Luki w AirDrop i Quick Share. Atak z bliska może unieruchomić urządzenia
Badacze opisali sześć podatności w funkcjach udostępniania plików Apple, Samsunga i Google. Wszystkie da się wywołać z zasięgu bezprzewodowego, jeszcze przed nawiązaniem zaufania.
Funkcje szybkiego udostępniania plików — wygodne i włączone w tle — okazały się słabym punktem. Nowa analiza techniczna ujawniła sześć podatności w mechanizmach przesyłania plików między urządzeniami: Apple AirDrop, Samsung Quick Share na Androidzie oraz Google Quick Share dla Windows.
Co dokładnie znaleźli badacze
Według opisu opublikowanego przez serwis GBHackers, w skład odkryć wchodzą trzy błędy powodujące awarie dostępu w AirDrop, dwa obejścia protokołu w Quick Share oraz jedna luka typu use-after-free w wersji dla Windows.
Najważniejsze, że problemy w AirDrop są osiągalne, zanim dojdzie do normalnego ustalenia zaufania. To tak zwana powierzchnia ataku przed uwierzytelnieniem — czyli zanim urządzenia zdecydują, czy w ogóle sobie ufają.
Badacze opisali między innymi sytuację, w której nieuwierzytelniony napastnik może wysłać nieoczekiwane żądanie do nasłuchującego komponentu AirDrop i doprowadzić do awarii usługi odpowiedzialnej za udostępnianie. W innym przypadku odpowiednio spreparowane, głęboko zagnieżdżone dane mogą wyczerpać zasoby parsera.
Dlaczego to znaczy
Efektem nie jest na razie przejęcie urządzenia, lecz jego unieruchomienie. Pojedynczy napastnik w pobliżu może wielokrotnie wyłączać AirDrop oraz powiązane usługi ciągłości pracy, takie jak AirPlay, Handoff, Universal Clipboard i Continuity Camera.
Po stronie Quick Share badacze wskazali inną klasę słabości — logika protokołu egzekwowana jest zbyt późno. W implementacji Samsunga na Androidzie część ramek aplikacji była przetwarzana, zanim zakończył się proces uwierzytelniania UKEY2. Oznacza to, że napastnik mógł wywołać działanie usługi bez wcześniejszego ustanowienia zaufania.
Za najpoważniejszy błąd w środowisku Windows uznano sytuację wyścigu (race condition) w zarządzaniu połączeniami Google Quick Share. Jak zauważają autorzy, ta klasa błędów jest potencjalnie podatna na wykorzystanie wykraczające poza zwykłą blokadę usługi, w zależności od warunków technicznych.
Gdzie kryje się realne ryzyko
Zasięg ataku ogranicza się do bliskości bezprzewodowej. To jednak wystarczy w miejscach, gdzie wiele urządzeń znajduje się jednocześnie w pobliżu — lotniska, biura, kampusy czy węzły komunikacyjne.
Sednem problemu jest założenie, że funkcje udostępniania to nieszkodliwa „instalacja wodno-kanalizacyjna” wygody. Badacze zaznaczają coś innego: jeśli uwierzytelnianie, szyfrowanie i walidacja danych nie są wymuszane na poziomie dyspozytora, poszczególne komponenty same stają się powierzchnią ataku.
Praktyczny wniosek jest prosty: funkcje udostępniania w pobliżu wymagają tej samej dyscypliny utwardzania co usługi wystawione do internetu, zwłaszcza w zakresie obsługi danych wejściowych i bezpiecznego radzenia sobie z awariami.
Co można zrobić teraz
Zgodnie z opisem, błędy zgłoszono odpowiedzialnie do Apple, Samsunga i Google. Część producentów potwierdziła ustalenia, a prace naprawcze są w toku. Najważniejszą reakcją pozostaje więc instalowanie aktualizacji systemowych, gdy tylko się pojawią.
Do tego czasu rozsądne jest ograniczenie widoczności funkcji udostępniania. W praktyce oznacza to ustawienie AirDrop lub Quick Share tak, aby przyjmowały żądania wyłącznie od kontaktów, a najlepiej wyłączenie ich w zatłoczonych miejscach publicznych.
Administratorom warto przyjrzeć się polityce zarządzania urządzeniami końcowymi i temu, jakie funkcje proximity są domyślnie aktywne. Co obserwować dalej? Komunikaty producentów o łatkach oraz informację, czy któraś z luk zostanie powiązana z konkretnym oznaczeniem podatności.
