Протокол AirDrop позволяет обмениваться фото и видео, контактами, документами и пр. Apple защитила эту функцию шифрованием Transport Layer Security (TLS). Оно подразумевает передачу данных по особому каналу, для доступа к информации нужен секретный ключ. Причем TLS сочетает симметричное и несимметричное шифрование — используется то один ключ для шифровки и расшифровки, то два ключа. TLS присутствует на огромном количестве сайтов и считается надёжным, но все относительно.
Пекинское муниципальное бюро юстиции придумало способ обойти шифрование протокола и раскрыть идентификационную информацию. Логи iPhone проанализировали и собрали так называемую радужную таблицу, с помощью которой удалось перевести скрытые хэш-значения в оригинальный текст. Радужная таблица — база данных для взлома хэша пароля. Это предварительно вычисленный словарь паролей и соответствующих им хэш-значений. Он позволяет узнать, какой пароль выдает определенный хэш.
Таким образом чиновники смогли соотнести номера телефонов и учетные записи электронной почты отправителей контента по AirDrop. Полиция успела обнаружить нескольких подозреваемых, которые использовали AirDrop для распространения незаконного контента. Власти уверены, что новый способ получения данных предотвратит распространение «неуместных высказываний, а также потенциальное дурное влияние».
Apple уже предупреждали о несовершенстве защиты AirDrop. В 2021 году немецкие исследователи из Технического университета Дармштадта обнаружили, что злоумышленники могут узнать номера телефонов и адреса электронной почты пользователей AirDrop. Apple использует хэш-функции для сокрытия телефонных номеров и адресов электронной почты при запуске AirDrop. Но хэширование не может гарантировать сохранение конфиденциальности при обнаружении контактов (что и показал случай в Китае). Ученые сообщали об этой дыре купертиновцам, но, очевидно, компания ничего не исправила.
У AirDrop в Китае своя история. Apple ограничила использование функции в стране в конце 2022 года, когда антиправительственные активисты передавали листовки по AirDrop. Ее разрешили только для контактов, а для всех пользователей AirDrop включался только на 10 минут. Но с версией iOS 16.2 эти ограничения ввели для пользователей по всему миру для сокращения количества спама, который рассылают в местах скопления людей. Не исключено, что в Китае уязвимость останется в угоду полиции. Ситуация 2022 года показала, что власти умеют оказывать влияние на Apple при необходимости.