يمكن لتقنية AirDrop من Apple تسريب أرقام هواتف المستخدمين وعناوين البريد الإلكتروني ، وفقًا للباحثين الذين قالوا إنهم أبلغوا شركة Apple لأول مرة بالثغرة الأمنية في عام 2019. AirDrop هي تقنية لاسلكية مملوكة لشركة Apple تُستخدم لمشاركة الملفات مثل الصور ومقاطع الفيديو لاسلكيًا عبر iOS. و iPadOS و macOS ، وتم طرحه في عام 2011. ويستخدم كلاً من Wi-Fi و Bluetooth لإنشاء اتصال لاسلكي وتبادل الملفات. ومع ذلك ، يمكن إساءة استخدام آلية المصادقة المتبادلة التي تستخدمها AirDrop لسرقة رقم الهاتف وعنوان البريد الإلكتروني للمستخدم.
اكتشف باحثون من جامعة دارمشتات التقنية الألمانية الثغرة الأمنية التي يمكن أن تؤثر على أي من مستخدمي Apple الذين يشاركون الملفات باستخدام AirDrop. وجد الباحثون أن المشكلة تكمن في استخدام وظائف التجزئة التي تتبادل أرقام الهواتف وعناوين البريد الإلكتروني أثناء عملية الاكتشاف.
على الرغم من أن هذا أمر مقلق للغاية ، إلا أن المستخدمين يتأثرون فقط في ظروف معينة. لسبب واحد ، أي شخص قام بتعيين إعدادات الاستلام الخاصة به على الجميع في خطر. ولكن بخلاف ذلك ، حتى إذا كانت إعداداتك مضبوطة على “إيقاف” أو “جهات الاتصال فقط” ، إذا كان لديك ورقة مشاركتك مفتوحة باستخدام AirDrop (حيث يبحث جهازك عن أجهزة أخرى للاتصال) ، فوفقًا للباحثين.
تستخدم Apple وظائف التجزئة SHA-256 الجديدة لتشفير رقم الهاتف وعنوان البريد الإلكتروني للمستخدم الذي يصل إلى AirDrop. على الرغم من أنه لا يمكن للمبتدئ تحويل التجزئة إلى نص واضح ، إلا أن الباحثين وجدوا أن المهاجم الذي يمتلك جهازًا مزودًا بتقنية Wi-Fi وقريبًا ماديًا يمكنه بدء عملية لفك تشفير التشفير.
قامت مجموعة الباحثين المكونة من خمسة خبراء من مختبر الشبكات المتنقلة الآمنة (SEEMOO) التابع للجامعة ومجموعة التشفير والهندسة الخصوصية (ENCRYPTO) بتفصيل الثغرة الأمنية في ورقة بحثية.
وفقًا للتفاصيل الواردة في الورقة ، هناك طريقتان محددتان لاستغلال العيوب. يمكن للمهاجم ، في حالة واحدة ، الوصول إلى تفاصيل المستخدم بمجرد قربه وفتح ورقة المشاركة أو قائمة المشاركة على جهاز iPhone أو iPad أو Mac. ومع ذلك ، في الحالة الثانية ، يمكن للمهاجم فتح ورقة مشاركة أو قائمة مشاركة على أجهزته ثم البحث عن جهاز قريب لإجراء اتصال مصادقة متبادلة مع جهاز استقبال مستجيب.
الحالة الثانية صالحة فقط إذا قام المستخدم بتعيين اكتشاف أجهزته على AirDrop للجميع. هذا ليس واسع النطاق مثل الحالة الأولى حيث يمكن مهاجمة شخص يحاول مشاركة ملف عبر جهاز Apple.
بالإضافة إلى تفصيل العيوب ، طور الباحثون حلاً يسمى “PrivateDrop” يستخدم بروتوكولات تقاطع مجموعة خاصة مشفرة لمعالجة المشاركة بين مستخدمين دون تبادل قيم التجزئة الضعيفة.
قال الباحثون أيضًا في بيان إنهم أبلغوا شركة Apple بشكل خاص عن عيب AirDrop في مايو 2019 ، على الرغم من أن الشركة لم تعترف بالمشكلة وردت بالرد.
توجد خدمة AirDrop كخدمة مسبقة التحميل على أكثر من 1.5 مليار جهاز Apple يزعم أنها معرضة للخطر بسبب الخلل الذي اكتشفه الباحثون. لم ترد Apple على تعليق حول ما إذا كانت تعمل على حل المشكلة في وقت تقديم القصة.
هذه ليست المرة الأولى التي يُكتشف فيها أن AirDrop بها مشكلة أمنية. لوحظ أن الخدمة في أغسطس 2019 بها مشكلة قد تسمح للمهاجمين بالوصول إلى معلومات حول حالة الهاتف ومعلومات البطارية وحالة Wi-Fi وتوافر المخزن المؤقت وإصدار نظام التشغيل. في ذلك الوقت ، تم عرض AirDrop أيضًا لإرسال تجزئات SHA256 الجزئية لرقم الهاتف ومعرف Apple وعناوين البريد الإلكتروني. لم تستجب الشركة لهذه النتيجة أيضًا.
ومع ذلك ، حتى تتلقى المشكلات إصلاحات رسمية ، يمكن لمستخدمي Apple تجنب الوقوع من قبل مهاجم من خلال AirDrop ببساطة عن طريق إيقاف تشغيله عندما لا يستخدمون الميزة.