Peringatan Keamanan: Kerentanan Kritis Ditemukan di AirDrop dan Quick Share yang Mempengaruhi Miliaran Perangkat

Peringatan untuk Konektivitas Nirkabel

Dalam sebuah penemuan mengejutkan dari komunitas keamanan siber, para peneliti telah menemukan celah keamanan yang signifikan dalam dua protokol berbagi file nirkabel paling populer di dunia: AirDrop milik Apple dan Quick Share milik Android. Kerentanan ini, yang ditemukan oleh para ahli di CISPA Helmholtz Center for Information Security, berpotensi mengekspos hingga lima miliar perangkat aktif terhadap serangan yang ditargetkan.

Penelitian menunjukkan bahwa peretas dapat mengeksploitasi celah ini dari jarak hingga 30 meter (sekitar 98,4 kaki), mengubah fitur yang nyaman menjadi potensi pintu masuk untuk gangguan. Meskipun kedua sistem menggunakan protokol yang berbeda, para peneliti menemukan kegagalan arsitektur yang umum: pengorbanan keamanan yang ketat demi pengalaman pengguna yang mulus.

Memahami Celah Teknis

Baik AirDrop maupun Quick Share beroperasi sebagai layanan latar belakang dengan hak istimewa tinggi. Keduanya dirancang untuk 'bangun' dan membangun koneksi dengan cepat ketika perangkat yang kompatibel memasuki area tersebut.

Pilihan desain ini menciptakan celah peluang bagi penyerang.

Eksploitasi Apple AirDrop

Pada iOS dan macOS, kerentanan ini menargetkan daemon latar belakang yang mengelola serangkaian fitur kontinuitas, termasuk AirDrop, AirPlay, Handoff, Continuity Camera, dan clipboard universal. Para peneliti menemukan bahwa satu 'permintaan yang salah format' yang dikirim ke layanan ini dapat menyebabkan seluruh sistem mengalami crash. Jika penyerang berulang kali mengirimkan permintaan berbahaya ini, mereka dapat secara efektif mengunci fitur-fitur penting ini, menyandera fungsionalitas perangkat pengguna.

Eksploitasi Android Quick Share

Kerentanan di Quick Share diidentifikasi selama pengujian antara Samsung Galaxy S23 Ultra dan klien Quick Share Windows. Para peneliti menemukan 'bypass logika' yang memungkinkan penyerang untuk melewati langkah-langkah otentikasi penting.

Hal ini memungkinkan pelaku jahat untuk memaksa koneksi, mempertahankannya, dan memasukkan alamat yang disediakan penyerang ke server, melewati jabat tangan keamanan yang dimaksudkan.

Penilaian Risiko: Apa yang Dipertaruhkan?

Kesamaan antara kedua platform yang berbeda ini adalah kegagalan untuk menegakkan invariant yang penting bagi keamanan di batas layanan. Pada dasarnya, proses latar belakang terpapar permintaan eksternal sebelum identitas pengirim sepenuhnya diverifikasi.

Untungnya, penelitian saat ini menunjukkan bahwa eksploitasi ini tidak dirancang untuk mencuri data pribadi atau menginstal spyware. Sebaliknya, ini terutama merupakan serangan 'Denial of Service' (DoS). Ini berarti risiko utamanya adalah hilangnya fungsionalitas; peretas dapat mencegah Anda menggunakan fitur berbagi file atau kontinuitas selama mereka tetap berada dalam jangkauan.

Meskipun bukan pelanggaran data, serangan semacam itu dapat sangat mengganggu alur kerja profesional atau menyebabkan frustrasi yang signifikan di ruang publik.

Cara Melindungi Perangkat Anda

Meskipun Apple dan Google sedang mengerjakan perbaikan komprehensif—dengan beberapa di antaranya telah diluncurkan untuk klien tertentu—pengguna tidak boleh hanya mengandalkan pembaruan perangkat lunak. Menerapkan pendekatan 'Zero Trust' untuk berbagi nirkabel adalah pertahanan terbaik.

Untuk Pengguna iPhone dan Mac:

• Buka Pengaturan > Umum > AirDrop.
• Ubah pengaturan dari 'Semua Orang' menjadi 'Hanya Kontak' atau matikan penerimaan sepenuhnya saat tidak digunakan.

Untuk Pengguna Android:

• Buka pengaturan Berbagi Cepat.
• Temukan opsi 'Siapa yang dapat berbagi dengan Anda'.
• Atur ini ke 'Kontak' atau 'Perangkat Anda' untuk memastikan orang asing tidak dapat memulai koneksi paksa.

Terakhir, saran terpenting tetap sama: perbarui sistem operasi Anda. Baik Apple maupun Google sering merilis patch keamanan, dan memastikan Anda menggunakan versi iOS atau Android terbaru adalah cara paling efektif untuk menutup celah keamanan ini.