Un equipo de investigadores del Laboratorio de redes móviles seguras (SEEMOO) y el Grupo de Ingeniería de Criptografía y Privacidad (ENCRYPTO) en TU Darmstadt descubrió una grave debilidad de privacidad en el protocolo de intercambio de archivos inalámbrico de Apple. La vulnerabilidad podría exponer la información de contacto de un usuario., incluyendo dirección de correo electrónico y número de teléfono.
En otras palabras, los atacantes podrían conocer detalles confidenciales de los usuarios de Apple AirDrop. Los usuarios de Apple utilizan AirDrop para compartir archivos entre ellos, pero resulta que completos desconocidos (actores de amenazas incluidos) puede aprovechar el proceso. Todo lo que se necesita para explotar la debilidad es un dispositivo habilitado para wi-fi y la proximidad física al objetivo..
El objetivo debe iniciar el proceso de descubrimiento abriendo el panel para compartir en un dispositivo iOS o macOS., los investigadores dijeron.
La buena noticia es que el equipo de investigación ha desarrollado una solución a la debilidad que puede reemplazar al vulnerable AirDrop.. Sin embargo, Apple aún no ha abordado la grave laguna, dejando a más de 1.5 mil millones de usuarios de iOS y macOS en riesgo.
¿Dónde existe la vulnerabilidad Apple AirDrop??
La debilidad se debe al uso de funciones hash por parte de Apple para la ofuscación de los números de teléfono y las direcciones de correo electrónico durante el proceso de descubrimiento.. El hash en su lugar no ofrece un descubrimiento de contactos seguro y privado, ya que los valores hash se pueden revertir fácilmente mediante técnicas simples como ataques de fuerza bruta.
Y que hay de la solucion?
Afortunadamente para los usuarios de Apple, los investigadores tuvieron éxito en el desarrollo de una solución. Llamado "PrivateDrop,”Puede reemplazar el defectuoso diseño original de AirDrop.
¿Cómo funciona la solución PrivateDrop??
Poco dicho, PrivateDrop se basa en protocolos de intersección de conjuntos privados criptográficos optimizados que pueden realizar de forma segura el proceso de descubrimiento de contactos entre dos usuarios sin intercambiar valores hash vulnerables, el equipo de investigación explicó. La implementación de iOS y macOS de PrivateDrop utilizada por el equipo revela que "es lo suficientemente eficiente como para preservar la experiencia de usuario ejemplar de AirDrop con un retraso de autenticación muy inferior a un segundo".
Apple aún no ha reconocido la vulnerabilidad de AirDrop
Cabe destacar que el equipo advirtió a Apple sobre la grave vulnerabilidad en mayo 2019 en una "divulgación responsable". sin emabargo, la empresa "no ha reconocido el problema ni ha indicado que están trabajando en una solución".
Esta situación sin resolver deja a los usuarios de más de 1.5 mil millones de dispositivos Apple vulnerables a los ataques de privacidad descritos. “Los usuarios solo pueden protegerse deshabilitando el descubrimiento de AirDrop en la configuración del sistema y absteniéndose de abrir el menú para compartir," el equipo agregó.
Los resultados de la extensa investigación y análisis se presentarán en un artículo científico en agosto de este año durante el Simposio de Seguridad de USENIX..
Más sobre La privacidad de Apple en 2021.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: