Une équipe de chercheurs du Secure Mobile Networking Lab (SEEMOO) et le groupe d'ingénierie de la cryptographie et de la confidentialité (CRYPTO) à TU Darmstadt a découvert une grave faiblesse de confidentialité dans le protocole de partage de fichiers sans fil d'Apple. La vulnérabilité pourrait exposer les informations de contact d'un utilisateur, y compris l'adresse e-mail et le numéro de téléphone.
En d'autres termes, les attaquants pourraient apprendre des détails sensibles sur les utilisateurs d'Apple AirDrop. AirDrop est utilisé par les utilisateurs Apple pour partager des fichiers entre eux, mais il s'avère que de parfaits inconnus (acteurs de la menace inclus) peut puiser dans le processus. Tout ce qui est nécessaire pour exploiter la faiblesse est un appareil compatible Wi-Fi et la proximité physique de la cible.
La cible doit lancer le processus de découverte en ouvrant le volet de partage sur un appareil iOS ou macOS, les chercheurs.
La bonne nouvelle est que l'équipe de recherche a développé une solution à la faiblesse qui peut remplacer l'AirDrop vulnérable. Cependant, Apple n'a toujours pas remédié à la grave faille, laissant plus de 1.5 milliards d'utilisateurs iOS et macOS en danger.
Où existe la vulnérabilité Apple AirDrop?
La faiblesse provient de l’utilisation par Apple des fonctions de hachage pour masquer les numéros de téléphone et les adresses e-mail pendant le processus de découverte.. Le hachage en place ne parvient pas à fournir une découverte de contact sécurisée et privée, car les valeurs de hachage peuvent être facilement inversées via des techniques simples telles que les attaques par force brute.
Et qu'en est-il de la solution?
Heureusement pour les utilisateurs Apple, les chercheurs ont réussi à développer une solution. Appelé "PrivateDrop,"Il peut remplacer la conception AirDrop d'origine défectueuse.
Comment fonctionne la solution PrivateDrop?
Peu dit, PrivateDrop est basé sur des protocoles d'intersection d'ensembles privés cryptographiques optimisés qui peuvent effectuer en toute sécurité le processus de découverte de contacts entre deux utilisateurs sans échanger des valeurs de hachage vulnérables, l'équipe de recherche a expliqué. L’implémentation iOS et macOS de PrivateDrop utilisée par l’équipe révèle qu ’« elle est suffisamment efficace pour préserver l’expérience utilisateur exemplaire d’AirDrop avec un délai d’authentification bien inférieur à une seconde ».
Apple n'a pas encore reconnu la vulnérabilité AirDrop
Il est à noter que l'équipe a averti Apple de la grave vulnérabilité en mai 2019 dans une «divulgation responsable». pourtant, l'entreprise «n'a ni reconnu le problème ni indiqué qu'elle travaillait à une solution».
Cette situation non résolue laisse les utilisateurs de plus de 1.5 milliards d'appareils Apple vulnérables aux attaques de confidentialité décrites. «Les utilisateurs ne peuvent se protéger qu’en désactivant la découverte AirDrop dans les paramètres système et en s’abstenant d’ouvrir le menu de partage.," l'équipe a ajouté.
Les résultats de ces recherches et analyses approfondies seront présentés dans un article scientifique en août de cette année lors du Symposium USENIX sur la sécurité..
Plus sur Confidentialité d'Apple dans 2021.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: