Lỗ hổng trong AirDrop ảnh hưởng tới gần 1,5 tỷ thiết bị Apple

Tin tặc có thể khai thác AirDrop và lấy số điện thoại hoặc địa chỉ email của bạn. Vấn đề này đã được phát hiện từ năm 2019 nhưng vẫn chưa có bản vá hay bất cứ thông tin gì từ Apple, dù hiện nay nó đang ảnh hưởng đến 1,5 tỉ thiết bị của Apple.

Theo một báo cáo của các chuyên gia nghiên cứu bảo mật tại Đại học Kỹ thuật Darmstadt (Đức), cốt lõi của vấn đề này là AirDrop mặc định chia sẻ dữ liệu giữa các thiết bị Apple qua danh bạ và danh sách liên lạc. Theo các nhà nghiên cứu, vì tính năng AirDrop sử dụng "cơ chế xác thực chéo" để so sánh số điện thoại và địa chỉ email, do vậy tin tặc có thể dễ dàng đánh chặn thông tin này bằng "một thiết bị Wi-Fi" đặt gần người dùng Apple chia sẻ dữ liệu qua AirDrop trên MacOS, iOS hoặc iPadOS. Bằng chứng mô phỏng khả năng ứng dụng các tấn công này đã được đăng tải trên GitHub.

Ảnh: Digital Trends

Thậm chí, cuộc tấn công có thể thực hiện ngay cả khi tin tặc không nằm trong danh bạ hay danh sách liên lạc của nạn nhân. Theo các nhà nghiên cứu, dữ liệu có thể bị lộ từ cả người gửi và người nhận.

Apple đã tìm cách bảo vệ số điện thoại và địa chỉ email bằng cách "băm nhỏ" (hash) chúng, tuy nhiên các nhà nghiên cứu phát hiện rằng giải pháp của Apple không thể ngăn chặn quá trình đảo ngược. Tin tặc có thể "nhanh chóng khôi phục lại" những thông tin này.

Các chuyên gia nghiên cứu bảo mật tại Đại học Kỹ thuật Darmstadt cũng tuyên bố họ đã phát triển "PrivateDrop", tính năng này có thể thay thế thiết kế lỗi của AirDrop. Giải pháp này dựa trên giao thức mã hóa PSI (private set intersection) đã được tối ưu.

Như vậy, hai thiết bị sẽ hoàn tất quá trình trao đổi thông tin mà không cần kèm theo giá trị hash có thể được sử dụng để tái tạo lại thông tin. Tất cả diễn ra chỉ với độ trễ khoảng 1 giây. Dự án này cũng đã được đăng tải trên GitHub cho những ai quan tâm đến nó và công nghệ đằng sau.

Vì Apple chưa có bản vá chính thức cho lỗ hổng này, bạn có thể tránh sử dụng hoặc tắt tính năng AirDrop nếu lo ngại. Để tắt AirDrop trên iPhone và iPad, bạn chọn Settings (Cài đặt) >;General (Cài đặt chung) > AirDrop > Receiving Off (Không nhận). Đối với MacOS, bạn có thể truy cập Control Center (Trung tâm điều khiển) > AirDrop > Off (Tắt).

Minh Bảo theo Digital Trends