Un ricercatore di sicurezza ha fatto uno scherzo ai loro colleghi durante la conferenza DEF CON di Las Vegas. Usando un dispositivo da 70 dollari ha inviato un particolare pacchetto Bluetooth agli iPhone dei partecipanti. Sullo schermo degli smartphone è apparsa la richiesta di connessione ad una Apple TV, ma lo scopo era dimostrare come può essere facilmente rubata una password.
Bastano solo 70 dollari per rubare una password
I partecipanti del DEF CON hanno visto sullo schermo un pop-up che invitava ad effettuare l’accesso con un Apple ID o a condividere una password con una Apple TV nelle vicinanze. L’autore era Jae Bochs che su Mastodon ha spiegato gli obiettivi dello scherzo: ricordare agli utenti di disattivare realmente il Bluetooth e farsi una risata.
Il ricercatore aveva nascosto nel suo zaino un dispositivo (visibile nel video) realizzato con un Raspberry Pi Zero 2 W, due antenne, un adattatore Bluetooth compatibile con Linux e una batteria portatile. Il costo totale (batteria esclusa) è circa 70 dollari. Apple usa il protocollo BLE (Bluetooth Low Energy) per le “azioni di prossimità”, ovvero quando due iPhone o un iPhone e un Mac sono molto vicini. Ma il segnale emesso dal dispositivo di Bochs raggiunge i 15 metri di distanza.
Gli iPhone ricevono un “advertising packet” che simula la richiesta di connessione alla Apple TV. In questo caso non è stato raccolto nessun dato, ma un malintenzionato potrebbe sfruttare la vulnerabilità (nota dal 2019) per rubare password, Apple ID e altre informazioni. I pacchetti non richiedono il pairing, quindi la loro ricezione non viene bloccata disattivando il Bluetooth dal Control Center (come si vede nel video). Gli utenti devono disattivare il Bluetooth nelle impostazioni di iOS.
Ti potrebbe interessare
18 ago 2023