En AirDrop de Apple, la PII de los usuarios se pierde y no hay mucho que puedan hacer al respecto


Imagen publicitaria de la tableta sincronizada con el smartphone.

AirDrop, la función que permite a los usuarios de Mac y iPhone transferir archivos de forma inalámbrica entre dispositivos, hace que se pierdan los correos electrónicos y los números de teléfono de los usuarios, y nadie puede hacer mucho para detenerlos, aparte de apagarlos, como los exploradores.

AirDrop usa Wi-Fi y Bluetooth Low Energy para conectarse directamente a dispositivos cercanos para que puedan transferir imágenes, documentos y otras cosas de un dispositivo iOS o macOS a otro. En un modo, solo se pueden conectar contactos, en un segundo cualquiera puede conectarse y en el último modo no se realiza ninguna conexión.

Una cuestión de milisegundos

Para determinar si el dispositivo de un remitente potencial debe conectarse a otros dispositivos cercanos, AirDrop envía anuncios de Bluetooth que contienen un hash parcialmente criptográfico del número de teléfono y la dirección de correo electrónico del remitente. Si uno de los hash truncados coincide con un número de teléfono o dirección de correo electrónico en la libreta de direcciones del dispositivo receptor, o si el dispositivo está configurado para recibir de todos, los dos dispositivos realizan un protocolo de enlace de autenticación mutua a través de WiFi. Durante el protocolo de enlace, los dispositivos intercambian los hash SHA-256 completos de los números de teléfono y las direcciones de correo electrónico de los propietarios.

Por supuesto, los hash no se pueden volver a convertir al texto sin formato que los generó, pero dependiendo de la entropía o la aleatoriedad del texto sin formato, a menudo se pueden descubrir. Los piratas informáticos hacen esto mediante un «ataque de fuerza bruta» que genera una gran cantidad de conjeturas y espera a quien genere el hash que están buscando. Cuanto menor sea la entropía en lenguaje sencillo, más fácil será adivinar o descifrar, ya que hay menos candidatos posibles para que lo intente un atacante.

La entropía de un número de teléfono es tan baja que este proceso de descifrado es trivial, ya que se necesitan milisegundos para buscar un hash en una base de datos precalculada que contiene los resultados de todos los números de teléfono posibles del mundo. Si bien muchas direcciones de correo electrónico tienen más entropía, también se pueden descifrar utilizando los miles de millones de direcciones de correo electrónico que se han producido en las infracciones de bases de datos durante los últimos 20 años.

«Este es un hallazgo importante, ya que permite a los atacantes acceder a información bastante personal de los usuarios de Apple que puede ser mal utilizada o simplemente vendida en pasos posteriores para ataques de spear-phishing, fraude, etc.», dijo Christian Weinert, uno de los investigadores del Universidad Técnica de Darmstadt que encontró los puntos débiles. «¿Quién no quiere notificar a Donald Trump directamente en WhatsApp? Todo lo que los atacantes necesitan es un dispositivo habilitado para Wi-Fi cerca de su víctima».

Fuga del transmisor frente a fuga del receptor

En un artículo presentado en el Simposio de seguridad de USENIX en agosto, Weinert y los investigadores del laboratorio SEEMOO en TU Darmstadt desarrollaron dos formas de explotar las vulnerabilidades de seguridad.

El método más simple y poderoso es que un atacante simplemente controle las solicitudes de detección que envían otros dispositivos cercanos. Dado que el dispositivo remitente siempre proporciona su propio número de teléfono con hash y dirección de correo electrónico cada vez que busca destinatarios de AirDrop disponibles, el atacante solo tiene que esperar a que las Mac cercanas abran el menú para compartir o los dispositivos iOS cercanos para abrir la hoja para compartir. El atacante no necesita tener el número de teléfono, la dirección de correo electrónico u otro conocimiento previo del objetivo.

Un segundo método funciona en gran medida al revés. Un atacante podría abrir un menú o una hoja para compartir y verificar si los dispositivos cercanos responden con sus propios detalles hash. Esta técnica no es tan poderosa como la primera porque solo funciona si el número de teléfono o la dirección de correo electrónico del atacante ya está en la libreta de direcciones del destinatario.

Sin embargo, el ataque puede ser útil si el atacante es alguien cuyo número de teléfono o dirección de correo electrónico es conocido por muchas personas. Por ejemplo, un gerente podría usarlo para obtener el número de teléfono o la dirección de correo electrónico de todos los empleados cuya información de contacto se almacena en las libretas de direcciones del gerente.

Weinert escribió en un correo electrónico:

Lo que llamamos una «filtración del remitente» (alguien que intenta compartir un archivo está filtrando sus ID de contacto con hash) podría explotarse colocando «errores» (pequeños dispositivos habilitados para Wi-Fi) en puntos de acceso público u otros lugares de interés.

Supongamos que planta un error de este tipo en una sala de conferencias o un evento donde se reúnen políticos, celebridades u otros «VIP» (por ejemplo, premios Oscar). Tan pronto como uno de ellos abre el área para compartir en un dispositivo Apple, al menos puede obtener el número de teléfono celular privado.

Desde la perspectiva de un periodista, un escenario para lo que llamamos «fuga de destinatarios»: suponga que está en contacto por correo electrónico con una celebridad para cubrir una historia. Por lo tanto, si la celebridad tiene su dirección de correo electrónico registrada, puede acceder fácilmente a su número de teléfono celular privado cuando esté cerca (por ejemplo, durante una entrevista). En este caso, celebridad [does] ¡Ni siquiera tiene que abrir el área para compartir o tocar el dispositivo!

Dos años de silencio de Apple

Los investigadores dijeron que informaron en privado a Apple de sus hallazgos en mayo de 2019. Un año y medio después, presentaron Apple «PrivateDrop», un AirDrop revisado que desarrollaron que utiliza una intersección de conjuntos privados, una técnica criptográfica que permite que dos partes se pongan en contacto con el proceso de detección sin exponer hashes vulnerables. La implementación de PrivateDrop está disponible públicamente en GitHub.

«Nuestra implementación prototipo de PrivateDrop en iOS / macOS muestra que nuestro enfoque de autenticación mutua amigable con la privacidad es lo suficientemente eficiente como para preservar la experiencia de usuario ejemplar de AirDrop con un retraso de autenticación de menos de un segundo», escribieron los investigadores en una publicación en la que resumió su trabajo.

A partir de esta semana, Apple aún tiene que indicar si planea implementar PrivateDrop o usar algún otro método para solucionar la fuga. Los representantes de Apple no respondieron a un correo electrónico solicitando un comentario sobre esta publicación.

Esto significa que cada vez que alguien abre una ventana para compartir en macOS o iOS, se pierden los hash, que al menos revelan sus números de teléfono y probablemente también sus direcciones de correo electrónico. En algunos casos, solo habilitar AirDrop puede ser suficiente para perder estos detalles.

Según Weinert, la única forma de evitar la fuga es configurar la detección de AirDrop en «Nadie» en el menú Preferencias del sistema y no abrir la ventana para compartir. Si está usando AirDrop en casa o en otros entornos familiares, este consejo puede ser exagerado. Esto puede resultar más útil si está utilizando una computadora en una conferencia u otro lugar público.

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *