Pozrite si
Apple AirTag je Bluetooth lokalizačné zariadenie vyhotovené vo forme kľúčenky. Viete si ho pripevniť na kľúče, vložiť do peňaženky, kabelky alebo tašky s notebookom. V prípade, že svoje kľúče so zariadením AirTag niekde zabudnete alebo stratíte, tak si viete zobraziť ich poslednú lokalizovanú polohu a nájsť ich.
Zároveň je možné AirTag prepnúť do módu „stratený“ – vtedy sa aktivuje funkcionalita, ktorá umožňuje nálezcovi strateného AirTagu zistiť informácie o jeho majiteľovi. Priložením k Apple alebo Android zariadeniu s podporou NFC sa zobrazí webová stránka found.apple.com, na ktorej nálezca uvidí správu od majiteľa a jeho telefonický kontakt.
Bezpečnostný konzultant a tester Bobby Rauch odhalil zraniteľnosť v stratených zariadeniach AirTag, ktorá súvisí práve s online vizitkou jeho majiteľa. Túto zraniteľnosť nazval príhodne „dobrý samaritán“, nakoľko obeťou kybernetického útoku sa stáva samotný nálezca strateného zariadenia AirTag. Bobby Rauch zistil, že do online vizitky na stránkach found.apple.com je možné vložiť okrem telefónneho čísla aj počítačový kód, ktorý dokáže obeť presmerovať na inú webovú stránku.
Takáto úprava zmení bezpečný AirTag na hardvérového trójskeho koňa, ktorý po priložení k smartfónu presmeruje nálezcu na podvodnú phishingovú stránku alebo na web, ktorý sa pokúsi nainštalovať na jeho zariadenie malvér. Počítačový vírus s označením trójsky kôň funguje tak, že sa maskuje ako bežná užitočná aplikácia, napríklad editor obrázkov alebo hra.
Avšak takáto aplikácia na pozadí a bez vedomia používateľa môže kradnúť prihlasovacie údaje, alebo vykonávať inú škodlivú činnosť. V tomto prípade je trójskym koňom práve zariadenie AirTag, ktoré na prvý pohľad vyzerá absolútne bezpečne, avšak nálezca sa môže ocitnúť úplne na inej webovej stránke ako na oficiálnom webe Apple.
Útočník si môže pripraviť viacero zariadení AirTag, tie prepnúť do módu „stratený“ a následne ich umiestniť na verejne dostupné viditeľné miesta. Každý nálezca takéhoto AirTagu bude po priložení k svojmu smartfónu presmerovaný na podvodnú stránku bez toho, aby vykonal akúkoľvek inú akciu na svojom telefóne.
Prirovnať to môžeme ku kybernetickým útokom formou infikovaného USB kľúča, kedy útočník zámerne rozmiestni niekoľko malvérom infikovaných USB kľúčov v okolí vytipovanej obete (na parkovisku firmy, vo vestibule a pod.) – ktoré, ak sú nájdené a vložené do počítača, tak na pozadí spustia malvér.
Zraniteľnosť s názvom „dobrý samaritán“ je nahlásená technickej podpore firmy Apple už od 20-teho júna. Koncom septembra bol Bobby Rauch informovaný, že zraniteľnosť má byť opravená spolu s najbližšou aktualizáciou, avšak podľa jeho vyjadrení nebol spokojný s prístupom technickej podpory k bezpečnostnému problému a s ich nedostatočnou komunikáciou. Toto boli hlavné dôvody, pre ktoré sa rozhodol o probléme verejne informovať pred tým, ako bola samotná chyba opravená. Rovnako zavážil aj fakt, že spoločnosť Apple nedokázala chybu opraviť v priebehu 90 dní od jej nahlásenia.
Článok bol pripravený v spolupráci so službou SAFELab – kurzy IT bezpečnosti.