Naukowcy z Uniwersytetu George’a Masona odkryli poważną lukę w sieci Apple Find My, która umożliwia hakerom śledzenie niemal każdego urządzenia obsługującego Bluetooth – i to bez wiedzy właściciela. Nowo odkryta podatność, nazwana „nRootTag”, pozwala oszukać system Find My w taki sposób, by traktował zwykłe urządzenia Bluetooth jak AirTagi, co otwiera drzwi do śledzenia komputerów, smartfonów, kontrolerów do gier, zestawów VR, a nawet rowerów elektrycznych.
System Apple Find My działa na zasadzie wysyłania przez AirTagi i inne kompatybilne urządzenia sygnałów Bluetooth do pobliskich sprzętów Apple, które następnie anonimowo przekazują dane lokalizacyjne na serwery firmy. Zespół badawczy odkrył, że można zmodyfikować klucze kryptograficzne w taki sposób, by sieć rozpoznawała dowolne urządzenie Bluetooth jako prawidłowy AirTag. Dzięki temu hakerzy mogą wykorzystać niemal każde urządzenie jako ukryty nadajnik.
Skuteczność tego ataku jest alarmująco wysoka – badacze szacują, że ma on aż 90% skuteczności i pozwala określić lokalizację urządzenia w ciągu kilku minut. Jeden z naukowców zauważył, że choć włamanie do inteligentnego zamka drzwiowego jest niebezpieczne, to jeszcze poważniejszym zagrożeniem jest sytuacja, gdy napastnik dokładnie zna jego lokalizację. Należy podkreślić, że atak może być dokonany zupełnie zdalnie – nie jest wymagane fizyczne dostanie się do urządzenia ani posiadanie na nim uprawnień administratora.
Podczas eksperymentów badacze wykazali, że mogą precyzyjnie śledzić nawet nieruchomy komputer z dokładnością do 3 metrów, a w jednym z testów byli w stanie zrekonstruować całą trasę lotu kontrolera do gier podróżującego na pokładzie samolotu. To pokazuje dalekosiężne konsekwencje tej podatności – technologia pozwala śledzić ruchy nie tylko pojedynczych urządzeń, ale także ich użytkowników, potencjalnie naruszając prywatność na niewyobrażalną skalę.
Wykorzystanie tej metody wymaga jednak znacznych zasobów obliczeniowych. W trakcie badań użyto setek jednostek GPU do szybkiego przechwytywania pasujących kluczy kryptograficznych. Niemniej jednak, badacze zauważają, że tego typu zasoby można stosunkowo łatwo zdobyć poprzez wynajem mocy obliczeniowej, co jest dziś popularną praktyką wśród społeczności zajmującej się kopaniem kryptowalut. To oznacza, że dostęp do tej technologii nie jest zarezerwowany jedynie dla instytucji naukowych czy rządowych – zaawansowani cyberprzestępcy również mogą przeprowadzić atak stosunkowo niskim kosztem.
Badacze zgłosili problem Apple w lipcu 2024 roku. Firma potwierdziła istnienie podatności w ramach aktualizacji zabezpieczeń, jednak na razie nie ujawniła, jak zamierza go naprawić. To oznacza, że użytkownicy iPhone’ów, MacBooków czy iPadów mogą wciąż pozostawać narażeni na potencjalne śledzenie.
Co gorsza, nawet po wprowadzeniu poprawki problem może pozostawać aktualny jeszcze przez lata. Wynika to z faktu, że wielu użytkowników nie aktualizuje swoich urządzeń na bieżąco, pozostając podatnymi na zagrożenia. Według badaczy, pełne wyeliminowanie tej luki będzie możliwe dopiero wtedy, gdy starsze, niezabezpieczone urządzenia stopniowo przestaną działać, co może potrwać nawet kilka lat.
Zespół przedstawi swoje pełne badania podczas USENIX Security Symposium w sierpniu. Tymczasem eksperci zalecają użytkownikom ostrożność w przyznawaniu aplikacjom dostępu do Bluetooth, regularne aktualizowanie swoich urządzeń oraz rozważenie korzystania z systemów operacyjnych nastawionych na ochronę prywatności, które mogą skuteczniej zabezpieczać użytkownika przed tego typu zagrożeniami.
