Un team di ricercatori del Secure Mobile Networking Lab (SEEMOO) e il Cryptography and Privacy Engineering Group (ENCRYPTO) al TU Darmstadt ha scoperto una grave debolezza della privacy nel protocollo di condivisione file wireless di Apple. La vulnerabilità potrebbe esporre le informazioni di contatto di un utente, incluso indirizzo e-mail e numero di telefono.
In altre parole, gli aggressori potrebbero apprendere dettagli sensibili degli utenti di Apple AirDrop. AirDrop viene utilizzato dagli utenti Apple per condividere file tra loro, ma si scopre che sono completamente estranei (attori della minaccia inclusi) può attingere al processo. Tutto ciò che serve per sfruttare la debolezza è un dispositivo abilitato al wi-fi e la vicinanza fisica al bersaglio.
Il target dovrebbe avviare il processo di rilevamento aprendo il riquadro di condivisione su un dispositivo iOS o macOS, i ricercatori hanno detto.
La buona notizia è che il team di ricerca ha sviluppato una soluzione alla debolezza che può sostituire il vulnerabile AirDrop. Tuttavia, Apple non ha ancora affrontato la grave scappatoia, lasciando più di 1.5 miliardi di utenti iOS e macOS a rischio.
Dove esiste la vulnerabilità di Apple AirDrop?
Il punto debole deriva dall'utilizzo da parte di Apple delle funzioni hash per l'offuscamento dei numeri di telefono e degli indirizzi e-mail durante il processo di scoperta. L'hashing in atto non riesce a fornire una scoperta dei contatti sicura e privata, poiché i valori hash possono essere facilmente invertiti tramite tecniche semplici come gli attacchi di forza bruta.
E per quanto riguarda la soluzione?
Fortunatamente per gli utenti Apple, i ricercatori sono riusciti a sviluppare una soluzione. Chiamato "PrivateDrop,"Può sostituire il design originale AirDrop difettoso.
Come funziona la soluzione PrivateDrop?
Poco detto, PrivateDrop si basa su protocolli di intersezione di set privati crittografici ottimizzati che possono eseguire in modo sicuro il processo di rilevamento dei contatti tra due utenti senza scambiare valori hash vulnerabili, ha spiegato il gruppo di ricerca. L'implementazione iOS e macOS di PrivateDrop utilizzata dal team rivela che "è abbastanza efficiente da preservare l'esperienza utente esemplare di AirDrop con un ritardo di autenticazione ben al di sotto di un secondo".
Apple deve ancora riconoscere la vulnerabilità di AirDrop
È interessante notare che il team ha avvertito Apple della grave vulnerabilità a maggio 2019 in una "divulgazione responsabile". tuttavia, l'azienda "non ha né riconosciuto il problema né indicato che stanno lavorando a una soluzione".
Questa situazione irrisolta lascia agli utenti più di 1.5 miliardi di dispositivi Apple vulnerabili agli attacchi alla privacy descritti. “Gli utenti possono proteggersi solo disabilitando il rilevamento di AirDrop nelle impostazioni di sistema e astenendosi dall'aprire il menu di condivisione," ha aggiunto il team.
I risultati della vasta ricerca e analisi saranno presentati in un documento scientifico nell'agosto di quest'anno durante l'USENIX Security Symposium.
Più su La privacy di Apple in 2021.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: