Zagrożenia prywatności AirDrop i Nearby Share: Co musisz wiedzieć

Jedziesz zatłoczonym tramwajem w Warszawie. Telefon wibruje powiadomieniem: ktoś w pobliżu chce Ci wysłać plik. Nie prosiłeś o to. Nie wiesz, kto to wysłał. Ale ta osoba już zna Twoje imię.

To rzeczywistość funkcji udostępniania zbliżeniowego jak AirDrop Apple'a i Nearby Share Google'a (teraz Quick Share). Są niezwykle wygodne do dzielenia się zdjęciami z przyjaciółmi, ale z domyślnymi ustawieniami zamieniają Twój telefon w billboard nadający Twoją tożsamość każdemu w zasięgu Bluetooth.

Jak działają AirDrop i Nearby Share

Obie funkcje łączą Bluetooth i Wi-Fi do wykrywania pobliskich urządzeń i przesyłania plików bezpośrednio, bez internetu.

AirDrop (Apple)

• Używa Bluetooth Low Energy (BLE) do wykrywania pobliskich urządzeń Apple
• Ustanawia połączenie Wi-Fi peer-to-peer do właściwego transferu
• Gdy ustawiony na „Wszyscy", Twoja nazwa urządzenia (często „iPhone Jana") jest widoczna dla wszystkich urządzeń Apple w zasięgu ~10 metrów

Nearby Share / Quick Share (Android/Google)

• Używa BLE, Wi-Fi Direct i NFC
• Gdy widoczność ustawiona na „Wszyscy", Twoja nazwa urządzenia i dane profilu Google mogą być ujawnione

Zagrożenia prywatności

1. Ujawnienie prawdziwego imienia

Gdy AirDrop ustawiony jest na „Wszyscy", obcy w pobliżu widzą nazwę Twojego urządzenia. Większość ludzi nigdy nie zmienia domyślnej, którą jest zazwyczaj „iPhone [Imię]."

2. Niechciane i nieodpowiednie treści

Nękanie przez AirDrop stało się udokumentowanym zjawiskiem, szczególnie w komunikacji miejskiej. Ludzie otrzymują niechciane zdjęcia od anonimowych nadawców. W Wielkiej Brytanii „cyber flashing" przez AirDrop został uznany za przestępstwo.

3. Śledzenie i inwigilacja

Badacze z TU Darmstadt odkryli w 2021 roku, że mechanizm wykrywania urządzeń AirDrop mógł być wykorzystywany do śledzenia osób.

4. Złośliwe dostarczanie plików

Atakujący mogą wykorzystywać udostępnianie zbliżeniowe do dostarczania linków phishingowych, złośliwych profili konfiguracyjnych czy ataków socjotechnicznych.

Jak bezpiecznie skonfigurować AirDrop

iPhone / iPad

1. Otwórz Ustawienia > Ogólne > AirDrop
2. Wybierz „Odbieranie wyłączone" lub „Tylko kontakty"
3. Zmień nazwę urządzenia: Ustawienia > Ogólne > To urządzenie > Nazwa

Android (Quick Share / Nearby Share)

1. Otwórz Ustawienia > Google > Urządzenia i udostępnianie > Quick Share
2. Ustaw widoczność na „Twoje urządzenia" lub „Kontakty"
3. Zmień nazwę urządzenia na taką, która nie ujawnia Twojej tożsamości

Kiedy udostępnianie zbliżeniowe nie jest właściwym narzędziem

AirDrop i Quick Share świetnie nadają się do udostępniania plików osobom stojącym obok. Ale są sytuacje, gdy nie są właściwym wyborem:

Udostępnianie osobom, którym nie w pełni ufasz. Na konferencji czy spotkaniu udostępnianie zbliżeniowe ujawnia nazwę Twojego urządzenia.

Udostępnianie wrażliwych treści. Hasła, prywatne dokumenty, osobiste zdjęcia. Jeśli przez pomyłkę trafią do niewłaściwej osoby, nie ma możliwości ich odwołania.

Dla takich sytuacji link chroniony hasłem to lepszy wybór. Serwisy jak LOCK.PUB pozwalają zabezpieczyć dowolny URL, notatkę lub plik hasłem. Udostępniasz link dowolnym kanałem, a tylko osoba z hasłem może uzyskać dostęp. Brak ujawnionych nazw urządzeń, brak przypadkowych wysyłek, a link można ustawić na wygaśnięcie.

Budowanie lepszych nawyków udostępniania

1. Trzymaj udostępnianie zbliżeniowe na „Tylko kontakty" domyślnie.
2. Zmień nazwę urządzenia. „iPhone" jest lepsze niż „iPhone Anny Kowalskiej."
3. Nigdy nie akceptuj plików od nieznanych nadawców.
4. Dla wrażliwych treści użyj chronionej metody udostępniania. Link chroniony hasłem przez LOCK.PUB daje kontrolę bez ujawniania urządzenia czy tożsamości.
5. Aktualizuj system operacyjny. Apple i Google regularnie łatają luki w udostępnianiu zbliżeniowym.

Podsumowanie

AirDrop i Quick Share to świetne narzędzia między zaufanymi urządzeniami. Problem w tym, że większość ludzi zostawia je otwarte, nadając swoje imiona i akceptując połączenia od każdego.

Poświęć dwie minuty na sprawdzenie ustawień. Zmień nazwę urządzenia. Ustaw wykrywanie na „Tylko kontakty." A do udostępniania czegokolwiek ważnego rozważ, czy link chroniony hasłem na LOCK.PUB nie byłby bezpieczniejszym wyborem niż nadawanie w eter.

Twój telefon nie powinien przedstawiać Cię obcym bez Twojej zgody.