Локатор от Apple можно использовать для передачи украденных паролей

Локатор от Apple можно использовать для передачи украденных паролей

Локатор от Apple можно использовать для передачи украденных паролей

Злоумышленники могут использовать сервис для поиска устройств «Локатор» («Find My») от Apple для незаметной передачи конфиденциальной информации, похищенной кейлогерами, которые могут быть установлены в сторонние клавиатуры.

Сеть «Локатор» и соответствующее приложение используется для поиска «яблочных» устройств, которые владелец мог забыть в общественном месте. «Локатор» поможет найти iPhone, iPad, macOS-компьютеров, Apple Watch, AirPod и Apple Tag.

Для корректного функционирования сервису необходимы данные GPS и Bluetooth, которые собираются с миллионов устройств Apple. Именно так пользователи могут отследить даже те девайсы, которые отключены от Сети.

Утерянные устройства постоянно отправляют сигналы Bluetooth, перехватываемые находящимися рядом Apple-девайсами. Последние потом обезличенно отправляют геолокацию через сеть «Локатора».

Первой на возможность передачи произвольных данных с помощью «Локатора» обратила внимание команда исследователей из Positive Security. Два года назад специалисты даже опубликовали на GitHub PoC-утилиту «Send My». Считалось, что Apple с тех пор устранила проблему, однако на деле всё оказалось несколько сложнее.

Немецкие эксперты, выводы которых публикует Heise, разработали демонстрационный эксплойт в аппаратном виде. Специальное устройство должно продемонстрировать всем риски сети «Локатор».

Фактически исследователи интегрировали кейлогер с Bluetooth-передатчиком ESP32 в USB-клавиатуру, чтобы показать запись вводимых паролей и их последующую передачу по Bluetooth через «Локатор».

 

Передача данных по Bluetooth считается более незаметной, а «Локатор» в этом случае выступает отличным прикрытием для условных злоумышленников. Причём необязательно даже использовать AirTag или поддерживаемый чип, так как «яблочные» девайсы будут отвечать на любое Bluetooth-сообщение.

 

Отправителю придётся создать множество слегка отличающихся открытых ключей шифрования, которые будут имитировать определённое количество AirTag. Произвольные данные они будут шифровать в ключи и присваивать конкретные биты выделенным частям ключей.

Стоимость всей этой затеи, по словам специалистов, будет составлять около 50 долларов (4618 по текущему курсу).

 

Скорость передачи данных составила 26 символов в секунду.

В стабильной версии Telegram выкатили поддержку ключей доступа (Passkey)

В стабильной версии Telegram наконец реализовали функциональность ключей доступа (passkey). В последнем обновлении мессенджер добавил поддержку этого способа аутентификации — теперь в аккаунт можно входить без пароля и СМС-кода, используя биометрию устройства.

В начале месяца мы писали, что поддержка Passkey появилась в бета-версии Telegram. Это часть общего тренда, который запустили Apple и Google ещё в 2022 году.

С тех пор всё больше сервисов переходят на новую модель входа, где вместо паролей используются криптографические ключи и подтверждение через Face ID или Touch ID. Теперь к этому списку присоединился и Telegram.

Создать passkey в приложении довольно просто. Нужно зайти в Настройки → Конфиденциальность → Код-пароль и нажать «Включить код-пароль». После этого Telegram сгенерирует уникальный криптографический ключ, привязанный к аккаунту, и сохранит его на устройстве.

Дальше всё работает максимально просто: для входа в аккаунт достаточно пройти биометрическую проверку — без ввода пароля и ожидания СМС. В Telegram также уточняют, что passkey можно синхронизировать с менеджерами паролей, включая iCloud, Google и другие сервисы.

Поддержка passkey появилась в том же обновлении, где мессенджер добавил покупку подарков и аудио в сторис. Но именно новая модель входа может оказаться самым заметным изменением — особенно для пользователей, уставших от кодов подтверждения и риска утечки паролей.

RSS: Новости на портале Anti-Malware.ru