0
剛發(fā)布不到20天，AirTag就被國(guó)外安全研究人員“破解”。
據(jù)外媒9to5Mac報(bào)道，德國(guó)安全研究人員 ThomasRoth 在 Twitter 上透露，在損壞多個(gè)AirTag之后，他“入侵”了AirTag的微控制器，通過(guò)修改AirTag的固件，實(shí)現(xiàn)改變AirTag功能的目的。
為了證明實(shí)驗(yàn)的真實(shí)性，他還放出了一個(gè)已經(jīng)修改好的NFC URL 的演示視頻。在視頻中，他將常規(guī) AirTag 與破解版 AirTag 進(jìn)行了比較。破解版 AirTag 可以在彈窗推送中，將其N(xiāo)FC觸發(fā)的網(wǎng)址重定向?yàn)樽约旱木W(wǎng)頁(yè)。
4月21日，蘋(píng)果開(kāi)啟了春季新品發(fā)布會(huì)，發(fā)布了AirTag。AirTag搭配U1芯片，能夠?qū)崿F(xiàn)精確的定位功能。
在官方介紹中，AirTag可設(shè)置為“丟失模式”，當(dāng)“查找”網(wǎng)絡(luò)中的其他設(shè)備偵測(cè)到AirTag時(shí)，用戶就會(huì)自動(dòng)收到通知，NFC會(huì)在二者之間進(jìn)行通信并在手機(jī)上自動(dòng)提示打開(kāi)蘋(píng)果“查找”頁(yè)面。如果有路人撿到這款A(yù)irTag，在“查找”中就可以獲取物主的信息以及聯(lián)系方式，方便物歸原主。
ThomasRoth的這次測(cè)試，意味著破解之后的AirTag，可以將提示打開(kāi)的“查找”頁(yè)面，替換成任何網(wǎng)頁(yè)。這些網(wǎng)頁(yè)可以是釣魚(yú)網(wǎng)站，不法分子可以通過(guò)這個(gè)漏洞來(lái)對(duì)撿到AirTag的用戶實(shí)施網(wǎng)絡(luò)詐騙或竊取個(gè)人信息等違法行為。
換句話說(shuō)，如果用戶不小心點(diǎn)擊了被修改的AirTag的“查找”頁(yè)面，可能會(huì)被誘導(dǎo)至類(lèi)似于銀行、支付寶等關(guān)乎個(gè)人財(cái)產(chǎn)的釣魚(yú)網(wǎng)站，從而被竊取用戶密碼、身份信息等重要資料，導(dǎo)致財(cái)產(chǎn)損失。
事實(shí)上，蘋(píng)果產(chǎn)品被破解已經(jīng)不新鮮。
2020年，多家國(guó)外科技網(wǎng)站報(bào)道稱(chēng)，一名來(lái)自谷歌公司的資深信息安全研究員，發(fā)現(xiàn)了蘋(píng)果手機(jī)等設(shè)備存在重大漏洞，無(wú)需接觸你的手機(jī)就可以獲取你的一切信息。
安全研究人員稱(chēng)，該漏洞是基于蘋(píng)果公司的AWDL的網(wǎng)絡(luò)協(xié)議，蘋(píng)果手機(jī)等產(chǎn)品都在使用這項(xiàng)協(xié)議。利用該漏洞，該研究人員用來(lái)6個(gè)月的時(shí)間成功入侵一臺(tái)蘋(píng)果手機(jī)，只需要兩分鐘，就可以訪問(wèn)手機(jī)數(shù)據(jù)，包括照片、瀏覽信息等，更為關(guān)鍵的是，可以打開(kāi)攝像頭和麥克風(fēng)進(jìn)行監(jiān)視和監(jiān)聽(tīng)。
2019年，在拉斯維加斯舉行的美國(guó)黑帽大會(huì)上，有研究員利用一種特殊的眼鏡原型，鏡片上貼紙黑色膠帶，中間畫(huà)著白色的點(diǎn)，用來(lái)模仿眼球。當(dāng)他們把眼鏡戴在受害者臉上時(shí)，就可以繞過(guò)Face ID的“活體檢測(cè)”和“注視感知”功能，從而直接解鎖iPhone。除了解鎖外，還能用于支付轉(zhuǎn)賬等功能。
2018年，一家名為Grayshift的公司開(kāi)發(fā)了一款“GrayKey”的解鎖工具。用戶能夠同時(shí)將兩部iPhone連接到GrayKey上，兩分鐘之后，它就會(huì)自動(dòng)為iPhone安裝上破解密碼的專(zhuān)用軟件，破解密碼所用時(shí)長(zhǎng)在幾個(gè)小時(shí)到幾天左右。破解完成后，GrayKey會(huì)自動(dòng)下載iPhone中的所有數(shù)據(jù)，比如ID信息、未加密的鑰匙串等，在電腦端，可以對(duì)這些數(shù)據(jù)進(jìn)行訪問(wèn)和分析，操作非常簡(jiǎn)單。
雷鋒網(wǎng)了解到，針對(duì)產(chǎn)品出現(xiàn)的漏洞問(wèn)題，蘋(píng)果公司曾宣布：向全網(wǎng)所有安全領(lǐng)域的研究員提供福利，開(kāi)放了洞賞金計(jì)劃，其金額有150萬(wàn)美元，目的就是希望能夠發(fā)現(xiàn)蘋(píng)果系統(tǒng)漏洞的人才。
2020年4月，一位叫Ryan Pickren發(fā)現(xiàn)了蘋(píng)果公司軟件中多個(gè)漏洞，一共有7個(gè)漏洞，部分漏洞可以誘騙用戶訪問(wèn)網(wǎng)站，劫持手機(jī)和電腦的攝像頭，獲得用戶個(gè)人的資料。為此，他獲得了大約53萬(wàn)人民幣的獎(jiǎng)勵(lì)。
關(guān)于此次AirTag被破解一事，蘋(píng)果公司尚未發(fā)表任何聲明。不過(guò)有知情人士表示，這個(gè)漏洞“問(wèn)題不大”，AirTag被盜用的可能性較低，一是因?yàn)槠平釧irTag需要時(shí)間和技術(shù)成本，二是用戶只要不主動(dòng)連接陌生AirTag，基本上不會(huì)有風(fēng)險(xiǎn)。
也就是說(shuō)，即便有人修改了AirTag用于非法用途，但仍然需要經(jīng)過(guò)用戶這關(guān)。如果用戶撿到失物，在連接AirTag之后，在跳轉(zhuǎn)的“查找”網(wǎng)頁(yè)，沒(méi)有發(fā)現(xiàn)物主的信息和聯(lián)系方式，那么基本上可以斷定為釣魚(yú)網(wǎng)站，用戶無(wú)需輸入任何信息，直接將失物交給警察叔叔即可。
所以說(shuō)：路邊AirTag不要連，連了就會(huì)有風(fēng)險(xiǎn)，陌生鏈接不要點(diǎn)，小心歹人把你騙！雷鋒網(wǎng)雷鋒網(wǎng)
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。
