Ερευνητές ανακάλυψαν σημαντικά κενά ασφαλείας στις συσκευές Tile που θα μπορούσαν να επιτρέψουν τόσο στην εταιρεία όσο και σε τεχνολογικά καταρτισμένα άτομα να παρακολουθούν τις τοποθεσίες των χρηστών.
Αυτές οι ευπάθειες προκύπτουν από δύο βασικές διαφορές μεταξύ των μέτρων ασφαλείας που χρησιμοποιούνται για τα AirTags και τα Τile tags.
Δείτε επίσης: Life360: Παραβίαση δεδομένων χιλιάδων χρηστών
Τα κενά αυτά θα μπορούσαν ενδεχομένως να εκμεταλλευτούν για να ενοχοποιήσουν ψευδώς έναν κάτοχο Tile για παρακολούθηση, κάνοντάς το να φαίνεται ότι το Tile tag του είναι συνεχώς κοντά σε κάποιο άλλο tag.
Τόσο τα AirTags όσο και τα Tile tags λειτουργούν παρόμοια, χρησιμοποιώντας Bluetooth για να μεταδώσουν την ταυτότητά τους σε κοντινά smartphones. Και τα δύο περιστρέφουν τους κωδικούς ταυτότητάς τους κάθε 15 λεπτά για να αποτρέψουν τη μόνιμη σύνδεση με ένα συγκεκριμένο tag.
Στην περίπτωση των AirTags, μόνο ο περιστρεφόμενος κωδικός ταυτότητας μεταδίδεται και όλες οι μεταδόσεις είναι κρυπτογραφημένες. Ωστόσο, οι ερευνητές διαπίστωσαν ότι τα Tile tags μεταδίδουν τόσο τον περιστρεφόμενο κωδικό ταυτότητας όσο και τη στατική διεύθυνση MAC τους και κανένα από τα δύο δεν είναι κρυπτογραφημένο, γεγονός που αποτελεί σημαντική ευπάθεια ασφαλείας.
Το Wired αναφέρει ότι οι ερευνητές από το Georgia Institute of Technology ανακάλυψαν ότι η διεύθυνση MAC μεταδίδεται μαζί με την ταυτότητα και σε αντίθεση με την ταυτότητα, οι διευθύνσεις MAC των Tile δεν αλλάζουν. Η τοποθεσία ενός tag, η διεύθυνση MAC του και η μοναδική ταυτότητά του αποστέλλονται χωρίς κρυπτογράφηση στους διακομιστές της Tile, όπου πιστεύεται ότι αυτές οι πληροφορίες αποθηκεύονται σε απλό κείμενο, επιτρέποντας στην Tile να παρακολουθεί την τοποθεσία των tags και των κατόχων τους, παρά τους ισχυρισμούς της εταιρείας για το αντίθετο.
Δείτε ακόμα: Το Find Hub για Android επιτρέπει παρακολούθηση μέσω UWB
Επιπλέον, οποιοσδήποτε με σαρωτή ραδιοσυχνοτήτων μπορεί να υποκλέψει αυτές τις πληροφορίες καθώς μεταδίδονται. Το πρόβλημα δεν θα λυνόταν ακόμα και αν η Tile σταματούσε να μεταδίδει τη διεύθυνση MAC, καθώς η μέθοδος που χρησιμοποιείται για τη δημιουργία του περιστρεφόμενου κωδικού ταυτότητας είναι ανασφαλής, επιτρέποντας την πρόβλεψη μελλοντικών κωδικών από προηγούμενους.
Η Tile προσφέρει κάποια προστασία παρόμοια με τα AirTags, επιτρέποντας στους χρήστες να ελέγχουν αν παρακολουθούνται από κάποιο άλλο tag. Ωστόσο, υπάρχει μια σημαντική ευπάθεια στην εφαρμογή της Tile. Όταν ένας κάτοχος tag ενεργοποιεί τη λειτουργία κατά της κλοπής για να κάνει το tag του αόρατο στους κλέφτες, αυτά τα tags γίνονται επίσης αόρατα στις σαρώσεις που προορίζονται για την ανίχνευση παρακολούθησης. Αυτό επιτρέπει σε έναν stalker να κρύψει το tag παρακολούθησής του τοποθετώντας το σε λειτουργία κατά της κλοπής.
Επιπλέον, ένας κακόβουλος παράγοντας θα μπορούσε να ενοχοποιήσει κάποιον ως stalker. Χρησιμοποιώντας μια κεραία ραδιοσυχνοτήτων για να συλλέξει μη κρυπτογραφημένες μεταδόσεις από το tag ενός άλλου χρήστη, ένας επιτιθέμενος μπορεί να εξάγει τη διεύθυνση MAC και τη μοναδική ταυτότητα και στη συνέχεια να μεταδώσει αυτές τις πληροφορίες από διαφορετική τοποθεσία. Αν ένας χρήστης πραγματοποιήσει σάρωση κατά της παρακολούθησης σε εκείνη την περιοχή, θα δει τη διεύθυνση MAC και τη μοναδική ταυτότητα, οι οποίες θα αποσταλούν στον διακομιστή της Tile, κάνοντάς το να φαίνεται ότι το tag ήταν κοντά στο άτομο που πραγματοποίησε τη σάρωση. Οι ερευνητές σημειώνουν ότι δεν υπάρχει τρόπος να καθοριστεί αν μια διεύθυνση MAC και μια μοναδική ταυτότητα εκπέμφθηκαν από μια νόμιμη συσκευή Tile ή αν αναπαράχθηκαν κακόβουλα.
Δείτε επίσης: Άνδρας βρήκε την κλεμμένη BMW του χάρη στο AirTag
Οι ερευνητές ασφαλείας ανέφεραν τα ευρήματά τους στη μητρική εταιρεία της Tile, Life360, τον Νοέμβριο του περασμένου έτους, αλλά η εταιρεία διέκοψε την επικοινωνία τον Φεβρουάριο του τρέχοντος έτους. Η Life360 δήλωσε ότι έχει κάνει αρκετές βελτιώσεις στην ασφάλειά της, αλλά δεν διευκρίνισε αν αυτές αντιμετώπισαν τα εντοπισμένα προβλήματα.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
