Ars Technica, perşembe günü yayınladığı raporda araştırmacıların kablosuz paylaşım özelliği hakkındaki keşiflerini açıkladı. Bulgulara göre AirDrop içerisindeki güvenlik açığı, dizüstü bilgisayar ve tarama yazılımı olan herkesin paylaşım cihazının telefon numarasını tespit etmesini mümkün kılıyor.
Hexway'in raporu, bilgi yayınını gösteren kanıt yazılımı içeriyor. Errata Güvenlik CEO'su Rob Graham, konseptin kanıtını kablosuz paket dinleyicisi donanımına sahip bir dizüstü bilgisayara kurdu ve bir veya iki dakika içinde, kapsama alanında bulunan bir düzineden fazla iPhone ve Apple Watch'ın detaylarını yakaladı.
Ne yazık ki araştırmacılar; bunun Apple'ın kullanım kolaylığı ile güvenlik/mahremiyet arasında denge kurmaya çalışırken ortaya çıkan, oldukça yaygın bir güvenlik açığı olduğunu söylüyor.
Bağımsız mahremiyet ve güvenlik araştırmacısı Ashkan Soltani, Ars'a "Bu, Apple gibi şirketlerin kullanım kolaylığı ile mahremiyet/güvenlik dengelemesi yaparken denemeye çalıştığı klasik takas” dedi ve ekledi: “Otomatik keşif protokolleri, genellikle çalışmalarını sağlamak için kişisel bilgilerin değişimini gerektirir ve bu nedenle hassas sayılabilecek şeyleri ortaya çıkarabilir. Güvenlik ve mahremiyet konusunda çalışan çoğu kişinin, AirDrop gibi otomatik keşif protokollerini prensip olarak devre dışı bıraktığını biliyorum."
Güvenlik açığından yararlanmaya gelince Apple, tehlikeyi ortadan kaldırmaya çalışsa bile oldukça kolay erişilebilen bir açık olduğu anlaşılıyor.
Teknik açıklamalara göre birinin bir dosyayı veya resmi paylaşmak için AirDrop kullanıyor olması durumunda, telefon numaralarının kısmi bir SHA256 hash'ini yayınlıyorlar. Wi-Fi şifre paylaşımı kullanılıyorsa cihaz; telefon numarasının, kullanıcının e-posta adresinin ve kullanıcının Apple kimliğinin kısmi SHA256 karma mesajlarını gönderiyor. Hash'inin yalnızca ilk üç baytı yayınlanırken Hexway araştırmacıları, bu baytların telefon numarasının tamamını kurtarmak için yeterli bilgi sağladığını söylüyorlar.
