Falha antiga no AirDrop, da Apple, pode expor números de celular e e-mails

Pesquisadores que descobriram falha alertam que Apple foi notificada em 2019, mas vulnerabilidade segue sem solução

há 3 anos • Atualizado há 2 anos e 4 meses

AirDrop (imagem: Emerson Alecrim/Tecnoblog)

O AirDrop é muito útil por facilitar a troca de arquivos entre dispositivos da Apple, mas também é um tanto perigoso: pesquisadores da Universidade Técnica de Darmstadt, na Alemanha, descobriram que a ferramenta tem uma falha de segurança que permite que o número de telefone e o endereço de email do usuários sejam expostos a terceiros que estiverem próximos.

Por meio do AirDrop, você pode enviar fotos do seu iPhone para um iPad ou compartilhá-las com seus amigos, por exemplo. O procedimento é rápido e fácil, basta que os dispositivos estejam próximos fisicamente.

De acordo com os pesquisadores, a falha é resultado de uma combinação de dois fatores nesse processo. A primeira é a configuração Apenas Contatos do AirDrop, que vem ativada por padrão. A segunda é o uso de um método de criptografia relativamente fraco durante a comunicação.

Há três configurações possíveis para o AirDrop: Recepção Inativa, Apenas Contatos e Todos. A primeira desabilitada o recurso, a segunda permite a troca de dados apenas com contatos do usuário e a terceira habilita o compartilhamento para qualquer dispositivo.

Para que a opção Apenas Contatos funcione, o AirDrop utiliza um mecanismo de autenticação mútua que verifica se o número de celular e o email de um usuário estão na lista de contatos do outro. Se positivo, esses usuários poderão trocar arquivos entre si.

A comunicação para esse procedimento é feita de modo criptografado. O problema é que a função criptográfica utilizada para isso é “fraca”, ou seja, pode ser burlada com certa facilidade.

Se a criptografia é quebrada, os dados verificados durante a autenticação mútua — número de celular e e-mail — podem ser coletados. E não é preciso iniciar uma transferência para isso. Basta que um iPhone ou outro dispositivo Apple verifique se há algum aparelho próximo para esses dados “circularem” no ambiente.

A captura dos dados pode ser feita a partir de um dispositivo compatível com Wi-Fi que estiver próximo.

Não que o procedimento seja fácil. O processo de criptografia gera um hash (uma sequência de caracteres gerada a partir de cálculos matemáticos, basicamente) para cada tipo de informação. Os hashes é que são verificados durante a autenticação mútua.

Porém, como números de telefone seguem um padrão específico e previsível, o invasor (que conhecer o método criptográfico) pode criar um algoritmo que gera hashes com base nesse formato e compilar os resultados em forma de lista. Basta então verificar se o hash obtido de um aparelho bate com algum dos registros da lista para o número de telefone correspondente ser identificado.

Endereços de e-mail não têm um tamanho padrão, o que dificulta essa ação, mas não a impede: se o invasor gerar listas de hashes com base em endereços de e-mails populares, como @gmail.com e @yahoo.com, pode ter algum sucesso nessa tarefa.

Note que esses são só alguns exemplos de como a vulnerabilidade pode ser explorada.

iPhone 12 Mini (imagem: Emerson Alecrim/Tecnoblog)

Apple foi informada da falha em 2019

Os pesquisadores da Universidade Técnica de Darmstadt disseram que a Apple foi informada da vulnerabilidade em maio de 2019 e, apesar de o AirDrop ter passado por atualizações desde então, esse problema permanece sem solução.

Como alternativa, os pesquisadores propuseram um projeto de código aberto chamado PrivateDrop que, de acordo com eles, mitiga esse tipo de falha e se integra ao protocolo do AirDrop.

Por ora, os usuários só podem se proteger da vulnerabilidade desativando a função de descoberta do AirDrop.

Com informações: Tom’s Guide, 9to5Mac.