Uma equipe de pesquisadores do Secure Mobile Networking Lab (SEEMOO) e o Grupo de Criptografia e Engenharia de Privacidade (ENCRYPTO) na TU Darmstadt descobriu uma grave falha de privacidade no protocolo de compartilhamento de arquivos sem fio da Apple. A vulnerabilidade pode expor as informações de contato de um usuário, incluindo endereço de e-mail e número de telefone.
Em outras palavras, invasores podem aprender detalhes confidenciais de usuários Apple AirDrop. O AirDrop é usado por usuários da Apple para compartilhar arquivos entre si, mas acontece que completos estranhos (atores de ameaça incluídos) pode explorar o processo. Tudo o que é necessário para explorar a fraqueza é um dispositivo habilitado para wi-fi e proximidade física do alvo.
O destino deve iniciar o processo de descoberta abrindo o painel de compartilhamento em um dispositivo iOS ou macOS, os pesquisadores disseram.
A boa notícia é que a equipe de pesquisa desenvolveu uma solução para a fraqueza que pode substituir o vulnerável AirDrop. Contudo, A Apple ainda não resolveu a lacuna severa, deixando mais do que 1.5 bilhões de usuários iOS e macOS em risco.
Onde está a vulnerabilidade Apple AirDrop??
A fraqueza vem do uso de funções hash pela Apple para ofuscar os números de telefone e endereços de e-mail durante o processo de descoberta. O hashing no local não fornece uma descoberta de contato segura e privada, já que os valores de hash podem ser facilmente revertidos por meio de técnicas simples, como ataques de força bruta.
E quanto à solução?
Felizmente para usuários da Apple, os pesquisadores tiveram sucesso no desenvolvimento de uma solução. Chamado de “PrivateDrop,”Pode substituir o projeto original do AirDrop defeituoso.
Como funciona a solução PrivateDrop?
disse brevemente, PrivateDrop é construído sobre protocolos de interseção de conjuntos privados criptográficos otimizados que podem realizar com segurança o processo de descoberta de contato entre dois usuários sem trocar valores de hash vulneráveis, a equipe de pesquisa explicou. O iOS e macOS da implementação do PrivateDrop usado pela equipe revela que "é eficiente o suficiente para preservar a experiência do usuário exemplar do AirDrop com um atraso de autenticação bem abaixo de um segundo."
A Apple ainda não reconheceu a vulnerabilidade do AirDrop
Vale ressaltar que a equipe alertou a Apple sobre a vulnerabilidade grave em maio 2019 em uma “divulgação responsável”. Contudo, a empresa “não reconheceu o problema nem indicou que está trabalhando em uma solução”.
Esta situação não resolvida deixa os usuários de mais de 1.5 bilhões de dispositivos Apple vulneráveis aos ataques de privacidade delineados. “Os usuários só podem se proteger desativando a descoberta do AirDrop nas configurações do sistema e evitando abrir o menu de compartilhamento,” a equipe adicionou.
Os resultados da extensa pesquisa e análise serão apresentados em um artigo científico em agosto deste ano durante o Simpósio de Segurança USENIX.
mais sobre Privacidade da Apple em 2021.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: