Apple的AirDrop泄露了用户的PII，并且他们可以对此做些很多

研究人员说，AirDrop，允许Mac和iPhone用户在设备之间无线传输文件的功能泄露用户电子邮件和电话号码。

AirDrop使用Wi-Fi和蓝牙低能量与附近的设备建立直接连接，以便它们可以将图片，文档和其他东西从一个IOS或MacOS设备束到另一个。一种模式允许只有联系人连接，第二个允许任何人连接，最后允许任何连接。

为了确定WOWS发送器的设备是否应与其他附近的设备连接，AIRDOP广播包含发件人的部分加密哈希的蓝牙广告和＃39;电话号码和电子邮件地址。如果任何截断的哈希匹配接收设备的地址簿中的任何电话号码或电子邮件地址，或者将设备设置为从每个人接收，则两个设备将在Wi-Fi上进行相互认证握手。在握手期间，设备交换全部SHA-256的业主哈希;电话号码和电子邮件地址。

当然，哈希可以将其转换回生成它们的明确文本，但取决于明确文本中的熵或随机性，通常可以弄清楚。黑客通过执行A＆＃34;蛮力攻击，＆＃34;这抛出了大量的猜测，并等待产生追捧哈希的猜测。 Cleartext中的熵越少，猜测或破解的越突出，因为攻击者的候选者较少尝试。

电话号码中的熵量如此之大，即这种开裂过程是微不足道的，因为它需要毫秒，以便在预先计算的数据库中查找包含世界各种可能的电话号码的结果的哈希。虽然许多电子邮件地址具有更多熵，但它们也可以使用在过去20年中在数据库漏洞中出现的数十亿的电子邮件地址破解。

＆＃34;这是一个重要的发现，因为它使攻击者能够掌握苹果用户的相当个人信息，可以滥用矛网络钓鱼攻击，诈骗等或简单地销售，＆＃34;德国的研究人员之一，德国的研究人员表示，达姆施塔特技术大学发现漏洞。 ＆＃34;谁不想直接留言，说，唐纳德特朗普在Whatsapp上？所有攻击者都需要是一个支持Wi-Fi的设备，靠近受害者。＆＃34;

在8月份在Usenix安全研讨会上提出的纸上，Weinert和Tu Darmstadt＆＃39; S看似的实验室的研究人员设计了两种方法来利用漏洞。

最简单，最强大的方法是攻击者只是监视其他附近设备发送的发现请求。由于发件人设备始终披露其自己的哈希电话号码和电子邮件地址，每次扫描可用AIRDrop接收器时，攻击者只需要等待附近的MAC打开共享菜单或附近的IOS设备以打开共享表。攻击者不需要具有电话号码，电子邮件地址或目标的任何其他先验知识。

第二种方法主要逆转。攻击者可以打开共享菜单或共享表，并查看任何附近设备是否响应了自己的哈希详细信息。这种技术是＆＃39; t与第一个，因为它仅在攻击者＆＃39的电话号码或电子邮件地址已经在接收者和＃39; s的地址簿中工作。

尽管如此，当攻击者是许多人众所周知的人，攻击者的攻击可能很有用。例如，经理可以使用它来获取任何员工的电话号码或电子邮件地址，这些员工都存储在其地址簿中的经理＆＃39; s联系信息。

我们称之为＆＃34;发件人泄漏＆＃34; （即，打算分享文件泄露哈希联系标识符的人）可以通过种植＆＃34来利用它们的漏洞; （小型Wi-Fi的设备）在公共热点或其他景点中。

说，你在会议室或政治家，名人或其他＆＃34的活动中植入这样的错误; vips＆＃34;走到一起（例如，奥斯卡奖）。一旦其中一个打开Apple设备上的共享窗格，您就可以持有至少其私人手机号码。

从记者的角度来看，我们所谓的情景＆＃34;接收器泄漏＆＃34 ;:表示你已经通过电子邮件联系了一个名人来掩盖一个故事。如果名人所储存您的电子邮件地址，您可以在接近（例如，在面试期间）时轻松获得私人手机号码。在这种情况下，名人[确实]甚至不必打开共享窗格或以其他方式触摸他们的设备！

研究人员表示，他们在2019年5月私下通知了他们的调查结果。一年半，他们介绍了苹果与＆＃34;私有化，＆＃34;他们开发的重新安装AirDrop，它使用私人设定的交叉点，这是一种加密技术，允许两方执行联系发现过程而不披露易受攻击的哈希。私人的实施在Github上公开提供。

＆＃34;我们在iOS / MacOS上的PrivateRop的原型实施表明，我们的隐私友好的相互认证方法足以使AirDrop＆＃39; S的示例性用户体验效率低于一秒钟，＆＃34;研究人员在总结了他们的工作岗位中写道。

截至本周，苹果公司尚未指示是否有计划采用私人或采用其他方式来解决泄漏。 Apple代表没有回复为此帖子寻求评论的电子邮件。

这意味着每次有人在麦克斯或iOS中打开共享小组，他们都会泄漏哈希，最小，披露他们的电话号码以及他们的电子邮件地址也是如此。在某些情况下，只需启用AirDrop即可足以泄漏这些细节。

Weinert说，现在，防止泄漏的唯一方法是将AirDrop发现设置为＆＃34;没有人和＃34;在“系统设置”菜单中，也避免打开共享窗格。在家庭或其他熟悉设置中使用AITDROP时，此建议可能是矫枉过正的。在会议或其他公共场地使用计算机时，它可能会更有意义。

PII意味着个人识别信息，实际上这正是这个信息是什么。泄露PII的问题是它让别人知道你是谁......所以，例如，我可以在色情店设置一个设备来扫描他们的设备泄露的PII，现在我知道你什么时候知道对于色情店，因为我有这个识别与您在那里连接的信息。 PII的问题能够将您的身份与*其他*信息相关联，您真正想要保密。

这意味着，我可以参加会议，咖啡馆或其他公共场所，并收集使用的每个人的电话号码和电子邮件地址，甚至尝试使用AITDrop。这可能是一个不仅仅是为了追踪者，而是执法和私人侦探。说＆＃34;攻击者无法积极探测特定的目标手机，而没有已经知道个人信息＆＃34;只是错误的错误。

有没有原因是为什么执法需要使用它来获取电话号码或电子邮件地址，考虑到他们可以，并且只需直接从Apple和运营商获取此数据（以及更多）？多年来关于涉及犯罪的所有手机的手机数据，多年来有大量的故事。

出于同样的原因，他们使用Stingrays - 他们可能不会＆＃39; t需要这种技术的担忧。