断网也能上传数据!苹果用户又可以了 | 开源

7天前 27 阅读 ID:367
量子位
量子位

2019年,苹果系统上线了查找(Find My)功能。

这项功能让苹果用户的外设即使在断网或GPS关闭时,也能被附近其他苹果设备发现。

这样,当你追踪定位自己的设备时,就可以喊附近其他苹果设备上传它们自己的位置信息。

基本原理跟遇到困难摇人帮忙差不多,总之就是突出一个“我为人人,人人为我”。

可就是这样还是有用户表示:光Find My怎么行,再帮忙Send My一下吧?

今天,就一起来看看这个离线无网时仍然能上传数据,来自柏林的研究团队Positive Security开发的应用,Send My

查找功能的“可乘之机”

先来看看查找系统具体是如何运行的。

首先,当苹果设备用户通过Find My app将自己的苹果设备与其他外设连接时,会协商出一对密钥对

Find My app保存私钥和公钥,外设保存公钥。

这时的外设相当于一个BLE beacon(蓝牙低能耗广播),会不断广播一个由公钥衍生而来的变化密钥。

周围的苹果设备在检测到后,就将这一密钥和自己的位置信息打包,一起上传苹果服务器。

最终,再由最开始的苹果设备从服务器下载这一信息包,并通过保存在己设备app上的密钥解密,得到具体位置数据。

注意到了吗?上述流程中是有一个数据上传的步骤的。

如果能将我们想要上传的数据混入其中,就有可能搭着Find My离线网络机制的便车一并上传。

而上传的数据内容为密钥+位置报告。

其中,位置报告只有正确的私钥(存储在所有者设备上)才能解密,不能被暴力破解。

那么,突破点就在那个由公钥衍生而来的密钥上了。

将数据“渗漏”进去

研究团队设计了这样一个数据渗漏(Data Exfiltration)协议:

设定公钥中的任意位(bit),并进行不断的循环播报,直到发送一条完整信息。当发送端和接收端都承认同一个编码方案时,就可以成功传输数据。

当发送特定位数据时,创建一个结构为[4b bit index] [4b message ID] [4b modem ID] [padding 0s…] [bit value]的28字节数组。

然后建立一个调制解调器(modem),通过串行接口接收一个信息并循环发送。

研究团队使用低成本,低功耗的ESP32作为发送固件

这种集成了Wi-Fi和双模蓝牙的单片机微控制器可以快速改变其蓝牙MAC地址。

在启动时会广播一个硬件编码的默认信息,然后在串行接口上监听并进行循环广播,直到收到一个新信息。

获取数据时,接收程序生成同样结构的28字节的数据。

应用程序的开发

Send My的应用程序基于OpenHaystack,由达姆施塔特工业大学的研究人员开发,是一个有些黑客化的逆向工程。

OpenHaystack在今年3月份开源,当时苹果还尚未向第三方配件制造商开放Find My应用程序。

但此时用户已经可以利用OpenHaystack自定义可被Find My跟踪的配件了。

参照OpenHaystack,Send My使用相同的AppleMail插件技巧,向苹果后端发送位置检索(retrieval)的请求。

这时会提示用户输入一个4位的调制解调器ID,这可以在刷新ESP固件时设置。

之后,应用程序就可以自动获取、解码并显示ID为0的信息

测试一下

在成功配备了硬件和应用程序后,研究团队进行了第一次测试:接收32位信息。

几分钟后,其中的23位信息成功到达。

研究团队猜测,剩余9位生成的公钥可能被附近的苹果设备作为无效公钥拒绝了。

对此,他们决定在广播一个有效载荷(payloads)之前,先检查它所代表的的EC点对其所使用的曲线(curve)是否真的有效。

如果否,就递增计数器,直到找到一个有效公钥为止。

目前Send My的发送速度约为每秒3字节

根据周围的设备数和其他随机因素,可能会有1分钟到1小时的延迟。

苹果很难ban掉这种应用。

研究团队在最后表示。

因为Find My系统根本无法读取未加密的位置信息,也不知道公钥所属,更不知道位置信息与公钥之间的联系。

如果要禁止这种基于OpenHaystack的黑客化应用的滥用,那么或许应该重新考虑Find My的安全性。

比如加强BLE广播的认证,或限制位置报告的检索速率。

团队介绍

Positive Security是一家来自德国柏林的IT安全咨询和研究公司,主要提供网络安全支持服务。

创始人有两位。其中fabian毕业于德国波茨坦大学,lukas毕业于卡尔斯鲁厄理工学院,两人都曾效力与德国安全研究室SRLabs。

参考链接:
https://positive.security/blog/send-my

应用下载:
https://github.com/positive-security/send-my

团队官网:
https://positive.security/


—完—

@量子位 · 追踪AI技术和产品新动态

深有感触的朋友,欢迎赞同、关注、分享三连վ'ᴗ' ի ❤

免责声明:作者保留权利,不代表本站立场。如想了解更多和作者有关的信息可以查看页面右侧作者信息卡片。
反馈
to-top--btn