Nuevos fallos de seguridad en las funcionalidades de AirDrop y de Compartir contraseña
Por tu anuncio aquí
Un fallo de seguridad de AirDrop puede permitir que cualquier persona con una computadora portátil y un software de escaneo vea tu número de teléfono. Lo mismo ocurre cuando compartes una contraseña de Wi-Fi desde tu iPhone.
Hacer lo mismo desde una Mac revela tu dirección MAC permanente.
iOS es el mejor sistema operativo móvil existente por una sencilla razón: le facilita la vida a los usuarios.
Apple facilita a las personas localizar iPhones perdidos, compartir contraseñas de Wi-Fi y usar AirDrop para enviar archivos a otros dispositivos cercanos. Pero la comodidad tiene viene a un costo: tu privacidad.
Un informe publicado recientemente demuestra cómo un hacker puede aprovechar estas funcionalidades para obtener una gran cantidad de datos potencialmente confidenciales que en algunos casos incluyen números de teléfono.
Por tu anuncio aquí
El simple hecho de que Bluetooth esté activado transmite una gran cantidad de detalles del dispositivo, incluido su nombre, si está en uso, si el Wi-Fi está activado, la versión del sistema operativo que está funcionando e información sobre la batería.
Pero más preocupante aun que el uso de AirDrop o el uso de la funcionalidad de compartir contraseñas Wi-Fi transmite un hash criptográfico parcial que se puede convertir fácilmente en el número de teléfono completo de un iPhone. La información, que en el caso de una Mac también incluye una dirección MAC estática que se puede utilizar como un identificador único, se envía en paquetes Bluetooth de baja energía.
La información divulgada puede no ser un gran problema en muchos entornos, como los lugares de trabajo donde todo el mundo se conoce. Pero la exposición puede ser más espeluznante en lugares públicos, como un aeropuerto, un metro, un bar, una tienda por departamentos o en un concierto, donde cualquier persona con un hardware de bajo costo y un poco de conocimiento puede recopilar los detalles de todos los dispositivos Apple que tienen BLE encendido.
Los datos también podrían ser de gran ayuda para las empresas que realizan un seguimiento de los clientes a medida que se mueven a través de puntos de venta.
Por ejemplo, cuando alguien usa AirDrop para compartir un archivo o una imagen, está transmitiendo un hash SHA256 parcial de su número de teléfono. En caso de que se use la función de compartir contraseña Wi-Fi, el dispositivo está enviando hash parciales SHA256 de su número de teléfono, la dirección de correo electrónico del usuario y el Apple ID del usuario.
Si bien es cierto que solo se transmiten los primeros tres bytes del hash, los investigadores de la firma de seguridad Hexway (que publicó la investigación) dicen que esos bytes proporcionan suficiente información para recuperar el número de teléfono completo.
A continuación se muestra un video de un ataque:
“No es tan malo, pero que cualquiera pueda obtener la información de estado, y tu número de teléfono si que es malo. Es poco probable que Apple pueda evitar que se filtren números de teléfono y otra información, ya que son necesarios, de alguna forma para que los dispositivos se conecten sin problemas con otros dispositivos en los que el usuario confía.”
Esta es la compensación clásica que las compañías como Apple intentan hacer al equilibrar la facilidad de uso con la privacidad/seguridad.
En general, los protocolos de descubrimiento automático a menudo requieren el intercambio de información personal para que funcionen, y como tal, pueden revelar cosas que podrían considerarse sensibles. Y por ello, las persona con conocimientos de seguridad mantienen dichos protocolos desactivados.
