Mela<\/p>\n
Gli ultimi problemi di sicurezza di Apple sono sia devastanti che ridicoli. La scorsa settimana, abbiamo appreso che la societ\u00e0 ha corretto un exploit macOS nel modo pi\u00f9 pigro possibile<\/a> e ora l’azienda sta affrontando un contraccolpo per una vulnerabilit\u00e0 AirTags amatoriale di cui \u00e8 nota da mesi e che non si \u00e8 mai presa la briga di correggere.<\/p>\n Gli AirTag sono piccoli tracker che si attaccano a zaini, borse, bagagli e altri oggetti di valore. Se qualcuno perde la sua borsa dotata di AirTag, pu\u00f2 tracciarne la posizione utilizzando la rete Trova la mia, che \u00e8 alimentata in modo anonimo da iPhone e altri dispositivi Apple.<\/p>\n Ma il pi\u00f9 delle volte, gli articoli smarriti vengono trovati da estranei. Ecco perch\u00e9 gli AirTag hanno una "modalit\u00e0 smarrita", un’impostazione che consente a Good Samaritans di scansionare il tracker per vedere il numero di telefono del suo proprietario. La scansione \u00e8 facile: basta toccare l’AirTag con il tuo iPhone.<\/p>\n Sfortunatamente, un difetto di progettazione negli AirTag potrebbe trasformare i tracker in strumenti economici per attacchi drop. Come scoperto dal ricercatore di sicurezza Bobby Rauch<\/a>, Apple non disinfetta il campo di immissione del numero di telefono che i proprietari di AirTag compilano durante l’impostazione dei loro tracker. Puoi inserire qualsiasi cosa in questo campo di immissione, incluso il codice dannoso.<\/p>\n E questo \u00e8 un grosso problema. Quando esegui la scansione di un AirTag smarrito, fornisce il "numero di telefono" del suo proprietario al tuo iPhone. Il tuo iPhone incorpora quindi il "numero di telefono" in una pagina web https:\/\/found.apple.com\/<\/a>. Quindi, se il campo del numero di telefono di un AirTag smarrito \u00e8 pieno di codice XSS dannoso, il sito Web di Apple lo incorporer\u00e0, senza fare domande.<\/p>\n Questa vulnerabilit\u00e0 rende estremamente facili i tentativi di phishing mirati. Un hacker pu\u00f2 programmare una casella di accesso iCloud falsa in modo che venga visualizzata quando viene scansionato il suo AirTag "perso", ad esempio. Potrebbero quindi posizionare questo AirTag vicino all’auto o alla porta d’ingresso di una vittima per assicurarsi che venga scoperto e scansionato.<\/p>\n Gli hacker potrebbero anche utilizzare questa vulnerabilit\u00e0 per attivare exploit zero-day basati su browser su un iPhone. Questi exploit potrebbero mandare in crash o bloccare il tuo iPhone, ma per essere onesti, un tale exploit non gioverebbe davvero a un hacker (e ci sono modi molto pi\u00f9 semplici<\/a> per fornire tali exploit).<\/p>\n Bobby Rauch, il ricercatore che ha scoperto questa vulnerabilit\u00e0, lo ha segnalato ad Apple il 20 giugno. La societ\u00e0 ha trascorso tre mesi dicendo a Rauch che stava indagando sul problema e si \u00e8 rifiutata di dirgli se avrebbe ricevuto credito o una taglia per la sua scoperta (questi sono i premi standard per aver seguito il programma di ricompense dei bug di Apple<\/a> ).<\/p>\n Apple ha chiesto a Rauch di non "trapelare" il bug, ma si \u00e8 rifiutata di lavorare con lui o di fornire una sequenza temporale per una patch. Ha avvertito l’azienda che avrebbe reso pubblica la vulnerabilit\u00e0 dopo 90 giorni e alla fine lo ha fatto in un post sul blog Medium<\/a>. Tuttavia, Apple non ha commentato pubblicamente il problema, sebbene in precedenza avesse detto a Rauch che intende risolvere il problema.<\/p>\n Tecnicamente parlando, questa dovrebbe essere una soluzione molto semplice. Apple non ha bisogno di inviare un aggiornamento per iPhone o AirPods; deve solo fare in modo che la pagina web https:\/\/found.apple.com\/<\/a> disinfetti i "numeri di telefono" in arrivo. Ma spero che Apple prenda le misure per risolvere completamente questo problema. L’azienda continua a commettere errori stupidi e a spingere patch a met\u00e0<\/a> per cose che avrebbero dovuto essere sicure al momento del lancio.<\/p>\n Per non parlare del fatto che Apple si rifiuta di comunicare<\/a> con le persone che cercano di segnalare problemi attraverso il suo programma ufficiale di ricompense dei bug. Se Apple prende sul serio la sicurezza, deve affrontare rapidamente le vulnerabilit\u00e0 del software e iniziare a trattare gli esperti di sicurezza con rispetto. Dopotutto, molti di questi esperti di sicurezza stanno facendo il lavoro di Apple gratuitamente.<\/p>\n Questa notizia non dovrebbe scoraggiarti dalla scansione di AirTag, anche se dovrebbe renderti pi\u00f9 vigile. Se ti viene chiesto di accedere a iCloud o a un altro account dopo aver scansionato un AirTag, ad esempio, allora qualcosa non va: Apple non richiede alcuna informazione di accesso quando viene scansionato un AirTag legittimo.<\/p>\n Un AirTag lasciato da solo \u00e8 anche una bandiera rossa… una specie di. Poich\u00e9 questi tracker non hanno anelli portachiavi integrati, possono cadere dalle borse o scappare da fondine economiche. Nella maggior parte dei casi, un AirTag solitario \u00e8 il risultato di incuria.<\/p>\n Ad ogni modo, nessuno ti obbliga a scansionare gli AirTag. Se trovi un oggetto smarrito con un AirTag e non ti senti a tuo agio nella scansione, puoi portarlo all’Apple Store (o in una stazione di polizia, immagino) e farne il loro problema. Sappi solo che probabilmente non c’\u00e8 nulla di male nella scansione, purch\u00e9 non digiti alcuna informazione di accesso nel popup del browser AirTags.<\/p>\n Fonte: Bobby Rauch<\/a> tramite Krebs on Security<\/a>, Ars Technica<\/a><\/p>\nGli AirTag non disinfettano i "numeri di telefono"<\/h2>\n
Mesi trascorsi di Apple seduto sulle sue mani<\/h2>\n
\u00c8 sicuro scansionare gli AirTag?<\/h2>\n