0
剛發(fā)布不到20天，AirTag就被國外安全研究人員“破解”。
據(jù)外媒9to5Mac報道，德國安全研究人員 ThomasRoth 在 Twitter 上透露，在損壞多個AirTag之后，他“入侵”了AirTag的微控制器，通過修改AirTag的固件，實現(xiàn)改變AirTag功能的目的。
為了證明實驗的真實性，他還放出了一個已經(jīng)修改好的NFC URL 的演示視頻。在視頻中，他將常規(guī) AirTag 與破解版 AirTag 進(jìn)行了比較。破解版 AirTag 可以在彈窗推送中，將其NFC觸發(fā)的網(wǎng)址重定向為自己的網(wǎng)頁。
4月21日，蘋果開啟了春季新品發(fā)布會，發(fā)布了AirTag。AirTag搭配U1芯片，能夠?qū)崿F(xiàn)精確的定位功能。
在官方介紹中，AirTag可設(shè)置為“丟失模式”，當(dāng)“查找”網(wǎng)絡(luò)中的其他設(shè)備偵測到AirTag時，用戶就會自動收到通知，NFC會在二者之間進(jìn)行通信并在手機(jī)上自動提示打開蘋果“查找”頁面。如果有路人撿到這款A(yù)irTag，在“查找”中就可以獲取物主的信息以及聯(lián)系方式，方便物歸原主。
ThomasRoth的這次測試，意味著破解之后的AirTag，可以將提示打開的“查找”頁面，替換成任何網(wǎng)頁。這些網(wǎng)頁可以是釣魚網(wǎng)站，不法分子可以通過這個漏洞來對撿到AirTag的用戶實施網(wǎng)絡(luò)詐騙或竊取個人信息等違法行為。
換句話說，如果用戶不小心點擊了被修改的AirTag的“查找”頁面，可能會被誘導(dǎo)至類似于銀行、支付寶等關(guān)乎個人財產(chǎn)的釣魚網(wǎng)站，從而被竊取用戶密碼、身份信息等重要資料，導(dǎo)致財產(chǎn)損失。
事實上，蘋果產(chǎn)品被破解已經(jīng)不新鮮。
2020年，多家國外科技網(wǎng)站報道稱，一名來自谷歌公司的資深信息安全研究員，發(fā)現(xiàn)了蘋果手機(jī)等設(shè)備存在重大漏洞，無需接觸你的手機(jī)就可以獲取你的一切信息。
安全研究人員稱，該漏洞是基于蘋果公司的AWDL的網(wǎng)絡(luò)協(xié)議，蘋果手機(jī)等產(chǎn)品都在使用這項協(xié)議。利用該漏洞，該研究人員用來6個月的時間成功入侵一臺蘋果手機(jī)，只需要兩分鐘，就可以訪問手機(jī)數(shù)據(jù)，包括照片、瀏覽信息等，更為關(guān)鍵的是，可以打開攝像頭和麥克風(fēng)進(jìn)行監(jiān)視和監(jiān)聽。
2019年，在拉斯維加斯舉行的美國黑帽大會上，有研究員利用一種特殊的眼鏡原型，鏡片上貼紙黑色膠帶，中間畫著白色的點，用來模仿眼球。當(dāng)他們把眼鏡戴在受害者臉上時，就可以繞過Face ID的“活體檢測”和“注視感知”功能，從而直接解鎖iPhone。除了解鎖外，還能用于支付轉(zhuǎn)賬等功能。
2018年，一家名為Grayshift的公司開發(fā)了一款“GrayKey”的解鎖工具。用戶能夠同時將兩部iPhone連接到GrayKey上，兩分鐘之后，它就會自動為iPhone安裝上破解密碼的專用軟件，破解密碼所用時長在幾個小時到幾天左右。破解完成后，GrayKey會自動下載iPhone中的所有數(shù)據(jù)，比如ID信息、未加密的鑰匙串等，在電腦端，可以對這些數(shù)據(jù)進(jìn)行訪問和分析，操作非常簡單。
雷鋒網(wǎng)了解到，針對產(chǎn)品出現(xiàn)的漏洞問題，蘋果公司曾宣布：向全網(wǎng)所有安全領(lǐng)域的研究員提供福利，開放了洞賞金計劃，其金額有150萬美元，目的就是希望能夠發(fā)現(xiàn)蘋果系統(tǒng)漏洞的人才。
2020年4月，一位叫Ryan Pickren發(fā)現(xiàn)了蘋果公司軟件中多個漏洞，一共有7個漏洞，部分漏洞可以誘騙用戶訪問網(wǎng)站，劫持手機(jī)和電腦的攝像頭，獲得用戶個人的資料。為此，他獲得了大約53萬人民幣的獎勵。
關(guān)于此次AirTag被破解一事，蘋果公司尚未發(fā)表任何聲明。不過有知情人士表示，這個漏洞“問題不大”，AirTag被盜用的可能性較低，一是因為破解AirTag需要時間和技術(shù)成本，二是用戶只要不主動連接陌生AirTag，基本上不會有風(fēng)險。
也就是說，即便有人修改了AirTag用于非法用途，但仍然需要經(jīng)過用戶這關(guān)。如果用戶撿到失物，在連接AirTag之后，在跳轉(zhuǎn)的“查找”網(wǎng)頁，沒有發(fā)現(xiàn)物主的信息和聯(lián)系方式，那么基本上可以斷定為釣魚網(wǎng)站，用戶無需輸入任何信息，直接將失物交給警察叔叔即可。
所以說：路邊AirTag不要連，連了就會有風(fēng)險，陌生鏈接不要點，小心歹人把你騙！雷鋒網(wǎng)雷鋒網(wǎng)
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
