Cyberthreat.id – Peneliti keamanan menemukan kerentanan pada fitur “Find My Apple” yang dapat mengekspose histori lokasi pengguna.

Dikutip dari The Hacker News, temuan itu berdasarkan tinjauan oleh proyek Open Wireless Link (OWL). Melibatkan tim peneliti dari Secure Mobile Networking Lab di Technical University of Darmstadt, Jerman, temuan ini membongkar ekosistem nirkabel Apple dan mengidentifikasi adanya masalah keamanan dan privasi [PDF].

Temuan yang dipublikasikan pada 3 Maret lalu itu mengungkap dua cacat desain dan implementasi berbeda dalam sistem pelacakan lokasi berbasis Bluetooth crowdsourced Apple yang dapat menyebabkan serangan terkait lokasi dan akses tidak sah ke riwayat lokasi selama tujuh hari terakhir, yang berdampak pada masalah keamanan dan privasi.

Seperti diketahui, perangkat Apple memiliki fitur bernama Find My yang memudahkan pengguna untuk menemukan lokasi perangkat Apple lainnya, termasuk iPhone, iPad, iPod touch, Apple Watch, Mac, atau AirPods.

Di situsnya, Apple mengatakan Find My "memudahkan untuk menemukan perangkat Apple Anda dan tetap terhubung dengan teman dan keluarga. Ini berfungsi di iPhone, iPad, dan Mac - bahkan jika perangkat Anda yang hilang sedang offline. Dan privasi Anda dilindungi setiap saat."

Untuk itu, pemilik perangkat harus terlebih dahulu menyinkronkan lokasi semua perangkat yang digunakan lewat iCloud Find My.  Data lokasi itu kemudian disimpan di iCloud.

Saat salah satu perangkatnya hilang atau lupa ditaruh di mana, pengguna bisa mencarinya lewat salah satu atau lebih perangkat lain. Apple nantinya akan memunculkan peta lokasi di mana letak perangkat yang hilang itu.

Terbaru, Find My Apple ini kabarnya akan dihubungkan dengan AirTags, alat pelacakan mini berbasis Bluetooth yang sedang dirancang Apple, yang nantinya bisa ditempel di suatu barang seperti kunci atau dompet, sehingga dapat dilacak lokasinya jika sewaktu-waktu hilang.

Diketahui, pelacakan berbasis Bluetooth hanya bisa menjangkau jarak pendek. Namun, berdasarkan laporan Macrumors.com, Apple akan membuatnya bisa ditemukan dari jarak jauh. Kemungkinan ini bisa dilakukan karena Apple mengintegrasikannya dengan Find My yang data lokasinya disimpan di iCloud.

Yang menarik dari temuan peneliti itu, adalah teknologi yang dipakai untuk Find My, yang memungkinkan perangkat bisa ditemukan meskipun sedang offline. Disebut penemuan offline dan diperkenalkan pada 2019, fitur pelacakan lokasi menyiarkan sinyal Bluetooth Low Energy (BLE) dari perangkat Apple, memungkinkan perangkat Apple lain yang berada pada jarak dekat, untuk menyampaikan lokasi mereka ke server Apple.

Dengan kata lain, pemuatan offline (offline loading) mengubah setiap perangkat seluler menjadi suar pemancar sinyal yang dirancang secara eksplisit untuk membayangi pergerakannya dengan memanfaatkan mekanisme pelacakan lokasi yang bersumber dari lebih dari satu perangkat yang terenkripsi dan anonim dari ujung ke ujung, sehingga tidak ada pihak ketiga, termasuk Apple, yang dapat melakukannya. mendekripsi lokasi tersebut dan membuat riwayat keberadaan setiap pengguna.

Itu dilakukan menggunakan skema Rotating Key (pengiriman secara bergantian dari public key dan privat key) yang memanfaatkan sepasang public key dan private key yang dibuat oleh setiap perangkat, untuk memancarkan sinyal Bluetooth dengan menyandikan public key. Informasi kunci ini kemudian disinkronkan melalui iCloud dengan semua perangkat Apple lainnya yang ditautkan ke pengguna yang sama (dideteksi berdasarkan ID Apple).

Nantinya, iPhone atau iPad terdekat (tanpa koneksi ke perangkat offline asli) yang mengambil pesan ini memeriksa lokasinya sendiri, lalu mengenkripsi informasi menggunakan public key yang disebutkan di atas sebelum mengirimnya ke cloud bersama dengan sandi hash dari public key.

Apple kemudian akan mengirimkan lokasi terenkripsi dari perangkat yang hilang ini ke perangkat Apple kedua yang masuk dengan ID Apple yang sama, dari mana pemilik dapat menggunakan aplikasi Find My untuk mendekripsi laporan menggunakan privat key yang sesuai dan mengambil lokasi terakhir yang terlacak, dengan perangkat pendamping mengunggah hash yang sama dari kunci publik untuk menemukan kecocokan di server Apple.

Karena pendekatan ini mengikuti pengaturan enkripsi kunci publik (PKE), bahkan Apple tidak dapat mendekripsi lokasi karena tidak memiliki private key. Meskipun perusahaan belum secara eksplisit mengungkapkan seberapa sering Rotate Key ini digunakan, arsitektur pasangan kunci ini menyulitkan penyerang untuk mengeksploitasi suar Bluetooth untuk melacak pergerakan pengguna.

Tetapi para peneliti OWL mengatakan bahwa desain tersebut memungkinkan Apple untuk menghubungkan lokasi pemilik yang berbeda jika lokasi mereka dilaporkan oleh perangkat pencari yang sama, sehingga memungkinkan Apple untuk membangun apa yang mereka sebut grafik sosial, merujuk pada pemetaan global manusia dan bagaimana mereka saling terhubung.

Masalahnya, data lokasi terakhir yang terdeteksi itu dapat dicuri oleh pihak ketiga menggunakan aplikasi jahat (malware) yang disusupkan ke perangkat Apple.  

"Lembaga penegak hukum dapat mengeksploitasi masalah ini untuk tidak menyebutkan nama peserta demonstrasi (politik) bahkan ketika peserta menyetel ponsel mereka dalam mode penerbangan. Aplikasi jahat dapat mengambil dan mendekripsi laporan lokasi terakhir [temuan offline] setidaknya data tujuh hari terakhir untuk semua perangkat mereka yang disimpann dalam cache di sitem file dalam cleartext," kata peneliti.

Dengan kata lain, kerentanan macOS Catalina (CVE-2020-9986) dapat memungkinkan penyerang mengakses kunci dekripsi, menggunakannya untuk mengunduh dan mendekripsi laporan lokasi yang dikirimkan oleh jaringan Find My Apple, dan pada akhirnya menemukan dan mengidentifikasi korbannya dengan akurasi tinggi.

Tim peneliti telah melaporkan kasus ini ke Apple. Menanggapi laporan itu, Apple dikatakan telah menangani sebagian masalah tersebut.

Di situs webnya, Apple menyebut kerentanan itu telah diperbarui pada macOS Catalina versi 10.15.7 pada November 2020.  Dijelaskan, lantaran aplikasi malicious mungkin dapat membaca informasi lokasi sensitif,"masalah ini telah diatasi dengan pembatasan akses yang ditingkatkan."

Namun begitu, hasil kedua dari penyelidikan adalah aplikasi yang dirancang untuk memungkinkan setiap pengguna membuat "AirTag." Disebut OpenHaystack, kerangka kerja ini memungkinkan untuk melacak perangkat pribadi menggunakan sinyal Bluetooth melalui jaringan Find My Apple yang besar, memungkinkan pengguna membuat tag pelacakan mereka sendiri yang dapat ditambahkan ke objek fisik atau diintegrasikan ke perangkat berkemampuan Bluetooth lainnya.

Ini bukan pertama kalinya peneliti dari Open Wireless Link (OWL) menemukan kekurangan dalam protokol sumber tertutup Apple melalui reverse engineering. Sebelumnya pada 2019 lalu, para peneliti juga menemukan kerentanan dalam protokol jaringan mesh Wireless Direct Link (AWDL) milik Apple yang memungkinkan penyerang melacak pengguna, merusak perangkat, dan bahkan mencegat file yang ditransfer antar perangkat melalui serangan man-in-the-middle (MitM).[]