Kluczowe dania na wynos
- AirDrop świetnie nadaje się do wysyłania zdjęć do znajomych, ale niedawno wykryta luka oznacza, że nieznajomi mogą również uzyskać Twoje dane kontaktowe.
- Nieznajomi mogą zobaczyć Twój numer telefonu i adres e-mail po otwarciu panelu udostępniania iOS lub macOS w zasięgu Wi-Fi innych osób.
- Wykazano, że anonimowi użytkownicy mogą przesyłać zdjęcia lub pliki do urządzeń docelowych za pomocą AirDrop.
Funkcja AirDrop firmy Apple to wygodny sposób udostępniania rzeczy, ale może również stanowić zagrożenie dla prywatności.
Niedawno odkryta luka AirDrop pozwala nieznajomym zobaczyć Twój numer telefonu i adres e-mail po prostu otwierając panel udostępniania iOS lub macOS w zasięgu Wi-Fi innych osób. Jest to jedna z wielu luk w zabezpieczeniach prywatności, o których powinni wiedzieć użytkownicy komputerów Mac i iOS.
„Nasze urządzenia z systemem iOS są połączone z niezliczonymi aplikacjami społecznościowymi, platformami komunikacyjnymi innych firm i witrynami sieciowymi, które umożliwiają użytkownikom dzielenie się ze sobą różnego rodzaju treściami”, Hank Schless, ekspert ds. bezpieczeństwa w firmie Lookout zajmującej się cyberbezpieczeństwem, powiedział w e-mailowym wywiadzie. "Jeśli otrzymasz jakikolwiek plik od nieznanego kontaktu, zawsze powinieneś traktować go jako potencjalnie niebezpieczny, dopóki nie zostanie udowodnione, że jest inaczej."
Apple milczy na ustach
Luki w protokołach bezpieczeństwa dla AirDrop zostały podobno wykryte w 2019 roku przez badaczy, którzy poinformowali Apple o problemie. Jednak firma musi jeszcze dostarczyć rozwiązanie. W niedawnym artykule stwierdzono, że problem jest bardziej obszerny niż dotychczas.
„Ponieważ poufne dane są zwykle udostępniane wyłącznie osobom, które użytkownicy już znają, AirDrop domyślnie pokazuje tylko urządzenia odbiorcze z kontaktów z książki adresowej” – czytamy w raporcie. „Aby ustalić, czy druga strona jest kontaktem, AirDrop wykorzystuje mechanizm wzajemnego uwierzytelniania, który porównuje numer telefonu i adres e-mail użytkownika z wpisami w książce adresowej innego użytkownika.„
Otrzymywanie powiadomienia AirDrop od nieznanej osoby to ogromna czerwona flaga.
Problem z wykorzystaniem AirDrop do kradzieży danych wydaje się ograniczać do numerów telefonów i adresów e-mail, które mogą zostać wykorzystane w przyszłych ukierunkowanych atakach phishingowych, powiedział ekspert ds. cyberbezpieczeństwa Patrick Kelley w wywiadzie e-mailowym.
Jacob Ansari, ekspert ds. bezpieczeństwa w Schellman & Company, globalnym niezależnym oceniającym zgodność z przepisami w zakresie bezpieczeństwa i prywatności, zgodził się, że phishing może być celem każdego potencjalnego hakera.
„Atakujący znajdujący się w pobliżu urządzenia docelowego może bardzo łatwo uzyskać nazwę użytkownika (prawdopodobnie adres e-mail) i numer telefonu” – powiedział w wywiadzie e-mailowym. „Jest to prawdopodobnie najbardziej przydatne w uzyskaniu numeru telefonu konkretnej ofiary, takiej jak celebrytka lub konkretny cel (np. dyrektor generalny firmy), ale jest również przydatne do przeprowadzenia bardziej bezpośredniego phishingu lub podobnego ataku na mniej znane osoby.„
Nie tylko niedawno odkryta usterka jest problemem z AirDrop. Przez lata wykazano, że anonimowi użytkownicy mogą przesyłać zdjęcia lub pliki do urządzeń docelowych za pomocą AirDrop.
„To było używane do zakłócania publicznych wydarzeń multimedialnych przez AirDropping [dla dorosłych]” – powiedział Kelley. „Mając to na uwadze, odbyła się„ kampania pozytywna”, w której anonimowi użytkownicy AirDropping motywowali obrazy do urządzeń docelowych”.
Nie panikuj, mówią eksperci
Ale nie przejmuj się zbytnio błędem AirDrop, powiedział Oliver Tavakoli, dyrektor ds. technologii w firmie Vectra zajmującej się cyberbezpieczeństwem, w wywiadzie e-mailowym. Atakujący musi znajdować się w stosunkowo bliskiej odległości fizycznej, a złamanie adresu e-mail i numeru telefonu wymaga trochę pracy. Oczywiście Apple może i powinno naprawić tę usterkę.
„Jednakże spójrzmy na to z perspektywy”, dodał Tavakoli, „jeśli opisane włamanie się powiedzie, atakujący będzie miał adres e-mail i numer telefonu nieznajomego w pobliżu. Niezupełnie koniec świata.”
Chociaż firma Apple nie naprawiła jeszcze problemu z AirDrop, są rzeczy, które możesz zrobić, aby go złagodzić. Użytkownicy powinni wyłączyć AirDrop, jeśli nie jest używany, powiedział Kelley. Możesz również rozważyć użycie projektu open source o nazwie PrivateDrop, który twierdzi, że rozwiązał proces weryfikacji listy kontaktów. Rozwiązanie jest bezpłatne jako zamiennik AirDrop.
Ale najlepszą rzeczą, jaką mogą zrobić użytkownicy, to uważać na to, kto próbuje wysłać im pliki, powiedział Schless.
„Otrzymywanie powiadomienia AirDrop od nieznanej osoby to ogromna czerwona flaga” – dodał. „Uruchom swoje urządzenia mobilne zgodnie z polityką najmniej niezbędnego dostępu i uprawnień. Aktywnie staraj się zmniejszać liczbę danych i uprawnień dostępu do urządzeń, które zezwalasz swoim aplikacjom, aby zminimalizować potencjalną ekspozycję na cyberzagrożenia”.
