蘋果FindMy網(wǎng)絡可能會被濫用來竊取附近設備的數(shù)據(jù)
一份新的報告稱，蘋果的設備位置跟蹤服務“查找我”可能被濫用來竊取附近設備的數(shù)據(jù)并將其傳送到全球。網(wǎng)絡安全公司Positive Security在一篇博客文章中提出了一種概念驗證漏洞，稱為“發(fā)送我”。該漏洞利用表明，可以操縱構(gòu)建有“查找我”網(wǎng)絡的低功耗藍牙(BLE)廣播，以傳輸少量的任意數(shù)據(jù)，甚至不需要互聯(lián)網(wǎng)連接。
該帖子暗示，通過特殊的ESP32固件使微控制器變成可以接入設備網(wǎng)絡的調(diào)制解調(diào)器，這種漏洞在理論上也可以用于沖洗移動數(shù)據(jù)計劃。
Apple Find My網(wǎng)絡依賴于眾包信息系統(tǒng)而不是GPS來定位iOS，macOS和watchOS設備-現(xiàn)在，AirTag也是如此。
如果有人選擇加入該計劃，他們的設備將開始通過BLE與該地區(qū)的其他Apple技術(shù)進行通信。蘋果產(chǎn)品的流通量意味著可以使用這些設備ping來準確繪制每個套件位置的地圖。
但是，作為此過程的一部分，設備之間的通信也將中繼到Apple的服務器，以便以后可以從中檢索信息。在這種情況下，Positive Security開發(fā)了能夠檢索，解碼和顯示此數(shù)據(jù)的macOS應用。
積極安全聯(lián)合創(chuàng)始人FabianBräunlein解釋說：“在不受控制的環(huán)境中，小型傳感器可以采用這種技術(shù)來避免移動互聯(lián)網(wǎng)的成本和功耗。” “從法拉第屏蔽網(wǎng)站中竊取數(shù)據(jù)，這也很有趣，iPhone用戶偶爾會訪問這些站點。”
盡管可以通過此方法獲取的數(shù)據(jù)量有限并且延遲很短(最多60分鐘)，但人們認為高級威脅參與者可能能夠利用此漏洞取得良好的效果。
根據(jù)Positive Security的說法，“查找我”網(wǎng)絡的構(gòu)建以隱私為中心，這意味著Apple可能無法阻止攻擊媒介。
標簽： 蘋果FindMy網(wǎng)絡