Hakkerit voivat muuttaa AirTagit tietojenkalastelukoneiksi tällä yksinkertaisella hyväksikäytöllä

Omena

Applen uusimmat tietoturvaongelmat ovat sekä tuhoisia että naurettavia. Viime viikolla saimme tietää, että yritys korjasi macOS-hyödyntämisen laiskimmalla mahdollisella tavalla, ja nyt yritys kohtaa vastareaktion amatöörimäisen AirTags-haavoittuvuuden vuoksi, joka on ollut tiedossa kuukausia ja jota ei ole koskaan vaivautunut korjaamaan.

AirTags eivät puhdista "puhelinnumeroita"

AirTags ovat pieniä seurantalaitteita, jotka kiinnitetään reppuihin, kukkaroihin, matkatavaroihin ja muihin arvotavaroihin. Jos joku kadottaa AirTagilla varustetun laukkunsa, hän voi seurata sen sijaintia Find My -verkon avulla, jota anonyymisti käyttävät iPhonet ja muut Applen laitteet.

Mutta useimmiten tuntemattomat löytävät kadonneet artikkelit. Tästä syystä AirTagsissa on "kadonnut tila", asetus, jonka avulla laupiaat samarialaiset voivat skannata seurantalaitteen nähdäkseen sen omistajan puhelinnumeron. Skannaus on helppoa – kosketat vain AirTagia iPhonellasi.

Valitettavasti AirTagin suunnitteluvirhe voi muuttaa seurantalaitteet halvoiksi työkaluiksi pudotushyökkäyksiä varten. Kuten tietoturvatutkija Bobby Rauch havaitsi, Apple ei puhdista puhelinnumeron syöttökenttää, jonka AirTag-omistajat täyttävät jäljittäjiään määrittäessään. Voit liittää tähän kenttään mitä tahansa, mukaan lukien haitallisen koodin.

Ja se on iso ongelma. Kun skannaat kadonneen AirTagin, se antaa sen omistajan "puhelinnumeron" iPhonellesi. Tämän jälkeen iPhone upottaa "puhelinnumeron" https://found.apple.com/ -verkkosivulle. Joten jos kadonneen AirTagin puhelinnumerokenttä on täynnä haitallista XSS-koodia, Applen verkkosivusto upottaa sen ilman kysymyksiä.

Tämä haavoittuvuus tekee kohdistetuista tietojenkalasteluyrityksistä erittäin helppoa. Hakkeri voi ohjelmoida väärennetyn iCloud-kirjautumislaatikon, joka tulee näkyviin, kun hänen "kadonnut" AirTag-merkkinsä skannataan esimerkiksi. He voisivat sitten asettaa tämän AirTagin lähelle uhrin autoa tai etuovea varmistaakseen, että se löydetään ja skannataan.

Hakkerit voivat myös käyttää tätä haavoittuvuutta käynnistääkseen selainpohjaisia ​​nollapäivähyökkäyksiä iPhonessa. Nämä hyväksikäytöt voivat kaataa iPhonesi tai estää sen, mutta rehellisyyden nimissä tällainen hyväksikäyttö ei todellakaan hyödyttäisi hakkereita (ja on paljon helpompiakin tapoja toteuttaa tällaisia ​​hyväksikäyttöjä).

Apple vietti kuukausia käsiensä päällä

Tämän haavoittuvuuden löytänyt tutkija Bobby Rauch ilmoitti siitä Applelle 20. kesäkuuta. Yritys kertoi Rauchille kolme kuukautta, että se tutkii asiaa, ja kieltäytyi kertomasta hänelle, saako hän hyvitystä tai palkkiota löydöstään (nämä ovat tavallisia palkkioita Applen bugipalkkioohjelman seuraamisesta ).

Apple pyysi Rauchia olemaan "vuotamatta" vikaa, mutta kieltäytyi yhteistyöstä hänen kanssaan tai antamasta aikajanaa korjaustiedostolle. Hän varoitti yritystä, että hän julkistaisi haavoittuvuuden 90 päivän kuluttua, ja lopulta teki niin Medium-blogiviestissä. Apple ei kuitenkaan ole kommentoinut asiaa julkisesti, vaikka se kertoi aiemmin Rauchille aikovansa korjata ongelman.

Teknisesti ottaen tämän pitäisi olla erittäin helppo korjata. Applen ei tarvitse päivittää iPhonea tai AirPodeja. sen tarvitsee vain saada https://found.apple.com/ verkkosivu puhdistamaan saapuvat "puhelinnumerot". Mutta toivon, että Apple ryhtyy toimiin ratkaistakseen tämän ongelman kokonaan. Yritys tekee jatkuvasti typeriä virheitä ja työntää puoliperäisiä korjaustiedostoja asioille, joiden olisi pitänyt olla turvallisia julkaisun yhteydessä.

Puhumattakaan Apple kieltäytyy kommunikoimasta ihmisten kanssa, jotka yrittävät ilmoittaa ongelmista virallisen bugipalkkio-ohjelmansa kautta. Jos Apple suhtautuu tietoturvaan vakavasti, sen on puututtava ohjelmiston haavoittuvuuksiin nopeasti ja alettava kohdella tietoturvaasiantuntijoita kunnioittavasti. Loppujen lopuksi monet näistä tietoturva-asiantuntijoista tekevät Applen työtä ilmaiseksi.

Onko AirTagien skannaus turvallista?

Näiden uutisten ei pitäisi estää sinua skannaamasta AirTageja, vaikka niiden pitäisi tehdä sinusta valppaampi. Jos sinua pyydetään kirjautumaan sisään iCloudiin tai muuhun tiliin esimerkiksi AirTagin skannauksen jälkeen, jotain on vialla – Apple ei kysy kirjautumistietoja, kun laillinen AirTag skannataan.

Itsekseen jätetty AirTag on myös punainen lippu… tavallaan. Koska näissä seurantalaitteissa ei ole sisäänrakennettuja avainnippusilmukoita, ne voivat pomppia ulos pusseista tai paeta halvoista koteloista. Useimmissa tapauksissa yksinäinen AirTag on seurausta huolimattomuudesta.

Joka tapauksessa kukaan ei pakota sinua skannaamaan AirTageja. Jos löydät kadonneen esineen, jossa on AirTag, etkä halua skannata sitä, voit viedä sen Apple Storeen (tai poliisiasemalle, luulisin) ja tehdä siitä heidän ongelmansa. Tiedä vain, että sen skannaamisesta ei todennäköisesti ole haittaa, kunhan et kirjoita kirjautumistietoja AirTags-selaimen ponnahdusikkunaan.

Lähde: Bobby Rauch Krebs on Securityn kautta, Ars Technica