苹果 AirDrop 隔空投送没关，黑客破解 iPhone 只需 1 ms

4 月 25 日信息，近日，德国达姆施塔特技术性高校的科学研究工作人员发觉，iPhone的“隔空投送（AirDrop）”作用会将用户 Apple 手机绑定的电话号码和电子邮件泄漏给周边的iPhone设备。

学者强调，iPhone早已了解这个问题近些年了，她们曾出示解决方法，但现阶段尚不清楚iPhone是不是方案修补系统漏洞。到目前为止，用户只有关闭它来保护隐私。

一、破译电话号码只需一毫秒

AirDrop 是iPhone在 2013 年发布的作用，能够 完成几台设备中间共享文档。根据应用 Wi-Fi 和手机蓝牙与周边设备创建立即联接，用户能够 将照片、文本文档和别的物品从一个 iOS 或 macOS 设备传送到另一台设备。用户能够 挑选仅容许手机联系人联接、容许所有人联接、不允许联接三种方式。

当用户运行 AirDrop 作用时，iPhone会将用户电话号码、电子邮件以数据加密方式散播到其 Wi-Fi 和手机蓝牙范畴内，以检验周边可联接设备。假如用户与另一设备根据 AirDrop 配对取得成功，彼此可能互换电話和电子邮箱信息的详细的数据加密散列（SHA-256 散列）。

这类数据加密散列尽管不容易立即将本人信息公布出来，但网络黑客能够 根据对数据加密散列开展测算，进而盗取用户本人信息。

电话号码因为文件格式固定不动，破译全过程无足轻重，只必须一毫秒就能在预估算的数据库查询中搜索包括全世界全部很有可能电话号码結果的散列。

科学研究工作人员亚力山大・海因里希（Alexander Heinrich）、马蒂亚斯・霍利克（Matthias Hollick）、马德里・斯图特（Milan Stute）以前曾科学研究过怎样进攻 AirDrop 的技术性基本。

网络黑客能够 在笔记本上置放一份事先编译程序的电话号码散列明细，随后坐着公共场合周边，试着创建 AirDrop 联接，处于被动或积极搜集周边 iPhone 信息。

电子邮箱因沒有预置长短，而且能够 另外包括英文字母或数据，破译难度系数比电话号码高。但网络黑客还可以应用以往 20 年数据库查询系统漏洞中发生的数十亿个电子器件邮件地址开展破译。

二、网络黑客处于被动或主动进攻都能够

据德国达姆施塔特技术性高校（TU Darmstadt）的科学研究工作人员之一布拉德・韦纳特（Christian Weinert）详细介绍，当网络黑客可以把握iPhone用户的本人信息后，这种信息很有可能被乱用与行骗、中间人攻击或信息出售等。“谁不愿在交友软件 WhatsApp 上立即给特朗普总统发信息？网络攻击只必须一个在被网络攻击周边开启 Wi-Fi 的设备。”

学者强调，网络攻击盗取用户 AirDrop 信息有二种方法。在信息安全领域顶尖国际学术会议 USENIX Security 2020 上，韦纳特和 SEEMOO 试验室的科学研究工作人员公布了一篇毕业论文，详细介绍了二种运用 AirDrop 系统漏洞获得用户信息的方式。

一种是非常简单、最强劲的被动攻击。网络攻击只必须监管周边打开 AirDrop 的用户，就可以得到其电话号码、电子邮件，而不用提早预料一切信息。

另一种是主动进攻。网络攻击能够 开启 AirDrop，查询周边设备是不是回应自身的联接要求。这类方法比不上被动攻击强劲，由于仅有当网络攻击的电话号码或电子邮件早已在接受者的手机通讯录里时，才可以充分发挥。

但是，假如当网络攻击是亲戚朋友时，这类进攻将十分合理。比如，业务经理能够 根据主动进攻的方法存储职工的电话号码或电子邮件信息。

三、iPhone并未明确修补 AirDrop 系统漏洞

达姆施塔特技术性高校科学研究工作人员说明，她们在 2019 年 5 月曾私底下告之iPhone她们发觉的 AirDrop 系统漏洞。一年半后，她们向iPhone赠予了再次设计方案的 AirDrop——“PrivateDrop”。

该新设计方案应用独享集交接点加密算法，容许彼此在没有展现数据加密散列的状况下发觉手机联系人。PrivateDrop 现阶段能够 在开源项目 GitHub 上公布得到。

目前为止，iPhone并未表明它是不是方案选用 PrivateDrop 或用别的方法修补系统漏洞难题。换句话说，当今每每有些人开启 AirDrop 作用时，她们都是会泄漏电话号码和电子邮件。

韦纳特强调，现阶段避免泄漏的唯一方式是在系统配置莱单里将“隔空投送”作用的选择项设定为“接受关掉”。

总结：多方面正协力处理 AirDrop 系统漏洞

当今，iPhone现有数十亿用户，AirDrop 系统漏洞一日不修补，则代表着数十亿用户的电话号码、电子邮箱存有都存有着风险性。

在诸多学者、新闻媒体的关心促进下，期待iPhone能尽早采取一定的有效措施，确保用户隐私保护安全性。现阶段，用户也必须尽量防止在公共场合应用 AirDrop。

来源于：Ars Technica、Tom’s Guide