Apple製品に関連するセキュリティ上の欠陥は、他のデバイスほど多くはないかもしれませんが、確かに存在します。例えば、AirDropに関連する最新の発見が挙げられます。
Ars Technicaは木曜日に、ワイヤレス共有機能に関して研究者らが発見した内容をまとめた最初のレポートを発表しました。調査結果によると、AirDropのセキュリティ上の欠陥により、ノートパソコンとスキャンソフトウェアがあれば誰でも共有デバイスの電話番号を特定できる可能性があるとのことです。
では、Mac に対して使用された場合はどうでしょうか? ハードウェアはセキュリティ上の欠陥を通じてそのデバイスの MAC アドレスを共有できるようになります。
ヘクスウェイの報告書には、情報ブロードキャストを実証する概念実証ソフトウェアが含まれています。エラッタ・セキュリティのCEO、ロブ・グラハム氏は、無線パケットスニファードングルを搭載したノートパソコンにこの概念実証ソフトウェアをインストールし、1、2分で、彼が働いていたバーの無線範囲内にあった12台以上のiPhoneとApple Watchの詳細情報を取得しました。
残念ながら、研究者らは、企業が使いやすさとセキュリティ/プライバシーのバランスを取ろうとするときにこれが現実のものとなるため、これはかなり一般的なセキュリティ上の欠陥であると述べています。
「これは、Appleのような企業が使いやすさとプライバシー／セキュリティのバランスを取る際に試みる典型的なトレードオフです」と、プライバシーとセキュリティの独立研究者であるアシュカン・ソルタニ氏はArsに語った。「一般的に、自動検出プロトコルは動作させるために個人情報の交換を必要とすることが多く、そのため、機密情報とみなされる可能性のある情報が漏洩する可能性があります。私が知るセキュリティとプライバシーを重視する人のほとんどは、原則としてAirDropなどの自動検出プロトコルを無効にしています。」
セキュリティ上の欠陥を悪用することに関しては、たとえ Apple が危険を排除しようとしたとしても、非常に簡単であることが判明しました。
AirDropを使ってファイルや画像を共有する場合、電話番号のSHA256ハッシュの一部がブロードキャストされます。Wi-Fiパスワード共有が使用されている場合、デバイスは電話番号、メールアドレス、Apple IDのSHA256ハッシュの一部を送信します。ブロードキャストされるのはハッシュの最初の3バイトだけですが、セキュリティ企業Hexway（この研究を発表した企業）の研究者によると、これらのバイトだけでも電話番号全体を復元するのに十分な情報が含まれているとのことです。
パスワード共有機能でも同じ結果になる可能性があります。
リストからネットワークを選択するだけで、デバイスは他のデバイスにBluetooth LEリクエストを送信し、パスワードを要求します。友達はどのようにしてパスワードを要求しているのがあなただとわかるのでしょうか？ブロードバンドBLEリクエストには、電話番号、Apple ID、メールアドレスのSHA256ハッシュというデータが含まれています。送信されるのはハッシュの最初の3バイトだけですが、電話番号を特定するにはそれで十分です（実際には、電話番号のステータスと地域情報を提供するHLRリクエストから番号が復元されます）。
特に公共の場で AirDrop を頻繁に使用している場合は、完全なレポートを一読する価値があります。
以下の AirDrop の脆弱性も確認してください。
こうしたセキュリティ上の欠陥は、Appleという企業にとって、そして実際にデバイスを使用しているユーザーにとってどれほど重要だとお考えですか？AirDropはどのくらいの頻度でお使いですか？
