Tecnología

En AirDrop de Apple, la PII de los usuarios se pierde y no hay mucho que puedan hacer al respecto

Imagen publicitaria de la tableta sincronizada con el smartphone.

AirDrop, la función que permite a los usuarios de Mac y iPhone transferir archivos de forma inalámbrica entre dispositivos, hace que se pierdan los correos electrónicos de los usuarios y los números de teléfono, y nadie puede hacer mucho para detenerlos más que apagarlos, como los exploradores.

AirDrop usa Wi-Fi y Bluetooth Low Energy para conectarse directamente a dispositivos cercanos para que puedan transferir imágenes, documentos y otras cosas de un dispositivo iOS o macOS a otro. En un modo, solo se pueden conectar contactos, en un segundo cualquiera puede conectarse y en el último modo no se realiza ninguna conexión.

Una cuestión de milisegundos

Para determinar si el dispositivo de un remitente potencial debe conectarse a otros dispositivos cercanos, AirDrop envía anuncios de Bluetooth que contienen un hash parcialmente criptográfico del número de teléfono y la dirección de correo electrónico del remitente. Si uno de los hash truncados coincide con un número de teléfono o dirección de correo electrónico en la libreta de direcciones del dispositivo receptor, o si el dispositivo está configurado para recibir de todos, los dos dispositivos realizan un protocolo de enlace de autenticación mutua a través de WiFi. Durante el apretón de manos, los dispositivos intercambian los hash SHA-256 completos de los números de teléfono y las direcciones de correo electrónico de los propietarios.

Por supuesto, los hash no se pueden volver a convertir al texto sin formato que los generó, pero dependiendo de la entropía o la aleatoriedad del texto sin formato, a menudo se pueden descubrir. Los piratas informáticos hacen esto mediante un «ataque de fuerza bruta» que genera una gran cantidad de conjeturas y espera a quien genere el hash que buscan. Cuanto menor sea la entropía en lenguaje sencillo, más fácil será adivinarlo o descifrarlo, ya que hay menos candidatos posibles para que lo intente un atacante.

La entropía en un número de teléfono es tan baja que este proceso de descifrado es trivial, ya que se necesitan milisegundos para buscar un hash en una base de datos precalculada que contiene resultados para todos los números de teléfono posibles en el mundo. Si bien muchas direcciones de correo electrónico tienen más entropía, también se pueden descifrar utilizando los miles de millones de direcciones de correo electrónico que se han producido en las infracciones de bases de datos durante los últimos 20 años.

«Este es un hallazgo importante, ya que permite a los atacantes acceder a información bastante personal de los usuarios de Apple que puede ser mal utilizada o simplemente vendida en pasos posteriores para ataques de spear-phishing, fraude, etc.», dijo Christian Weinert, uno de los investigadores del Universidad Técnica de Darmstadt que encontró los puntos débiles. «¿Quién no querría notificar a Donald Trump directamente en WhatsApp? Todo lo que los atacantes necesitan es un dispositivo habilitado para Wi-Fi cerca de su víctima».

Fuga del transmisor frente a fuga del receptor

En un documento presentado en el Simposio de Seguridad de USENIX en agosto, Weinert y los investigadores del laboratorio SEEMOO en TU Darmstadt desarrollaron dos formas de explotar las brechas de seguridad.

El método más simple y poderoso es que un atacante simplemente controle las solicitudes de detección que envían otros dispositivos cercanos. Dado que el dispositivo remitente siempre proporciona su propio número de teléfono con hash y dirección de correo electrónico cada vez que busca destinatarios de AirDrop disponibles, el atacante solo tiene que esperar a que las Mac cercanas abran el menú para compartir o los dispositivos iOS cercanos para abrir la hoja para compartir. El atacante no necesita tener el número de teléfono, la dirección de correo electrónico u otro conocimiento previo del objetivo.

Un segundo método funciona en gran medida al revés. Un atacante podría abrir un menú o una hoja para compartir y verificar si los dispositivos cercanos responden con sus propios detalles hash. Esta técnica no es tan poderosa como la primera porque solo funciona si el número de teléfono o la dirección de correo electrónico del atacante ya está en la libreta de direcciones del destinatario.

Sin embargo, el ataque puede ser útil si el atacante es alguien cuyo número de teléfono o dirección de correo electrónico es conocido por muchas personas. Por ejemplo, un gerente podría usarlo para obtener el número de teléfono o la dirección de correo electrónico de todos los empleados cuya información de contacto se almacena en las libretas de direcciones del gerente.

Weinert escribió en un correo electrónico:

Lo que llamamos una «filtración del remitente» (alguien que intenta compartir un archivo está filtrando sus ID de contacto con hash) podría explotarse colocando «errores» (pequeños dispositivos habilitados para Wi-Fi) en puntos de acceso público u otros lugares de interés.

Suponga que planta un error de este tipo en una sala de conferencias o un evento donde se reúnen políticos, celebridades u otros «VIP» (por ejemplo, premios de la Academia). Tan pronto como uno de ellos abre el área para compartir en un dispositivo Apple, puede obtener al menos el número de teléfono celular privado.

Desde la perspectiva de un periodista, un escenario para lo que llamamos «fuga de destinatarios»: suponga que está en contacto por correo electrónico con una celebridad para cubrir una historia. Por lo tanto, si la celebridad tiene su dirección de correo electrónico registrada, puede acceder fácilmente a su número de teléfono celular privado cuando esté cerca (por ejemplo, durante una entrevista). En este caso, celebridad [does] ¡Ni siquiera tiene que abrir el área para compartir o tocar el dispositivo!

Dos años de silencio de Apple

Los investigadores dijeron que informaron en privado a Apple de sus resultados en mayo de 2019. Un año y medio después, presentaron Apple «PrivateDrop», un AirDrop revisado que desarrollaron que utiliza una intersección de conjuntos privados, una técnica criptográfica que permite que dos partes se pongan en contacto con el proceso de detección sin exponer los hash vulnerables. La implementación de PrivateDrop está disponible públicamente en GitHub.

«Nuestra implementación prototipo de PrivateDrop en iOS / macOS muestra que nuestro enfoque de autenticación mutua amigable con la privacidad es lo suficientemente eficiente como para preservar la experiencia de usuario ejemplar de AirDrop con un retraso de autenticación de menos de un segundo», resumieron los investigadores en una publicación, en que resumieron su trabajo.

A partir de esta semana, Apple aún tiene que indicar si planea implementar PrivateDrop o usar algún otro método para solucionar la fuga. Los representantes de Apple no respondieron a un correo electrónico solicitando un comentario sobre esta publicación.

Esto significa que cada vez que alguien abre una ventana para compartir en macOS o iOS, se pierden los hash, que al menos revelan sus números de teléfono y probablemente también sus direcciones de correo electrónico. En algunos casos, solo habilitar AirDrop puede ser suficiente para perder estos detalles.

Según Weinert, la única forma de evitar la fuga es configurar la detección de AirDrop en «Nadie» en el menú Preferencias del sistema y no abrir la ventana para compartir. Si está usando AirDrop en casa o en otros entornos familiares, este consejo puede ser excesivo. Esto puede resultar más útil si está utilizando una computadora en una conferencia u otro lugar público.

Más populares

To Top