iPhone 用户需注意：AirDrop 存在安全漏洞，可能泄露电话号码

隔空投送（AirDrop）是苹果推出的一项无线传输功能，用户可以利用该功能在不同的苹果设备之间快速传输照片、文件等。然而，达姆施塔特工业大学的研究人员最近发现，该功能用于查找和验证某人的过程可能会暴露用户的联系人信息，可能将用户 Apple 账号绑定的电话号码和电子邮箱泄露给附近的苹果设备。

苹果隔空投送有三种模式：关闭、仅联系人、所有人，系统默认选择为仅联系人。研究人员表示，隔空投送使用相互认证机制，该机制将用户的电话号码和电子邮件与其他用户的地址簿中的条目进行比较，而在此过程中，陌生人就可以破解验证的数据，从而拿到用户的电话号码和电子邮件。

具体影响有如下两个方面：

1.可能被黑客获取电话号码：

当用户启动 AirDrop 功能时，苹果会将用户电话号码、电子邮箱以加密形式传播到其 Wi-Fi 和蓝牙范围内，以检测附近可连接设备。如果用户与另一设备通过 AirDrop 匹配成功，双方将会交换电话和电子邮件信息的完整的加密散列（SHA-256 散列）。

这种加密散列虽然不会直接将个人信息公布出来，但黑客可以通过对加密散列进行计算，从而窃取用户个人信息。黑客可以在笔记本电脑上放置一份预先编译的电话号码散列清单，然后坐在公共场所附近，尝试建立 AirDrop 连接，被动或主动收集附近 iPhone 信息。

而电子邮件因没有预设长度，并且可以同时包含字母或数字，破解难度比电话号码高。但黑客也可以利用过去 20 年数据库漏洞中出现的数十亿个电子邮箱地址进行破解。

2.可能遭遇主动或被动攻击：

当黑客能够掌握苹果用户的个人信息后，这些信息可能被滥用与诈骗、钓鱼攻击或信息售卖等。

一种是最简单、最强大的被动攻击。攻击者只需要监控附近开启隔空投送的用户，就可以获得其电话号码、电子邮箱，而无需提前预知任何信息。

另一种是主动攻击。攻击者可以打开隔空投送，查看附近设备是否响应自己的连接请求。这种方式不如被动攻击强大，因为只有当攻击者的电话号码或电子邮箱已经在接收者的通讯录中时，才能发挥作用。

尤其需要注意的情况是，当攻击者是熟人时，这种有目的的攻击将非常有效。

苹果官方已知晓该问题的存在：

达姆施塔特技术大学研究人员表明，他们在 2019 年 5 月曾告知苹果他们发现的 AirDrop 漏洞。一年半后，他们向苹果赠送了重新设计的 AirDrop：“PrivateDrop”。该新设计使用私有集交叉点加密技术，允许双方在不展示加密散列的情况下发现联系人。PrivateDrop 目前可以在开源社区 GitHub 上公开获得。

但截至目前，苹果尚未说明它是否计划采用 PrivateDrop 或用其他方式修复漏洞问题。也就是当前每当有人打开隔空投送功能时，可能都会泄露电话号码和电子邮箱。

目前防止泄露的唯一方法是在系统设置菜单中将“隔空投送”功能的选项设置为“接收关闭”。希望苹果能尽快采取措施，保障用户隐私安全。在苹果彻底修复该问题之前，用户需要尽可能避免在公共场所使用 AirDrop。