AirDrop-sårbarhet läcker användartelefonnummer för utlänningar

AirDrop är en praktisk funktion som gör det mycket enkelt för Apple-användare att dela olika typer av data med andra. Medan AirDrop tillför komfort i våra liv, en ny upptäckt visa hur det också gör oss sårbara för snooping genom att avslöja ett iPhone-telefonnummer. På Mac läckte samma sårbarhet datorns MAC-adress.

Sårbarheten vid delning av telefonnummer och MAC-adresser är inte begränsad till AirDrop, eftersom iOS Wi-Fi-lösenordsdelningsfunktionen också sänder kryptografiska hash som kan konverteras av hackare till iPhone-telefonnummer. När det gäller Wi-Fi-delningsfunktioner sänder iPhone telefonnummer, e-postadresser och Apple-användar-ID på SHA256-hash. Även om många användare inte bryr sig om att deras telefonnummer kommer att avslöjas för människorna omkring dem eftersom de flesta redan vet det, är området som skapar denna sårbarhet på offentliga platser, där främlingar kan ta reda på ditt telefonnummer och sedan eventuellt använda det för extrahera mer information om dig från webben. Företag kan också använda denna information för att spåra dina rörelser i olika butiker.

När AirDrop-funktionen slås på sänder iPhone iPhone de tre första bytena av SHA256-hash med användarens telefonnummer. Det gjordes för att verifiera andra enheter som tillhör användarens kontakt eller någon som är betrodd av ägaren till iPhone. Men forskare på säkerhetsföretaget Hexway säger att dessa tre byte ger tillräckligt med information som kan användas för att extrahera det kompletta telefonnumret.

Säkerhetsföretaget Hexway, som har publicerat rapporter om denna sårbarhet, har också skapat bevis för konceptprogramvara, som kan hämta telefonnummer och annan information från iPhones i närheten och Apple Watches. Programvaran måste köra den bärbara datorn med en trådlös snifferpaket.

Apple kan inte göra mycket för att förhindra det

Errata Security CEO Rob Graham sa att det inte var mycket Apple kunde göra för att förhindra att detta händer i framtiden, eftersom iPhone behövde sända en del av telefonnumret i SHA256-hash för att se till att det var anslutet och delade AirDrop-data till pålitliga enheter.

Apple har försökt göra det svårare att hitta användarnas telefonnummer genom att dela dem i SHA256-hash, men det är i vilken utsträckning företaget kan gå samtidigt som det erbjuder bekvämhetsfunktioner som AirDrop.