Apple Airdrop lekt gegevens die u kunnen identificeren

De Airdrop-functie van Apple lekt sinds 2019 persoonlijke informatie, bekend als PII, die kan worden gebruikt om gebruikers te identificeren en je kunt er niet veel aan doen.

Airdrop is een functie waarmee gebruikers van Apple-apparaten altijd en overal naadloos bestanden kunnen delen tussen andere Apple-apparaten.

Airdrop gebruikt Wi-Fi en BTLE (Bluetooth Low Energy) om een ​​verbinding tot stand te brengen tussen apparaten die dicht bij elkaar staan, zodat ze gemakkelijk foto’s, documenten en andere gegevens van het ene Apple-apparaat naar het andere kunnen verzenden. De functie heeft twee toegangsniveaus waarbij u kunt instellen dat alleen uw contacten contact met hen mogen opnemen of dat iedereen contact met hen kan opnemen. De laatste optie is dat het helemaal geen verbindingen toestaat.

Dus dit bericht is wat e-mail en telefoonnummer lekt. Om het nog erger te maken, is er niet veel dat u kunt doen om dit te voorkomen, behalve Airdrop volledig uitschakelen. Apple is op zijn beurt op de hoogte van deze bug sinds 2019, maar heeft nog steeds het voordeel deze als een bug te erkennen of te verhelpen.

Het duurt maar even

Om te bepalen of de zender moet communiceren met apparaten in de buurt, verzendt Airdrop detectieverzoeken via Bluetooth met gedeeltelijk gecodeerde hashes voor het telefoonnummer en de e-mail van de zender. Als de gegevens overeenkomen met de gegevens in de contactenlijst van de ontvanger, of als de ontvanger communicatie van iedereen toestaat, wordt de verbinding tussen de twee apparaten tot stand gebracht via Wi-Fi, waarbij de twee apparaten een volledige SHA-25-hash voor beide telefoons uitwisselen, cijfers en e-mails,

Natuurlijk kan de hash niet worden terugvertaald naar de normale tekst die hem heeft gemaakt, maar afhankelijk van de hoeveelheid entropie of willekeur in de platte tekst, is het vaak mogelijk om dit te ontdekken. Hackers doen dit door een “brute-force-aanval” uit te voeren, die een groot aantal gissingen beheert om de originele hash te genereren. Hoe kleiner de willekeurigheid in gewone tekst, hoe gemakkelijker het is om het juiste antwoord te raden.

Weinig toeval

Vanwege de kleine hoeveelheid willekeur in een telefoonnummer, is er weinig dat een aanvaller belet de uitgewisselde gegevens te onderzoeken aan de hand van een complete database met alle mogelijke nummercombinaties van telefoonnummers in de wereld. Als het om e-mails gaat, is er natuurlijk een veel grotere mate van willekeur, of entropie, maar zelfs hier is het mogelijk om de juiste hash te vinden met behulp van de enorme databases die er zijn met e-mails van vele datalekken van de afgelopen tien jaar.

Twee verschillende aanvalsmethoden

Onderzoekers van het SEEMOO-lab van de TU Darmstad hebben twee methoden ontwikkeld om de kwetsbaarheden te misbruiken. Dit werd gepubliceerd in een artikel dat in augustus vorig jaar werd gepresenteerd op het USENIX Security Symposium,

De eenvoudigste van de twee, maar ook de krachtigste, is dat de aanvaller alleen detectieverzoeken controleert die zijn verzonden door andere apparaten in de buurt. Omdat de afzender altijd het telefoonnummer en e-mailadres van de verkoper onthult telkens wanneer hij naar beschikbare AirDrop-ontvangers zoekt, hoeft de aanvaller alleen te wachten tot Macs in de buurt de deellijst of iOS-apparaten in de buurt openen om het gedeelde blad te openen. De aanvaller heeft geen telefoonnummer, e-mailadres of andere voorkennis van het doelwit nodig.

De tweede methode werkt andersom, namelijk door de aanvaller toe te staan ​​Airdrop te openen en te kijken of apparaten in de buurt reageren met hun hash-details. Deze techniek is niet zo krachtig als de eerste omdat deze alleen werkt als het telefoonnummer of e-mailadres van de aanvaller al een van de contactpersonen van de ontvanger is.

Twee jaar stil van Apple

De onderzoekers die verantwoordelijk zijn voor het artikel hebben Apple naar verluidt in mei 2019 op de hoogte gesteld en na anderhalf jaar hebben ze Prilledrop bij Apple ingediend. Prilledrop zal een verbeterde versie van Airdrop zijn omdat ze gebruik maken van de zogenaamde “private group intersection”, een technologie in cryptografie waarmee beide partijen in een dergelijke uitwisseling elkaar kunnen ontdekken zonder zwakke hashes te detecteren.

Speciale druppels zijn verkrijgbaar in Github.

“Onze prototypetoepassing voor PrivateDrop op iOS / macOS laat zien dat onze privacyvriendelijke benadering van wederzijdse authenticatie effectief genoeg is om de ideale gebruikerservaring van AirDrop te behouden met een goedkeuringsvertraging van minder dan een seconde”, schreven de onderzoekers in een bericht. Berichten Dat vatte zijn werk samen.

Apple heeft nog geen enkele aanwijzing gegeven dat het van plan is deze functie te beveiligen zoals PrivateDrop dat doet of een andere methode gebruikt om het lek te verhelpen. Op het moment van publicatie van deze zaak hebben Apple-vertegenwoordigers niet gereageerd op de vragen van ArsTechnica over de kwestie.

Bron: ArsTechnica