nRootTag - transformer des appareils Bluetooth en Apple AirTag sans privilèges root

• nRootTag est une nouvelle technique d’attaque qui permet à un attaquant distant de transformer l’appareil Bluetooth d’un utilisateur en pseudo Apple AirTag afin d’en suivre la position
• Elle peut être exécutée sans privilèges root et viser divers appareils, notamment des ordinateurs de bureau, smartphones et montres connectées
• À l’échelle mondiale, plus de 1,5 milliard d’iPhone peuvent ainsi servir de dispositifs de suivi gratuits pour l’attaquant

Aperçu de la recherche

• Le réseau « Localiser » d’Apple est le plus grand réseau mondial de suivi d’appareils, s’appuyant sur plus d’un milliard d’appareils Apple
• Les chercheurs ont analysé comment détourner ce réseau pour suivre des appareils Bluetooth
• nRootTag est une technique d’attaque qui transforme un ordinateur en « AirTag » traçable sans privilèges root
• Le taux de réussite de l’attaque dépasse 90 %, pour un coût de seulement quelques dollars
• L’utilisation de tables arc-en-ciel permet une recherche de clés immédiate et accélère le suivi
• La méthode fonctionne sur plusieurs systèmes d’exploitation, dont Linux, Windows et Android, et peut aussi suivre des appareils IoT

Fonctionnement du réseau Apple « Localiser » (Find My)

• Un AirTag partage avec l’appareil de son propriétaire des informations de clé publique et de clé privée
• Lorsqu’un AirTag est séparé de son propriétaire, il diffuse sa clé publique via des annonces BLE
• Les appareils Apple à proximité collectent ces informations, génèrent des rapports de position chiffrés, puis les envoient vers le cloud d’Apple
• Avec la bonne clé privée, il est possible de déchiffrer les données de position depuis le cloud d’Apple
• Les appareils Apple à proximité ne vérifient pas si le signal BLE émis provient réellement d’un appareil Apple

Principe de fonctionnement de nRootTag

• Une fois le code du cheval de Troie exécuté, il collecte l’adresse d’annonce de l’appareil et récupère depuis le serveur la clé publique correspondante
• L’appareil ciblé émet ensuite de faux signaux vers le réseau « Localiser » via des annonces BLE
• Le serveur utilise des tables arc-en-ciel pour retrouver les clés et déchiffrer les données de position depuis le cloud d’Apple
• Ce processus permet à l’attaquant de suivre la position de l’utilisateur

Benchmark GPU

• L’équipe de recherche a testé des GPU comme les RTX 3070, RTX 3080, RTX 4090, A100 et H100
• Le H100 a affiché la vitesse de génération de clés la plus élevée, mais en raison de son coût, la RTX 3080 a été jugée l’option la plus économique

Correctifs de sécurité et réponse

• Les chercheurs ont travaillé avec Apple pour signaler la faille de sécurité
• Apple a publié des correctifs de sécurité pour plusieurs systèmes, dont iOS 18.2, macOS Ventura 13.7.2 et Sonoma 14.7.2
• Toutefois, si un iPhone ou une Apple Watch non corrigé se trouve à proximité, l’attaque reste valable

Soutien à la recherche et remerciements

• Cette recherche a été soutenue par la National Science Foundation (NSF) des États-Unis et la Commonwealth Cyber Initiative (CCI)
• L’équipe sécurité d’Apple a réagi rapidement au signalement de la vulnérabilité, et les chercheurs lui ont exprimé leur gratitude