Rede Buscar da Apple traz brecha que permite o envio de mensagens e dados

Usada pela Apple como uma forma fácil de encontrar aparelhos perdidos, a rede Buscar (Find My) traz falhas de segurança que permitem o envio de mensagens e dados não solicitados. Segundo o pesquisador Fabian Bräulein, há como imitar a maneira como uma AirTag se conecta à rede da empresa para comunicar sua localização e, a partir disso, transmitir uma mensagem criptografada.

• Apple lança app para acessórios de companhias licenciadas ao recurso Buscar
• Segurança no PIX: inteligência artificial e nuvem previnem fraudes em tempo real
• Apple finalmente anuncia o rastreador AirTag; saiba todos os detalhes

Para demonstrar o funcionamento da brecha de segurança, Bräulein criou um microcontrolador com um firmware customizado para enviar mensagens através da rede. As mensagens foram recebidas e abertas através de um aplicativo para MacOS, que havia sido configurado para receber, decodificar e exibir o conteúdo dos dados enviados.

Entre os elementos que chamam atenção na descoberta está o fato de que os dispositivos que acessam a rede Buscar não precisam estar conectados a uma rede Wi-Fi ou móvel para que o teste funcionasse. “Acontece que decisões de segurança e privacidade nas decisões de design do mecanismo de Busca Offline fazem do nosso ‘caso de uso’ bastante eficiente e quase impossível de se proteger contra”, afirmou o pesquisador.

Embora a brecha de segurança seja grave, ela não parece trazer muitas ameaças aos usuários de dispositivos fabricados pela Maçã. Conforme o próprio Bräulein aponta, a quantidade dados transmitidos é tão baixa que é improvável que o método descoberto por ele possa ser usado para realizar grandes ataques ou roubos de dados.

No entanto, isso não significa que ataques não são possíveis: como a transmissão de dados pode acontecer mesmo em ambientes sem internet, isso abre a possibilidade para obter informações de aparelhos mantidos em locais considerados seguros e isolados. Além disso, o pesquisador aponta que, tecnicamente, parece que a Apple não tem métodos de garantir que uma única Apple ID se conecte somente com o número limite de 16 AirTags.

O Canaltech entrou em contato com a Apple para obter um posicionamento oficial da empresa em relação à descoberta e vai atualizar esta matéria assim que obtivermos uma resposta.

Fonte: Apple Insider, Positive Security