Bug μπορεί να οδηγήσει σε διαρροή στοιχείων χρηστών!

Ερευνητές από το

Τεχνικό



Πανεπιστήμιο

(TU) του Darmstadt

της Γερμανίας ανακάλυψαν ένα bug στο πρωτόκολλο κοινής χρήσης αρχείων

AirDrop

της Apple – που επιτρέπει στους



χρήστες

Mac και iPhone να μεταφέρουν



αρχεία

ασύρματα μεταξύ συσκευών – το οποίο θα μπορούσε να εκθέσει στοιχεία επικοινωνίας χρηστών, όπως



διευθύνσεις

email και αριθμούς τηλεφώνου.

Συγκεκριμένα, η σχετική δημοσίευση αναφέρει τα ακόλουθα:

«Μια ομάδα ερευνητών από το Secure Mobile Networking Lab (SEEMOO) και το Cryptography and Privacy Engineering Group (ENCRYPTO) στο TU Darmstadt εξέτασε προσεκτικά αυτόν τον μηχανισμό και ανακάλυψε ένα σοβαρό ζήτημα απορρήτου. Ως εισβολέας, κάποιος είναι δυνατόν να μάθει τους αριθμούς τηλεφώνου και τις



διευθύνσεις

email των χρηστών του AirDrop – ακόμη και ως εντελώς «άγνωστος». Το μόνο που χρειάζεται είναι μια συσκευή με δυνατότητα Wi-Fi και φυσική εγγύτητα σε έναν στόχο που ξεκινά τη διαδικασία ανακάλυψης ανοίγοντας το sharing pane σε μια iOS ή macOS συσκευή.»

Διαβάστε επίσης:

Πως οι άγνωστοι δεν θα μπορούν να σας στέλνουν



αρχεία

Το AirDrop είναι μια ιδιόκτητη ad hoc



υπηρεσία

στα λειτουργικά

συστήματα

iOS και macOS της Apple που παρουσιάζεται στα Mac OS X Lion (Mac OS X 10.7) και iOS 7 και μπορεί να μεταφέρει



αρχεία

μεταξύ υποστηριζόμενων υπολογιστών Macintosh και συσκευών iOS μέσω close-range ασύρματης επικοινωνίας.

Το bug που ανακάλυψαν οι ερευνητές μπορεί να επηρεάσει τους ιδιοκτήτες πάνω από 1,5 δισεκατομμυρίων Apple συσκευών που εξακολουθούν να είναι ευάλωτες

.

Δείτε ακόμη:

Google Nearby Sharing:

νέα




λειτουργία

μεταφοράς αρχείων τύπου AirDrop

Το feature επιτρέπει την



κοινή


χρήση

δεδομένων με



συσκευές

από τις επαφές του βιβλίου διευθύνσεων. Το πρωτόκολλο AirDrop χρησιμοποιεί έναν

μηχανισμό αμοιβαίου ελέγχου ταυτότητας

που συγκρίνει τον αριθμό τηλεφώνου και τη διεύθυνση email ενός χρήστη με τις καταχωρήσεις στο

βιβλίο

διευθύνσεων του άλλου χρήστη για να προσδιορίσει εάν οι δύο



χρήστες

είναι σε επαφή.

Οι ειδικοί επεσήμαναν ακόμη ότι ένας εισβολέας θα μπορούσε να μάθει τους αριθμούς τηλεφώνου και τις



διευθύνσεις

email των χρηστών του AirDrop, ακόμα κι αν δεν είναι άμεση επαφή. Τo bug που εντοπίστηκε από τους ερευνητές μπορεί να επιτρέψει σε έναν εισβολέα να μάθει τα στοιχεία επικοινωνίας (αριθμούς τηλεφώνου και



διευθύνσεις

email) των κοντινών αποστολέων και παραληπτών του AirDrop. Οι ειδικοί ανακάλυψαν επίσης ότι το bug προέρχεται από την ανταλλαγή τιμών κατακερματισμού τέτοιων identifiers κατά τη διαδικασία ανακάλυψης, που μπορούν εύκολα να αντιστραφούν από τους εισβολείς με brute-force ή dictionary



επιθέσεις

.

Πρόταση: REvil:

Απειλεί τώρα ότι θα διαρρεύσει σχέδια για νέα Apple logos και iPad!

Οι ερευνητές ανέφεραν ιδιωτικά τα ευρήματά τους στην Apple τον

Μάιο του 2019

και στη συνέχεια ανέπτυξαν μια λύση με την ονομασία

“PrivateDrop”

για την



αντιμετώπιση

του bug στο AirDrop και το ανέφεραν στον τεχνολογικό κολοσσό τον

Οκτώβριο του 2020

.

«Αναπτύξαμε μια λύση με την ονομασία “PrivateDrop” για να αντικαταστήσουμε το λανθασμένο πρωτότυπο σχέδιο του AirDrop. Η πρωτότυπη



εφαρμογή

PrivateDrop σε iOS / macOS δείχνει ότι η φιλική προς το απόρρητο προσέγγιση αμοιβαίου ελέγχου ταυτότητας είναι αρκετά αποτελεσματική για να διατηρήσει την υποδειγματική εμπειρία χρήστη του AirDrop με καθυστέρηση ελέγχου ταυτότητας πολύ κάτω από ένα δευτερόλεπτο. Η



εφαρμογή

PrivateDrop διατίθεται δημόσια στο GitHub.»

Πηγή πληροφοριών: securityaffairs.co