AppleAirDrop, Fitur Berbagi Kata Sandi Wi-Fi Dapat Membocorkan Nomor Telepon Anda: Laporkan

Apple telah lama menawarkan AirDrop di perangkat iOS dan Mac untuk memungkinkan berbagi konten yang mudah antara dua perangkat. Demikian pula, ini memungkinkan pengguna iPhone dan Mac untuk membagikan kata sandi Wi-Fi mereka dengan satu ketukan. Sementara kedua fitur dirancang untuk meningkatkan pengalaman pengguna, sebuah laporan baru mengklaim bahwa penyerang dapat menggunakan siaran AirDrop dan Wi-Fi yang berbagi kata sandi untuk mendapatkan data yang berpotensi sensitif, termasuk nomor telepon. Dikatakan juga bahwa begitu Bluetooth diaktifkan, Apple perangkat menyiarkan detail perangkat, seperti status ponsel dan status Wi-Fi.

Laporan yang diterbitkan oleh perusahaan keamanan cyber Hexway mengklaim bahwa dengan menyalakan Bluetooth memungkinkan penyerang untuk mengakses informasi tentang status ponsel, informasi baterai, status Wi-Fi, ketersediaan buffer, dan versi OS di antara informasi lainnya. Celah tersebut diklaim tidak hanya ada di unit iPhone, tetapi juga di MacBook, Apple Watch, dan unit AirPods. Semua data ini diduga dikirim dalam paket Bluetooth Low Energy.

Bersamaan dengan kerentanan Bluetooth, laporan oleh Hexway mengatakan bahwa ketika menggunakan AirDrop, Apple pengguna menyiarkan sebagian hash SHA256 dari nomor telepon mereka. Seorang penyerang dapat menggunakan hash untuk memulihkan nomor telepon asli dan bahkan menghubungi pengguna di iMessage atau mendapatkan nama pengguna, klaim laporan, merinci langkah-langkah yang terlibat dalam memulihkan nomor telepon dari hash parsial.

Dalam hal menggunakan fitur berbagi kata sandi Wi-Fi, laporan mengklaim Apple perangkat mengirim hash SHA256 parsial nomor telepon, Apple ID, dan alamat email yang terkait dengannya. "Hanya 3 byte hash pertama yang dikirim, tetapi itu cukup untuk mengidentifikasi nomor telepon Anda (sebenarnya, nomor tersebut dipulihkan dari permintaan HLR yang menyediakan status dan wilayah nomor telepon)," para peneliti mengklaim dalam laporan mereka, menambahkan langkah-langkah yang dapat diambil untuk mengonversi tanpa rincian tentang apakah alamat email dapat dipulihkan disebutkan. Peneliti Hexway juga telah merilis beberapa video di YouTube untuk merinci masalah tersebut.

Sebuah proof-of-concept (PoC) telah disertakan dengan laporan Hexway untuk menunjukkan siaran informasi. Ars Technica, Dan Goodin mengatakan, PoC, ketika digunakan oleh CEO Errata Security Rob Graham, menunjukkan bahwa dalam satu atau dua menit, rincian lebih dari selusin iPhone terdekat dan Apple Watch model ditangkap pada suatu sistem.

Apple telah menyediakan a Hanya Kontak opsi di AirDrop yang membatasi aksesnya. Demikian pula, disarankan untuk menonaktifkan Bluetooth jika tidak digunakan. Ini tentu tidak mungkin jika Anda memiliki Apple Watch atau gunakan AirPod secara teratur.