otwarciem karty udostępniania treści przez AirDrop na iOS lub macOS, będąc w zasięgu nieznanej sieci Wi-Fi, osoba podłączona do niej może zobaczyć nasz numer telefonu i adres e-mail. Nie musimy nawet inicjować transferu AirDrop, aby być zagrożonym.
Badacze bezpieczeństwa, którzy odkryli lukę, twierdzą, że zgłosili ją do Apple już w maju 2019 r., ale firma nadal nie dostarczyła poprawki do 2,5 miliarda aktywnych urządzeń, których dotyczy.
Problem został częściowo zidentyfikowany we wcześniejszych badaniach, ale w tym przypadku ujawniano tylko częściowo numery telefonów. W najnowszym artykule czytamy, że pełne dane można uzyskać za każdym razem, gdy ktoś otworzy kartę udostępniania AirDrop.
Naukowcy z niemieckiego Technische Universitat Darmstadt stwierdzili, że problem jest połączeniem dwóch kwestii. Po pierwsze, aby oferować opcję „Tylko kontakty” dla AirDrop, urządzenia Apple muszą po cichu żądać danych osobowych ze wszystkich urządzeń w zasięgu.
Ponieważ dane te są wrażliwe, zwykle udostępnia się je wyłącznie osobom, które użytkownicy już znają. AirDrop domyślnie pokazuje tylko urządzenia odbiorcze osób z naszej książki adresowej. Aby określić, czy druga strona jest kontaktem, AirDrop używa mechanizmu wzajemnego uwierzytelniania, który porównuje numer telefonu i adres e-mail użytkownika z wpisami w książce adresowej innego użytkownika. Proste? Tak.
Po drugie, chociaż wymieniane dane są zaszyfrowane, Apple używa stosunkowo słabego mechanizmu haszowania. Zespół naukowców z Secure Mobile Networking Lab (SEEMOO) oraz Cryptography and Privacy Engineering Group (ENCRYPTO) z TU Darmstadt przyjrzał się bliżej temu mechanizmowi i odkrył krytyczny błąd związany z prywatnością.
Jako atakujący możemy poznać numery telefonów i adresy e-mail użytkowników AirDrop – nawet jako zupełnie obce im osoby. Wszystko, czego potrzebujemy, to urządzenie obsługujące Wi-Fi i fizyczna bliskość celu, który inicjuje proces wykrywania, otwierając okienko udostępniania na urządzeniu z systemem iOS, iPadOS lub macOS.
Naukowcy z TU Darmstadt już wykazali, że haszowanie nie zapewnia wykrywania kontaktów z zachowaniem prywatności, ponieważ tak zwane wartości skrótu można szybko odwrócić przy użyciu prostych technik, takich jak ataki siłowe.
Mało tego. Zespół twierdzi, że rozwiązał lukę AirDrop za pomocą znacznie bezpieczniejszego podejścia, które nazywa PrivateDrop, ale pomimo ostrzeżenia Apple zarówno o problemie prywatności, jak i potencjalnym rozwiązaniu, Apple jeszcze tego nie naprawiło.
Krzysztof Kołacz
🎙️ O technologii i nas samych w podcaście oraz newsletterze „Bo czemu nie?”. ☕️ O kawie w podcaście „Kawa. Bo czemu nie?”. 🏃🏻♂️ Po godzinach biegam z wdzięczności za życie.