AirDrop und Quick Share: Was Nutzer jetzt wissen sollten

Sicherheitsforscher des CISPA haben AirDrop und Quick Share genauer untersucht und dabei mehrere Schwachstellen gefunden. Die beiden Dienste sind für den schnellen Dateiaustausch in der Nähe gedacht: AirDrop zwischen Apple-Geräten, Quick Share auf Android, ChromeOS und Windows. Genau diese Nähe ist der entscheidende Punkt. Ein Angreifer müsste sich in Funkreichweite befinden, braucht laut Studie aber keine vorherige Kopplung mit dem Zielgerät.

Im Forschungspapier „Protocol Prying“ beschreiben Arash Ale Ebrahim und Nils Ole Tippenhauer insgesamt sechs Schwachstellen. Drei betreffen Apples AirDrop unter macOS und iOS, zwei die Quick-Share-Implementierung auf Samsung-Geräten und eine Quick Share für Windows. Die Forscher sprechen von Angriffen, die in bestimmten Situationen ohne Interaktion des Nutzers ausgelöst werden können.

Bei AirDrop geht es vor allem um Abstürze beziehungsweise Denial-of-Service-Angriffe: Präparierte AirDrop-Anfragen können den zuständigen Systemdienst etwa über unerwartete HTTP-Pfade, manipulierte Plist-Daten oder fehlerhafte HTTP-Verarbeitung zum Absturz bringen. Besonders relevant ist dabei die Einstellung „Für alle für 10 Minuten“. In diesem Modus ist AirDrop bewusst offener, damit auch fremde Geräte in der Nähe Dateien anbieten können. Genau in diesem Fenster ist die Angriffsfläche größer.

Angriff aus der Nähe

Die Forscher gehen von einer Reichweite von etwa 10 bis 30 Metern aus. Das klingt wenig, reicht in Bahn, Flughafen, Konferenz, Schule oder Café aber völlig aus. Auf Quick-Share-Seite fanden sie unter anderem Probleme bei Authentifizierung, Verschlüsselungsprüfung und der Windows-Version. Für eine Windows-Lücke erkannte Google den Bericht an und zahlte eine Prämie.

Zwischen Android und iOS lassen sich Dateien mittlerweile einfach lokal teilen.

Apple, Samsung und Google wurden über die Funde informiert. Laut Paper hat Apple die drei AirDrop-Meldungen bestätigt, Korrekturen seien in Arbeit. Samsung leitete zwei Quick-Share-Fälle an Google weiter, da die betroffenen Komponenten aus Googles Nearby- beziehungsweise Quick-Share-Stack stammen sollen.

Sichtbarkeit besser begrenzen

Für iPhone-Nutzer heißt das nicht, dass AirDrop sofort deaktiviert werden muss. Sinnvoll ist aber, die Sichtbarkeit nicht unnötig offen zu lassen. Wer AirDrop nicht aktiv nutzt, kann den Empfang ausschalten oder auf Kontakte beschränken. Die Einstellung „Für alle für 10 Minuten“ sollte nur dann aktiviert werden, wenn sie wirklich gebraucht wird.

Das Thema passt zu der Entwicklung, dass AirDrop und Quick Share zunehmend zusammenwachsen. Über die Annäherung zwischen AirDrop und Quick Share sowie den späteren Quick-Share-Ausbau hatten wir bereits berichtet. Die neue Studie zeigt nun die Kehrseite solcher Komfortfunktionen: Alles, was in der Nähe automatisch erreichbar ist, muss besonders sauber abgesichert sein.