アップルの「AirDrop」、電話番号やメアドが漏えいするおそれ--独大学が公表

2021/04/26　

アップルの「AirDrop」、電話番号やメアドが漏えいするおそれ--独大学が公表アップルのファイル共有機能「AirDrop」に存在する脆弱性によって、電話番号や電子メールアドレスが他人に読み取られるおそれがあるとの調査結果が公開された。

japan.cnet.com

　独ダルムシュタット工科大学のセキュリティ研究チームによると、Appleのファイル共有機能「AirDrop」はハッキングに対して脆弱である可能性があるという。同大学の研究者らは現地時間4月21日に公開した調査結果で、AirDrop機能の脆弱性によって、ユーザーの電話番号や電子メールアドレスが周囲にいる見知らぬ人に読み取られる可能性があると述べた。

　この問題はAirDropで選択できる「連絡先のみ」オプションに起因しているようだ。このオプションでは、ユーザーの電話番号および電子メールが他者の連絡先リストにあるかどうかを確認する「相互認証メカニズム」が使われている。このプロセスにおいて情報はハッシュ化されるが、「ターゲットに物理的に近い」悪意を持った人物が情報を収集し、「ブルートフォース（総当たり）攻撃といった単純なテクニック」を使うことでプライバシー対策を素早くかいくぐることができるという。

　研究者らは2019年5月にこの脆弱性についてAppleに通知したが、その後のソフトウェアアップデートでもこの問題は解消されていないという。

　同チームでは、自分たちが開発した「PrivateDrop」という代替機能を勧めている。こちらは「脆弱なハッシュ値を交換」しないという。

　米CNETはAppleにコメントを求めたが、回答は得られなかった。

AirDropでユーザーの個人情報がだだ漏れ!?Appleは未だ対処せず

2021/04/25　

「AirDrop」でユーザーの個人情報がだだ漏れ？Appleは対策せず - ライブドアニュースドイツの研究者らが、「AirDrop」の脆弱性を発見したことが分かった。ユーザーのメールアドレスと電話番号を流出させている状態だと指摘。この発見を2019年にAppleに報告したが、Appleは対策していないという

news.livedoor.com

AirDropは、Appleデバイス間でデータを簡単に共有できる便利な機能ですが、実はユーザーのメールアドレスと電話番号を流出させていることが、研究者の調査から明らかになりました。

AirDropの脆弱性とは

AirDropではファイルの送受信（データの共有）にWi-FiとBluetooth Low Energyを利用します。AirDropには「すべての人」「連絡先のみ」「受信しない」の3つの設定があります。

送信者のデバイスが周辺のデバイスとデータ共有が可能かどうか判別するために、AirDropでは送信者の電話番号とメールアドレスの暗号学的ハッシュの一部を含むBluetoothアドバタイズを行います。つまりハッシュは暗号化されているとはいえ、公開された状態です。

送信者と受信者が「連絡先のみ」に設定していた場合、この短縮ハッシュが受信者の連絡先と一致すれば、2台のデバイスはハンドシェイクを行い、互いの電話番号とメールアドレスの完全なハッシュを交換します。

送信者のハッシュをクリアテキスト（暗号化されていない文字列）に戻すことはできませんが、ブルートフォース攻撃（総当り攻撃）によるハッシュの解読、つまり電話番号とメールアドレスの取得は十分可能なのだそうです。

盗み出す方法は2つ

この脆弱性を発見した、ドイツのダルムシュタット工科大学の研究者らによると、攻撃者がAirDropユーザーの電話番号とメールアドレスを盗み出す方法は2つあります。

ひとつめの方法は攻撃者にとって簡単かつ有効です。近くのAppleデバイスがAirDropリクエストを送るのを待つだけだからです。送信者のデバイスは常に自分の電話番号とメールアドレスのハッシュを公開しているので、攻撃者は近くのMacが「共有」メニューを開く、あるいはiPhoneが「ショートカット」の共有シートを開くのを待つだけです。攻撃者自身は電話番号やメールアドレスを持っていなくてもよく、標的について知る必要もありません。

ふたつめの方法ではこれを逆に行います。攻撃者は共有メニューまたは共有シートを開き、近くのデバイスが応答するのを待ちます（つまり応答したデバイスのハッシュを盗み出す）。ただしこの方法が成立するのは、攻撃者の電話番号またはメールアドレスが受信者（応答者）の連絡先に登録されている場合のみなので、あまり実用的とはいえません。

とはいえ、攻撃者の電話番号やメールアドレスが多くの人々に知られている場合（例：企業のマネージャーなど）は、有効な方法となります。

Appleはいまだ対策せず

ダルムシュタット工科大学の研究者らは、この発見を2019年5月にAppleに報告しています。さらにその1年半後には、AppleにAirDropの改良版である「PrivateDrop」を提案しました。これは送信者と受信者のハッシュを公開せずにやり取りを行うことを可能にする暗号化手法で、現在GitHubで公開されています。

しかしAppleはまだ、AirDropの脆弱性を修正しておらず、PrivateDropの採用も決めていないとのことです。

つまり現時点でAirDropによる電話番号とメールアドレスの流出を防ぐ方法は、AirDropを「受信しない」に設定し、共有メニューおよび共有シートを開かないことしかないそうです。あるいはAirDropを使うのを、自宅など他人がいない場所に限定するしかないとのことです。

15億台超のiPhoneやMacに電話番号やメールアドレスが流出する脆弱性があるとセキュリティ研究者が指摘

2021/04/24　

15億台超のiPhoneやMacに電話番号やメールアドレスが流出する脆弱性があるとセキュリティ研究者が指摘 - ライブドアニュースApple端末間で手軽に写真や動画ファイルを共有できる「AirDrop」には、セキュリティ上の脆弱性が存在しており、電話番号やメールアドレスが見知らぬ人にするとダルムシュタット工科大学の研究チームが報告しています

news.livedoor.com

Apple端末間で手軽に写真や動画ファイルを共有できる「AirDrop」には、セキュリティ上の脆弱性が存在しており、電話番号やメールアドレスが見知らぬ人にするとダルムシュタット工科大学の研究チームが報告しています。

Apple AirDrop shares more than files - Computer Science - Technical University of Darmstadt

https://www.informatik.tu-darmstadt.de/fb20/ueber_uns_details_231616.en.jsp

写真や動画といったデータをApple端末間で簡単に送受信できるのがAirDropです。AirDropでデータのやり取りをできる相手は、デフォルトではユーザーが連絡先を知っている相手のみに限定されていますが、「どの端末が連絡先を知っている相手のものなのか」を調べるために、Apple端末間では相互認証メカニズムが動作し、どの端末が知り合いのものであるかを識別します。

ダルムシュタット工科大学で暗号化およびプライバシー関連の研究を行うENCRYPTOという研究チームによると、このAirDropの相互認証メカニズムには深刻なプライバシー関連の脆弱性が存在するそうです。

ENCRYPTOが発見した脆弱性は、AirDropを使用する際にApple端末間で行われる相互認証メカニズムに関するもの。この相互認証メカニズムでは端末に紐づけられた電話番号やメールアドレスといった情報が、独自のハッシュ関数を用いて難読化されています。しかし、ENCRYPTOによるとこのハッシュ値はブルートフォースアタックなどの単純な手法で簡単に平文化することができるそうです。

そのため、攻撃者は見知らぬ人のApple端末から電話番号やメールアドレスなどの個人情報を抜き出すことが可能になる模様。攻撃に必要なものはWi-Fiに対応した端末およびiOSあるいはmacOSを採用したApple端末で、AirDropの検出プロセスを開いてAirDropの設定をオンにしているApple端末ユーザーに物理的に近づくだけで、攻撃が可能となります。

ENCRYPTOはAirDropの脆弱性を修正した、独自のファイル共有ツールである「PrivateDrop」を開発しています。PrivateDropでは脆弱なハッシュ値を交換することなく、安全に端末間の相互認証メカニズムを走らせることが可能になるとのこと。また、相互認証メカニズムを走らせる際に生じる遅延も少ないため、既存のAirDropに採用しても「十分効率的」だそうです。

PrivateDropのソースコードはGitHub上で公開されています。

GitHub - seemoo-lab/privatedrop

https://github.com/seemoo-lab/privatedrop

なお、ENCRYPTOは2019年5月にAirDropの脆弱性についてAppleに報告しています。しかし、記事作成時点ではAppleは脆弱性の修正に取り組んでいないため、「全世界に15億台以上存在するApple端末がプライバシー侵害の危機にさらされている」とENCRYPTOは指摘しています。そのため、ENCRYPTOはApple端末ユーザーに対して、AirDropの設定を「受信しない」に変更することを推奨しています。

AirDropの脆弱性で15億台のAppleユーザーの個人情報がだだ漏れに