Dlaczego AirDrop może nie być hermetyczny

Jabłka Funkcja AirDrop to wygodny sposób dzielenia się rzeczami, ale może również stanowić zagrożenie dla prywatności.

Niedawno odkryta luka AirDrop pozwala nieznajomym zobaczyć Twój numer telefonu i adres e-mail po prostu otwierając panel udostępniania iOS lub macOS w zasięgu Wi-Fi innych osób. Jest to jedna z wielu luk w zabezpieczeniach prywatności, o których powinni wiedzieć użytkownicy komputerów Mac i iOS.

„Nasze urządzenia z systemem iOS są połączone z niezliczonymi aplikacjami społecznościowymi, platformami komunikacyjnymi innych firm i witryny sieciowe, które pozwalają ludziom dzielić się ze sobą różnego rodzaju treściami”, Hank Schless, pracownik ochrony ekspert w

firma zajmująca się cyberbezpieczeństwem Lookout, powiedział w e-mailowym wywiadzie. „Jeśli otrzymasz jakikolwiek plik od nieznanego kontaktu, zawsze powinieneś traktować go jako potencjalnie niebezpieczny, dopóki nie zostanie udowodnione, że jest inaczej”.

Apple milczy na poprawkę

Błędy w protokołach bezpieczeństwa AirDrop zostały podobno wykryte w 2019 roku przez badaczy, którzy powiadomili Apple o problemie. Jednak firma musi jeszcze dostarczyć rozwiązanie. A ostatni artykuł okazało się, że problem jest bardziej rozległy niż dotychczas.

„Ponieważ poufne dane są zwykle udostępniane wyłącznie osobom, które użytkownicy już znają, AirDrop domyślnie pokazuje tylko urządzenia odbiorcze z kontaktów z książki adresowej” – czytamy w raporcie. „Aby ustalić, czy druga strona jest kontaktem, AirDrop wykorzystuje mechanizm wzajemnego uwierzytelniania, który porównuje numer telefonu i adres e-mail użytkownika z wpisami w książce adresowej innego użytkownika”.

Problem z wykorzystaniem AirDrop do kradzieży danych wydaje się ograniczać do numerów telefonów i adresów e-mail, które mogą zostać wykorzystane w przyszłych ukierunkowanych atakach phishingowych, ekspert ds. cyberbezpieczeństwa Patrick Kelley powiedział w e-mailowym wywiadzie.

Jacob Ansari, ekspert ds. bezpieczeństwa w Schellman & Company, globalny niezależny rzeczoznawca zgodności z przepisami w zakresie bezpieczeństwa i prywatności, zgodził się, że phishing może być celem każdego potencjalnego hakera.

„Atakujący znajdujący się blisko urządzenia docelowego może bardzo łatwo uzyskać nazwę użytkownika (prawdopodobnie adres e-mail) i numer telefonu” – powiedział w wywiadzie e-mailowym. „Jest to prawdopodobnie najbardziej przydatne w uzyskaniu numeru telefonu konkretnej ofiary, na przykład celebryty lub określonego celu (np. prezesa firmy), ale przydaje się również wtedy, gdy przeprowadza się bardziej bezpośredni atak phishingowy lub podobny na mniej znane ludzie."

Nie tylko niedawno odkryta wada stanowi problem z AirDrop. Przez lata wykazano, że anonimowi użytkownicy mogą przesyłać zdjęcia lub pliki do urządzeń docelowych za pomocą AirDrop.

„Wykorzystano to do zakłócania publicznych wydarzeń multimedialnych za pomocą obrazów AirDropping [dla dorosłych]” – powiedział Kelley. „Mając to na uwadze, odbyła się„ kampania pozytywna ”, w której anonimowi użytkownicy AirDropping motywowali obrazy do urządzeń docelowych”.

Nie panikuj, mówią eksperci

Ale nie przejmuj się zbytnio błędem AirDrop, Oliver Tavakoli, dyrektor ds. technologii w firma zajmująca się cyberbezpieczeństwem Vectra, powiedział w e-mailowym wywiadzie. Atakujący musi znajdować się w stosunkowo bliskiej odległości fizycznej, a złamanie adresu e-mail i numeru telefonu wymaga trochę pracy. Oczywiście Apple może i powinien naprawić tę usterkę.

„Jednak miejmy to w perspektywie”, dodał Tavakoli, „jeśli opisany włamanie się powiedzie, atakujący będzie miał adres e-mail i numer telefonu nieznajomego w pobliżu. Nie do końca koniec świata”.

Chociaż Apple nie naprawiło jeszcze problemu z AirDrop, są rzeczy, które możesz zrobić, aby go złagodzić. Użytkownicy powinni wyłączyć AirDrop, jeśli nie jest używany, powiedział Kelley. Możesz również rozważyć użycie projekt open source o nazwie PrivateDrop, który twierdzi, że rozwiązał proces weryfikacji listy kontaktów. Rozwiązanie jest bezpłatne jako zamiennik AirDrop.

Ale najlepszą rzeczą, jaką mogą zrobić użytkownicy, jest uważanie na to, kto próbuje wysłać im pliki, powiedział Schless.

„Otrzymywanie powiadomienia AirDrop od nieznanej osoby to ogromna czerwona flaga” – dodał. „Uruchom swoje urządzenia mobilne zgodnie z polityką najmniej niezbędnego dostępu i uprawnień. Aktywnie staraj się zmniejszać liczbę uprawnień dostępu do danych i urządzeń, które zezwalają Twoim aplikacjom, aby zminimalizować potencjalne narażenie na zagrożenia cybernetyczne”.