Kāpēc AirDrop var nebūt hermētisks

Apple AirDrop funkcija ir ērts veids, kā kopīgot saturu, taču tas var arī apdraudēt privātumu.

Nesen atklātā AirDrop nepilnība ļauj svešiniekiem redzēt jūsu tālruņa numuru un e-pasta adresi, vienkārši atverot iOS vai macOS koplietošanas rūti citu personu Wi-Fi diapazonā. Tā ir viena no privātuma ievainojamībām, kas Mac un iOS lietotājiem jāzina.

"Mūsu iOS ierīces ir savienotas ar neskaitāmām sociālo mediju lietotnēm, trešo pušu ziņojumapmaiņas platformām un tīkla vietnes, kas ļauj cilvēkiem koplietot visa veida saturu savā starpā," sacīja Henks Šless eksperts plkst

kiberdrošības uzņēmums Lookout, teikts e-pasta intervijā. "Ja saņemat jebkāda veida failu no nezināmas kontaktpersonas, jums tas vienmēr jāuzskata par potenciāli bīstamu, kamēr nav pierādīts pretējais."

Apple klusē par labojumu

Tiek ziņots, ka AirDrop drošības protokolu nepilnības atklāja pētnieki 2019. gadā, informējot Apple par šo problēmu. Tomēr uzņēmumam vēl ir jāsniedz risinājums. A nesenais papīrs konstatēja, ka problēma ir plašāka nekā iepriekš zināms.

"Tā kā sensitīvie dati parasti tiek koplietoti tikai ar lietotājiem, kurus lietotāji jau pazīst, AirDrop pēc noklusējuma parāda tikai uztvērēju ierīces no adrešu grāmatas kontaktpersonām," teikts ziņojumā. "Lai noteiktu, vai otra puse ir kontaktpersona, AirDrop izmanto savstarpēju autentifikācijas mehānismu, kas salīdzina lietotāja tālruņa numuru un e-pasta adresi ar ierakstiem otra lietotāja adrešu grāmatā."

Šķiet, ka problēma ar AirDrop izmantošanu datu zādzībām attiecas tikai uz tālruņu numuriem un e-pasta adresēm, kuras varētu izmantot turpmākos mērķtiecīgos pikšķerēšanas uzbrukumos, kiberdrošības eksperts Patriks Kellijs teica e-pasta intervijā.

Džeikobs Ansari, drošības eksperts plkst Schellman & Company, globāls neatkarīgs drošības un privātuma atbilstības novērtētājs, piekrita, ka pikšķerēšana varētu būt jebkura potenciālā hakera mērķis.

"Uzbrucējs, kas atrodas tuvu mērķa ierīcei, var ļoti viegli iegūt lietotājvārdu (iespējams, e-pasta adresi) un tālruņa numuru," viņš teica e-pasta intervijā. "Iespējams, tas ir visnoderīgākais, lai iegūtu konkrēta upura, piemēram, slavenības vai konkrēta mērķa tālruņa numuru (piemēram, uzņēmuma izpilddirektors), taču noder arī tiešāka pikšķerēšanas vai līdzīga uzbrukuma veikšanai mazāk slaveniem cilvēki."

Tā nav tikai nesen atklātā nepilnība, kas rada AirDrop problēmu. Gadu gaitā ir pierādīts, ka anonīmi lietotāji var nosūtīt fotoattēlus vai failus mērķa ierīcēm, izmantojot AirDrop.

"Tas ir izmantots, lai izjauktu publiskos multivides pasākumus ar AirDropping [pieaugušajiem] attēliem," sacīja Kellijs. "Tā teikt, bija "pozitīvā kampaņa", kurā anonīmi lietotāji AirDropping motivēja attēlus mērķa ierīcēm."

Nekrītiet panikā, saka eksperti

Taču neuztraucieties pārāk daudz par AirDrop trūkumu, Olivers Tavakoli, uzņēmuma galvenais tehnoloģiju speciālists kiberdrošības firma Vectra, teikts e-pasta intervijā. Uzbrucējam ir jāatrodas relatīvi tuvu jums, un ir jāveic zināms darbs, lai uzlauztu jūsu e-pasta adresi un tālruņa numuru. Protams, Apple var un tai vajadzētu novērst šo trūkumu.

"Tomēr paturēsim to perspektīvā," piebilda Tavakoli, "ja aprakstītā uzlaušana izdosies, uzbrucējam būs tuvumā esošā svešinieka e-pasta adrese un tālruņa numurs. Nav gluži pasaules gals."

Lai gan Apple vēl nav novērsis AirDrop problēmu, ir lietas, ko varat darīt, lai palīdzētu to mazināt. Lietotājiem ir jāatspējo AirDrop, ja tas netiek izmantots, sacīja Kellijs. Varat arī apsvērt iespēju izmantot atvērtā koda projekts ar nosaukumu PrivateDrop, kas apgalvo, ka ir atrisinājis kontaktpersonu saraksta verifikācijas procesu. Risinājumu var bez maksas izmantot kā AirDrop aizstājēju.

Bet labākais, ko lietotāji var darīt, ir uzmanīties no tā, kurš mēģina viņiem nosūtīt failus, sacīja Šless.

"AirDrop paziņojuma saņemšana no nezināmas personas ir milzīgs sarkans karogs," viņš piebilda. "Palaidiet savas mobilās ierīces, ievērojot vismazāk nepieciešamās piekļuves un privilēģiju politiku. Aktīvi mēģiniet samazināt savām lietotnēm atļauto datu un ierīču piekļuves atļauju skaitu, lai samazinātu iespējamo kiberdraudu risku.