Hakerzy mogą zamienić tagi AirTag w maszyny phishingowe za pomocą tego prostego exploita

jabłko

Najnowsze problemy bezpieczeństwa firmy Apple są zarówno druzgocące, jak i śmieszne. W zeszłym tygodniu dowiedzieliśmy się, że firma załatała lukę w systemie macOS w najbardziej leniwy możliwy sposób, a teraz firma ma do czynienia z reakcją na amatorską lukę w zabezpieczeniach AirTags, o której wiadomo od miesięcy i nigdy nie zadała sobie trudu, aby ją naprawić.

AirTags nie oczyszczają „numerów telefonów"

AirTags to małe trackery, które przyczepiają się do plecaków, torebek, bagażu i innych wartościowych przedmiotów. Jeśli ktoś zgubi swoją torbę wyposażoną w AirTag, może śledzić jej lokalizację za pomocą sieci Find My, która jest anonimowo zasilana przez iPhone’y i inne urządzenia Apple.

Ale najczęściej zagubione artykuły są znajdowane przez nieznajomych. Dlatego AirTags mają „tryb utracony”, ustawienie, które pozwala Dobrym Samarytanom zeskanować tracker, aby zobaczyć numer telefonu jego właściciela. Skanowanie jest proste — wystarczy dotknąć AirTag swoim iPhonem.

Niestety, błąd konstrukcyjny w AirTags może zmienić trackery w tanie narzędzia do ataków typu drop. Jak odkrył badacz bezpieczeństwa Bobby Rauch, Apple nie oczyszcza pola wprowadzania numeru telefonu, które właściciele AirTag wypełniają podczas konfigurowania swoich trackerów. W tym polu możesz umieścić wszystko, w tym złośliwy kod.

I to jest duży problem. Kiedy skanujesz zgubiony AirTag, przekazuje on Twojemu iPhone’owi „numer telefonu”. Twój iPhone następnie osadza „numer telefonu” na stronie https://found.apple.com/. Jeśli więc zgubione pole numeru telefonu AirTag jest pełne złośliwego kodu XSS, witryna Apple go osadzi, bez zadawania pytań.

Ta luka sprawia, że ​​ukierunkowane próby phishingu są niezwykle łatwe. Haker może zaprogramować fałszywą skrzynkę logowania do iCloud, która pokaże się, na przykład, gdy ich „zagubiony” AirTag zostanie zeskanowany. Następnie mogliby umieścić AirTag w pobliżu samochodu ofiary lub drzwi wejściowych, aby upewnić się, że zostanie wykryty i zeskanowany.

Hakerzy mogą również wykorzystać tę lukę, aby uruchomić oparte na przeglądarce exploity zero-day na iPhonie. Exploity te mogą spowodować awarię lub uszkodzenie iPhone’a, ale szczerze mówiąc, taki exploit nie przyniesie korzyści hakerowi (a są znacznie prostsze sposoby na dostarczanie takich exploitów).

Miesiące spędzane przez Apple siedząc na rękach

Bobby Rauch, badacz, który odkrył tę lukę, zgłosił ją Apple 20 czerwca. Firma spędziła trzy miesiące, mówiąc Rauchowi, że bada problem, i odmówiła mu odpowiedzi, czy otrzyma kredyt lub nagrodę za swoje odkrycie (są to standardowe nagrody za śledzenie programu bug bounty firmy Apple ).

Apple poprosił Raucha, aby nie „wyciekał” błędu, ale odmówił współpracy z nim ani przedstawienia harmonogramu łatki. Ostrzegł firmę, że po 90 dniach upubliczni tę lukę, i ostatecznie zrobił to w poście na blogu Medium. Mimo to Apple nie skomentował publicznie problemu, chociaż wcześniej powiedział Rauchowi, że zamierza rozwiązać problem.

Technicznie rzecz biorąc, powinno to być bardzo łatwe rozwiązanie. Apple nie musi przesyłać aktualizacji dla iPhone’a lub AirPods; wystarczy, że strona https://found.apple.com/ oczyści przychodzące „numery telefonów”. Ale mam nadzieję, że Apple podejmie kroki, aby całkowicie rozwiązać ten problem. Firma wciąż popełnia głupie błędy i wciska na wpół łatki na rzeczy, które powinny być bezpieczne w momencie premiery.

Nie wspominając o tym, że Apple odmawia komunikacji z osobami, które próbują zgłosić problemy za pośrednictwem oficjalnego programu bug bounty. Jeśli Apple poważnie podchodzi do kwestii bezpieczeństwa, musi szybko wyeliminować luki w oprogramowaniu i zacząć traktować ekspertów ds. bezpieczeństwa z szacunkiem. W końcu wielu z tych ekspertów ds. Bezpieczeństwa wykonuje pracę Apple za darmo.

Czy skanowanie AirTagów jest bezpieczne?

Ta wiadomość nie powinna zniechęcać do skanowania AirTagów, ale powinna zwiększyć czujność. Jeśli na przykład po zeskanowaniu AirTag zostaniesz poproszony o zalogowanie się do iCloud lub innego konta, oznacza to, że coś jest nie tak — Apple nie prosi o żadne dane logowania, gdy skanowany jest prawidłowy AirTag.

AirTag pozostawiony sam jest także czerwoną flagą… w pewnym sensie. Ponieważ te trackery nie mają wbudowanych pętli do breloczków, mogą wypaść z toreb lub uciec z tanich kabur. W większości przypadków samotny AirTag jest wynikiem nieostrożności.

W każdym razie nikt nie zmusza cię do skanowania AirTags. Jeśli znajdziesz zgubiony przedmiot z AirTag i nie czujesz się komfortowo zeskanowany, możesz zabrać go do Apple Store (lub na posterunek policji) i sprawić, by był to ich problem. Po prostu wiedz, że prawdopodobnie nie zaszkodzi go zeskanować, o ile nie wpiszesz żadnych danych logowania w wyskakującym okienku przeglądarki AirTags.

Źródło: Bobby Rauch przez Krebs on Security, Ars Technica