网易首页 > 网易手机 > 正文

iPhone的大漏洞:传文件可能会泄露个人隐私

0
分享至

来自iPhone用户善意的提醒总是让人感到温暖:

于是我反手就来一个“感谢”:

iPhone的AirDrop用完不关,不止是被骚扰这一点小事,黑客还可以在几毫秒内截获个人信息。

基本相当于你把自己的手机号、邮箱等等联系方式公之于众了。

而且,这个bug苹果早就知道,却一直不修复。

根本来不及闪,信息就泄露

怎么回事?

达姆施塔特工业大学的研究人员对漏洞进行了深入研究,他们的结论是:

苹果AirDrop存在双向漏洞,无论接受还是发送,只要打开,黑客就能在几毫秒间破解用户的邮箱、电话号码等等信息。

而被黑客截获的个人信息,可能被用作精准网络钓鱼攻击、诈骗等等,最简单的方法,是直接转卖个人信息获利。

AirDrop,国内用户更熟悉的名字是隔空投送,通过蓝牙与wifi来进行传输。其中,蓝牙“握手”,Wi-Fi“传输”。

整个传输过程,并不需要公共网络连接的参与。

但是问题就出在蓝牙“握手阶段”。

传输确认阶段,为了确定可能的发件人的设备是否应该与附近的其他设备连接,AirDrop会广播本机蓝牙信号,其中包含发件人的电话号码和电子邮件地址的部分加密哈希值

如果有哈希值与接收设备通讯录中的某人信息相匹配,这两台设备将通过Wi-Fi进行相互验证握手。

当然,如果接受者设置为从任何设备接收,则可以跳过通讯录验证。

在握手过程中,设备会交换所有者的电话号码和电子邮件地址的完整SHA-256哈希值。

本来,从哈希值中不能直接转录出生成它们的原信息,但根据明文中的熵(entropy)或随机值的数量,是有可能被计算出来的。

所以,黑客理论上可以通过执行 “暴力攻击 “来做到这一点,即抛出大量的测试值,“碰”出正确的信息。

关键点来了,一个电话号码,或是一个电子邮件地址中,信息熵小到微不足道。

即使是包含世界上所有可能的电话号码的数据库。在其中查找一个哈希值也只需要几毫秒的时间。

就是这样,根本来不及闪,信息就泄露出去了。

黑客“守株待兔”

最简单的方法,黑客只需监视附近其他设备发送的发现请求,不需要任何先验信息。

举例来说,在公共场合安一个蓝牙“窃听器”就行了。

第二种方法是反向的。

攻击者打开共享菜单,看看是否有附近的设备回应自己的握手请求信息。

但这种技术没有第一种方法适用面广,因为它只在攻击者的信息已经在接收者的地址簿中时才起作用。

但是,来自“熟人”的攻击同样可怕。

例如,公司老板可以用它来获得任何员工的非工作电话号码或电子邮件地址….

两年了,苹果充耳不闻

苹果知道吗?当然知道。而且,两年前就知道了。

不光知道,发现漏洞的达姆施塔特工业大学小组,还专门开发出了漏洞补丁PrivateDrop,允许双方在不暴露哈希值的情况下互相握手发现。

在2019年报告漏洞时,顺手一并提交了补丁。但是两年过去了,石沉大海。苹果官方从没回应过研究人员是否采用他们的方案,而且,漏洞也一直没有修复。

现成答案都懒得抄…

所以直到今天,只要有用户使用隔空投送,就存在泄露个人信息的风险。

目前,防止泄漏的唯一方法是在系统设置菜单中把AirDrop设置为 “no one”。

iOS 14.5推出本来以安全性著称,但如今却被曝严重漏洞持续两年“知而不改”,而且影响全球15亿用户….

对了,还要提醒一下,不光是iPhone上的iOS,macOS、iPadOS,所有有“隔空投送”功能的苹果设备,都面临威胁。

相关推荐
热点推荐

那个在武汉暴雨中去世的男人,刺痛了每一个辛苦的打工人

深後
2021-05-16 12:24:46

中国式情妇:玩不好就把命丢了!

10点阅读
2021-05-16 00:05:02

最新!沈阳确诊病例一家12口“五一”曾自驾游,行程轨迹公布;专家初步判断此次疫情源头

新民晚报
2021-05-16 09:45:03

西瓜太甜,果断报警!上海一阿姨“神操作”,网友懵了…

上观新闻
2021-05-15 23:42:23

劲爆!拜登儿子和29岁华裔女色情照曝光!此前出轨大嫂和大嫂妹妹

FOREIGNDAILY
2021-05-16 10:34:32

1张清华院长偷拍照,打脸多少人:真正的高贵,是不把自己当回事

精读君
2021-05-16 11:10:02

把澳拉黑第8天,中国传来特大喜讯,商务部正式官宣,西方眼红了

前沿时刻
2021-05-16 12:46:29

我想睡觉,他却想那个!女学生一年开房40多次!曝光后我害怕了!

深度小哥哥
2021-05-16 07:48:27

毁三观!她出轨闺蜜男友,差点成赌王儿媳,嫁哈佛老公只为好基因

麦大人
2021-05-16 12:05:01

广东一新郎当众撕毁结婚誓词,还对新娘出言不逊:没得选,嫁不嫁

我们的光
2021-05-16 12:31:16

以色列轰炸美联社等媒体所在大楼,地面部队大量集结,王毅阐明中方立场,拜登也打了2个电话

每日经济新闻
2021-05-16 08:02:09

东方卫视6位主持人被开除、免职、吊销资格证,他们真的冤吗?

mx八卦城
2021-05-15 20:53:27

神奇女侠盖尔·加朵被外网抵制,多位明星拉黑她…

下水道男孩
2021-05-16 00:10:36

拜登万没想到,以色列当着全世界警告美国,普京火速发声引爆全球

海拔新观察
2021-05-16 10:34:48

19岁女英雄被匪徒们凌辱后牺牲,遗体被野狼分食,凶手全部被枪决

键盘小马达
2021-05-16 08:49:45

与刘涛反目,插刀赵丽颖孙俪,又毁同学初恋,韩红说她能红是奇迹

公子见
2021-05-15 21:20:33

他一次次将国人智商踩在地上摩擦,却有无数人争先恐后为他买单!

黑猩猩智库
2021-05-15 23:13:11

“结婚十年,性生活0次”:禁欲,才是中年夫妻最大的婚姻危机

生活新青年
2021-05-15 22:27:54

天才刚热,意大利已惊现多起露天“为爱鼓掌”……

欧洲时报内参
2021-05-16 10:23:15

全看光!女主播忘关摄像头直播换衣被封。殷世航订婚热度破亿登上热搜!二子爷连麦电商卖螃蟹,遭NZBZ粉丝强力抵制。

娱乐海盗船长
2021-05-16 08:38:42
2021-05-16 15:41:07

头条要闻

沈阳新增1例本土:83岁系昨日病例母亲 密接者59人

头条要闻

沈阳新增1例本土:83岁系昨日病例母亲 密接者59人

体育要闻

完整版丨名人堂瓦妮莎代替科比致辞

娱乐要闻

黄圣依古风造型曝光 轻歌曼舞超美

财经要闻

科技要闻

SpaceX使用八手火箭发射52颗星链卫星和两颗客户卫星

汽车要闻

预售12.99万起 思皓E40X将于今日正式上市

态度原创

亲子
本地
房产
公开课
军事航空

亲子要闻

回天地区年底再增1620个幼儿园学位

本地新闻

男生为什么都喜欢王冰冰?

房产要闻

深圳实施住房建设计划 居住用地供应有望再创新高

公开课

维密超模告诉你:外表不是全部

军事要闻

以色列炸媒体楼部队大量集结 中方发声 拜登连打2电话

×