| 12 мая 2021 г. — 9:00 PT
За две недели, прошедшие с момента появления AirTag на рынке, появилось столько же сообщений о способах, которыми исследователи безопасности взломали трекер предметов Apple. Почему так происходит? Были ли допущены ошибки при разработке функций безопасности для AirTag, и стоит ли вам беспокоиться? Давайте разберемся с этими вопросами.
Беспокоиться или нет?
Чтение сообщений о взломанных AirTag не вселяет немедленной уверенности, особенно для продукта, предназначенного для отслеживания предметов. Доверяете ли вы Apple в обеспечении безопасности AirTag от злоумышленников — это ваш личный выбор. В обоих случаях, описанных в отчетах о безопасности, важно понимать детали произошедшего и то, как это было сделано.
В первом сценарии исследователь безопасности смог изменить URL NFC на взломанном AirTag. Давайте разберем, что это значит.
Как это работает
Взлом AirTag означает, что профессиональный исследователь безопасности смог найти уязвимость в прошивке AirTag, которая позволила ему изменить его работу. AirTag, которые вы покупаете новыми в упаковке, конечно же, не будут «взломанными», и мы можем ожидать, что Apple будет исправлять известные уязвимости, как это происходит с iPhone.
Изменение URL NFC может звучать весьма тревожно для непосвященных, но это сильно отличается от взлома AirTag для отслеживания кого-либо без его разрешения.
NFC (Near Field Communication) — это метод, используемый AirTag для связи с телефонами iPhone и Android на расстоянии нескольких сантиметров. URL, или Uniform Resource Locator, не имеет никакого отношения к вашему фактическому местоположению. URL относится к онлайн-местоположению (серверу Apple) сообщения, отправленного AirTag, когда устройство находится в режиме «Потеряно».
Риск здесь заключается не в том, что кто-то может взломать AirTag и использовать его для отслеживания вашего местоположения без вашего разрешения. Скорее, риск заключается в том, что взломанный AirTag может быть использован в фишинговой схеме, чтобы заставить вас поделиться личной информацией со злоумышленником.
Использование электронной почты несет больший риск
Этот взлом похож на то, как фишинговые схемы работают в интернете и через электронную почту, но наткнуться в реальной жизни на взломанный AirTag с пользовательским URL крайне маловероятно. Для этого потребуется, чтобы кто-то взломал AirTag, знал, как изменить URL NFC, и оставил AirTag в доступном месте в качестве приманки.
Надеемся, эта конкретная уязвимость будет исправлена в будущих обновлениях прошивки AirTag, но пока использование электронной почты и интернета представляет больший риск фишинга с использованием вводящего в заблуждение URL, чем находка «гнилого» AirTag в реальной жизни. Вы также можете узнать, чего ожидать, когда вы найдете AirTag в режиме «Потеряно», здесь.
Спам от AirTag
Вторая демонстрация того, как можно использовать AirTag, еще менее зловещая, и ни один из сценариев не предполагает отслеживание местоположения без разрешения.
AirTag предназначен для передачи зашифрованных GPS-данных на ближайшие iPhone через сеть Find My от Apple. Это позволяет пользователям iPhone находить потерянные предметы с помощью других пользователей iPhone.
Исследователь безопасности обнаружил, что GPS-данные можно заменить другими данными и транслировать их на ближайшие iPhone. Хотя в этом есть что-то жуткое, неясно, насколько вероятным может быть этот метод для реального риска безопасности.
Вот как мой коллега Бенджамин Мейо описывает уязвимость и связанный с ней риск:
Это последнее исследование расширяет протокол до передачи произвольных данных, а не простого отражения обновлений местоположения. […]
В демонстрации короткие текстовые строки отправляются обратно по сети Find My на домашний Mac. […]
Нет большой вероятности, что недобросовестный поддельный AirTag сможет исчерпать чей-то лимит данных, поскольку размер сообщений Find My очень мал и измеряется в килобайтах.
На данный момент этот «взлом» по сути является примером нарушения функциональности AirTag, а не его использования для причинения вреда другим. Реальный риск похож на получение текстового сообщения или электронного письма от неверного номера или отправителя, за исключением того, что вы фактически не видите сообщение.
AirTag и конфиденциальность
Так упустила ли Apple что-то при разработке безопасности для трекеров предметов AirTag? Не совсем. Вот как Apple описывает конфиденциальность AirTag:
Только вы можете видеть, где находится ваш AirTag. Ваши данные о местоположении и история никогда не хранятся на самом AirTag. Устройства, которые ретранслируют местоположение вашего AirTag, также остаются анонимными, а данные о местоположении шифруются на каждом этапе. Поэтому даже Apple не знает местоположение вашего AirTag или идентификатор устройства, которое помогает его найти.
Реальность такова, что ни одно программное обеспечение не совершенно, и все компьютеры сопряжены с рисками, связанными с эксплойтами безопасности, которые регулярно обнаруживаются и исправляются. Apple и другие производители платформ постоянно обеспечивают безопасность операционных систем и программного обеспечения с помощью исправлений для обнаруженных уязвимостей. Однако прошивка, обеспечивающая работу AirTag, гораздо менее амбициозна, чем программное обеспечение, которое работает на вашем iPhone, поэтому возможность возникновения уязвимостей гораздо более ограничена.
Мы обновим наш материал, если один из этих «взломов», обнаруженных исследователями, окажется более серьезным риском, или если мы узнаем, что прошивка AirTag сделала их устаревшими. А пока будьте уверены, что «взломанный AirTag» определенно не означает, что кто-то другой может отслеживать ваше местоположение или ваши вещи без вашего разрешения. Узнайте больше о безопасности от Apple здесь.