[:tr]Araştırmacılar, Apple’ın kablosuz dosya paylaşım protokolünde, bir kullanıcın e-posta adresleri ve telefon numaraları gibi iletişim bilgilerinin açığa çıkmasına neden olabilecek kişisel verileri sızdırılabileceğini belirtti.  

AirDrop, IoS ve MacOS işletim sistemlerinde bulunan yakın mesafeli kablosuz iletişimden yararlanarak aygıtlar arasında dosya aktarmasına olanak tanır. Bu özellik sayesinde kullanıcının telefon numarası ve e-posta adresini, diğer kullanıcının adres defterindeki girişlerle karşılaştıran bir kimlik doğrulama mekanizması ile yalnızca kullanıcıların kişi listelerinde bulunan alıcı cihazları gösterirken, keşfedilen zafiyet sayesinde Wi-Fi yardımıyla bu tür korumaları bypass edebilir.   

Almanya Darmstadt Teknik Üniversitesi’nden bir akademisyen ekibi”Bir saldırgan olarak, AirDrop kullanıcılarının telefon numaralarını ve e-posta adreslerini tamamen dışardan biri bile bilgileri elde etmesi mümkündür. Kötü niyetli saldırganların İhtiyaç duydukları tek şey, Wi-Fi özellikli bir cihaz ve bir IoS veya MacOS cihazında paylaşım bölmesini açarak keşif sürecini başlatan bir hedefe fiziksel yakınlık.” Olarak açıklamada bulundu. 

Zafiyetin sebebi, Apple’ın keşfi işlemi sırasında değiş tokuş edilen kişi tanımlayıcılarını (ör. telefon numaraları ve e-posta adresleri) maskelemek için karma işlevler kullanmasından kaynaklanıyor. Kötü niyetli bir alıcı, hashing uygulanmış kişi tanımlayıcılarını toplayı bunlara brute force saldırıları gibi teknikleri kullanarak milisaniyeler için çözer ve aynı zamanda kötü niyetli bir göndereni alıcının telefon numarası da dahil olmak üzere hashing uygulanmış kişi tanımlayıcılarını önceden herhangi bir bilgi gerektirmeden alıcının bilgisini öğrenmesi mümkündür.  

Apple gizlilik sızıntısını düzeltmek için herhangi bir güncelleme yayınlamamasından dolayı 1,5 milyardan fazla Apple cihazı bu saldırıya karşı savunmasızdır. Kullanıcılar yalnızca sistem ayarlarından AirDrop keşfini devre dışı bırakarak ve paylaşım menüsünü açmadan kendilerini koruyabilirler.

Kaynakça:
youtube.com

AirDrop enables file transfer between devices by leveraging the close range wireless communication found in IoS and MacOS operating systems. Thanks to this feature, the user can only show the receiving devices in the contact lists of the users with an authentication mechanism that compares the phone number and e-mail address of the user with the entries in the address book of the other user, thanks to the discovered vulnerability, it can bypass such protections with the help of Wi-Fi. 

A team of academics from Darmstadt Technical University, Germany, “As an attacker, it is possible for AirDrop users to obtain their phone numbers and e-mail addresses even from an outsider. All that malicious attackers need is a Wi-Fi enabled device and an IoS or Physical proximity to a target that starts the discovery process by opening the sharing pane on the MacOS device. ” As explained. 

 The vulnerability is due to Apple’s use of hash functions to mask contact identifiers (eg phone numbers and email addresses) exchanged during the discovery process. A malicious recipient collects hashed person identifiers and solves them for milliseconds using techniques such as brute force attacks, and it is also possible for a malicious sender to learn about the hashed person identifiers, including the recipient’s phone number, without requiring any prior knowledge of the recipient’s information. 

 More than 1.5 billion Apple devices are vulnerable to this attack, as Apple has not released any updates to fix the privacy leak. Users can protect themselves simply by disabling AirDrop discovery in the system settings and not opening the share menu. 

Reference:
youtube.com