Condividere una foto o un documento con un telefono vicino è un gesto automatico per milioni di persone in tutto il mondo. Proprio questa naturalezza, però, nasconde un rischio che pochi avevano considerato fino ad oggi.
Un team di ricercatori del CISPA Helmholtz Center for Information Security ha infatti individuato una serie di vulnerabilità che coinvolgono sia AirDrop, il sistema di trasferimento file di Apple, sia Quick Share, l’equivalente sviluppato da Google per l’ecosistema Android.
Insieme, questi due strumenti sono installati su oltre cinque miliardi di dispositivi attivi, rendendo così la scoperta particolarmente rilevante su scala globale.
Segui TuttoAndroid su Google Discover
Qual è il problema?
Ciò che rende questa vulnerabilità così insidiosa è la facilità con cui può essere sfruttata. Il malintenzionato non ha infatti bisogno di toccare fisicamente lo smartphone della vittima, non deve inviare alcun link di phishing e non deve nemmeno condividere la stessa rete Wi-Fi. È sufficiente trovarsi entro un raggio di circa trenta metri, muniti di un normale computer portatile, per avviare l’attacco.
Gli studiosi hanno analizzato nel dettaglio l’architettura di entrambe le piattaforme per capire come gestiscono le connessioni wireless, scoprendo che questi servizi restano costantemente attivi in background con privilegi elevati, pronti a rispondere non appena rilevano un altro dispositivo nelle vicinanze. Una scelta progettuale che è pensata per garantire un’esperienza d’uso fluida e immediata, ma che si è rivelata anche il punto debole del sistema.
I casi di Apple e Android
Nel caso di Apple, il problema riguarda un processo che governa contemporaneamente diverse funzioni della Continuity, tra cui AirDrop, AirPlay, Handoff, Universal Clipboard e Continuity Camera. Secondo quanto scoperto dai ricercatori, basta inviare una singola richiesta per mandare in crash l’intero servizio. Ripetendo questa operazione a intervalli regolari, un aggressore può tenere bloccate tutte queste funzionalità in modo pressoché permanente, impedendo al proprietario del dispositivo di utilizzarle normalmente.
Anche Android non se la passa meglio. Testando un Samsung Galaxy S23 Ultra insieme al client Quick Share per Windows realizzato da Google, il team ha individuato falle logiche capaci di scavalcare interamente i passaggi di autenticazione previsti per verificare l’identità di chi invia un file. Sul client Windows è stato inoltre rilevato un bug di corruzione della memoria, un tipo di vulnerabilità potenzialmente più grave.
Un aspetto che ha colpito particolarmente i ricercatori è che Apple e Google, pur non condividendo praticamente nessuna riga di codice tra i due sistemi, sono caduti nello stesso errore concettuale, che è quello di esporre processi complessi in background prima ancora di aver verificato chi stia effettivamente cercando di comunicare con il dispositivo.
C’è il rischio di blocco del servizio
Tutto ciò premesso, è molto importante chiarire la natura reale del pericolo, che non è un attacco pensato per sottrarre silenziosamente foto o informazioni personali dal telefono della vittima, quanto per favorire un fastidioso blocco del servizio, una sorta di negazione forzata della funzione di condivisione.
Le due aziende si sono già mosse per correggere il problema. Apple ha risolto uno dei tre bug individuati in AirDrop tramite un aggiornamento recente, mentre Google ha rilasciato una patch per il proprio client Windows. Restano invece ancora aperte le altre vulnerabilità, compresi i bypass individuati sui dispositivi Samsung, per i quali gli sviluppatori stanno ancora lavorando nell’ambito di un processo di divulgazione coordinata con i ricercatori.
In attesa che tutte le patch vengano completate e distribuite, gli esperti raccomandano di non restare passivi. Gli utenti più esposti sono quelli che hanno impostato la ricezione dei file su “Tutti“, con una configurazione che permette a chiunque si trovi nelle vicinanze di inviare richieste al dispositivo. La soluzione più semplice ed efficace consiste nell’andare subito nelle impostazioni generali dell’iPhone oppure nel menu di Quick Share su Android e modificare la visibilità impostandola su “Solo contatti“, oppure disattivare del tutto la ricezione dei file quando la funzione non è necessaria.