AppleInsider ได้รับการสนับสนุนจากผู้ชมและอาจได้รับค่าคอมมิชชั่นในฐานะผู้ร่วมงานของ Amazon และพันธมิตรในเครือจากการซื้อที่เข้าเงื่อนไข พันธมิตรพันธมิตรเหล่านี้ไม่มีอิทธิพลต่อเนื้อหาด้านบรรณาธิการของเรา
ช่องโหว่ใน iOS ที่ใช้ HomeKit เป็นเวกเตอร์โจมตีที่เกี่ยวข้องกับชื่ออุปกรณ์ที่ยาวมาก ได้รับการเปิดเผยหลังจากนักวิจัยเปิดเผยต่อ Apple ในเดือนสิงหาคม 2021
เช่นเดียวกับผลิตภัณฑ์อื่นๆ , Apple กระตือรือร้นที่จะรักษา HomeKit ให้ปลอดภัยที่สุดสำหรับผู้ใช้ ในการเปิดเผยข้อมูลที่เผยแพร่เมื่อวันที่ 1 มกราคม ดูเหมือนว่ามีข้อบกพร่องในแพลตฟอร์มบ้านอัจฉริยะที่อาจทำให้เกิดปัญหากับผู้ใช้ได้
ตามการรักษาความปลอดภัย นักวิจัย Trevor Spiniolas หากชื่ออุปกรณ์ HomeKit เปลี่ยนเป็น”ยาวมาก”string”ซึ่งตั้งไว้ที่ 500,000 อักขระในการทดสอบ อุปกรณ์ iOS และ iPadOS ที่โหลดสตริงนั้นสามารถรีบูตและทำให้ใช้งานไม่ได้ นอกจากนี้ เนื่องจากชื่อถูกจัดเก็บไว้ใน iCloud และได้รับการอัปเดตในอุปกรณ์ iOS อื่น ๆ ทั้งหมดที่ลงชื่อเข้าใช้บัญชีเดียวกัน ข้อบกพร่องจึงสามารถปรากฏขึ้นซ้ำแล้วซ้ำอีก
Spiniolas เรียก จุดบกพร่อง“doorLock”และอ้างว่ามีผลกับ iOS ทุกเวอร์ชันจาก iOS 14.7 ต่อไปภายใต้การทดสอบแม้ว่าจะมีแนวโน้มที่จะมีอยู่ใน iOS 14 เวอร์ชันทั้งหมดด้วย
นอกจากนี้ แม้ว่าการอัปเดตใน iOS 15.0 หรือ 15.1 จะจำกัดความยาวของชื่อที่แอปหรือผู้ใช้ตั้งค่าได้ แต่ iOS เวอร์ชันก่อนหน้าก็ยังอัปเดตได้อยู่ หากจุดบกพร่องถูกทริกเกอร์ในเวอร์ชัน iOS โดยไม่มีขีดจำกัดและแชร์ข้อมูล HomeKit อุปกรณ์ทั้งหมดที่แชร์ข้อมูลด้วยจะได้รับผลกระทบเช่นกัน โดยไม่คำนึงถึงเวอร์ชัน
มีสองสถานการณ์ที่อาจเกิดขึ้น โดยอุปกรณ์ที่ไม่ได้เปิดใช้งานอุปกรณ์ Home ในศูนย์ควบคุมโดยพบว่าแอป Home ใช้งานไม่ได้และเกิดข้อขัดข้อง การรีบูตหรือการอัปเดตจะไม่ช่วยแก้ปัญหา และอุปกรณ์ที่กู้คืนจะทำให้ Home ใช้งานไม่ได้อีกครั้งหากลงชื่อเข้าใช้บัญชี iCloud เดียวกัน
สำหรับ iPhone และ iPad ที่เปิดใช้งานอุปกรณ์ Home ในศูนย์ควบคุม ซึ่งเป็นการตั้งค่าเริ่มต้นเมื่อผู้ใช้สามารถเข้าถึงอุปกรณ์ HomeKit ได้ ตัว iOS เองจะไม่ตอบสนอง อินพุตล่าช้าหรือถูกละเว้น โดยอุปกรณ์ไม่ตอบสนองและจะรีบูตเป็นครั้งคราว
การรีบูตหรืออัปเดตอุปกรณ์จะช่วยแก้ไข ในสถานการณ์เช่นนี้ และการเข้าถึง USB ที่หยุดชะงักโดยพื้นฐานแล้วบังคับให้ผู้ใช้กู้คืนอุปกรณ์ของตนและสูญเสียข้อมูลในเครื่องทั้งหมด อย่างไรก็ตาม การกู้คืนและลงชื่อเข้าใช้บัญชี iCloud เดียวกันจะทำให้เกิดจุดบกพร่องอีกครั้งด้วยเอฟเฟกต์แบบเดิม
Spiniolas เชื่อว่าปัญหาดังกล่าวสามารถนำมาใช้เพื่อจุดประสงค์ที่เป็นอันตรายได้ เช่น ผ่านแอปที่เข้าถึงข้อมูล Home ซึ่งเป็นการแนะนำจุดบกพร่องด้วยตัวเอง นอกจากนี้ยังเป็นไปได้ที่ผู้โจมตีจะส่งคำเชิญไปยัง Home ไปยังผู้ใช้รายอื่น แม้ว่าเป้าหมายจะไม่ได้เป็นเจ้าของอุปกรณ์ HomeKit ก็ตาม
วิธีหลีกเลี่ยงปัญหา
จากข้อมูลของผู้วิจัย คุณสามารถหลีกเลี่ยงสถานการณ์เลวร้ายทั้งสองนี้ได้โดยการปิดใช้งานอุปกรณ์โฮมในศูนย์ควบคุม ในการดำเนินการดังกล่าว ให้เปิดการตั้งค่าตามด้วยศูนย์ควบคุม จากนั้นตั้งค่าสลับสำหรับ”แสดงการควบคุมหน้าแรก”เป็นปิด
ผู้ใช้ควรระมัดระวังคำเชิญเข้าร่วมเครือข่ายภายในบ้านของผู้ใช้รายอื่น โดยเฉพาะอย่างยิ่งผู้ที่มาจากผู้ติดต่อที่ไม่รู้จัก
การแก้ไขที่ช้า
Spiniolas อ้างว่าได้รายงานข้อบกพร่องไปยัง Apple ในขั้นต้นเมื่อวันที่ 10 สิงหาคม โดย Apple กล่าวว่าได้วางแผนสำหรับการอัปเดตความปลอดภัยเพื่อแก้ไข ข้อบกพร่องที่จะออกภายในสิ้นปี 2564 อย่างไรก็ตาม Apple ถูกกล่าวหาว่าเปลี่ยนประมาณการในวันที่ 8 ธันวาคมเป็น”ต้นปี 2565″
การแก้ไขที่ล่าช้าทำให้ Spiniolas เตือน Apple ว่าจะมีการเปิดเผยจุดบกพร่องต่อสาธารณะในวันที่ 1 มกราคม พ.ศ. 2565
“ฉันเชื่อว่าจุดบกพร่องนี้กำลังได้รับการจัดการอย่างไม่เหมาะสมตามที่ปรากฏ ความเสี่ยงที่ร้ายแรงต่อผู้ใช้ และหลายเดือนผ่านไปโดยไม่มีการแก้ไขอย่างครอบคลุม”นักวิจัยเขียน”ประชาชนควรตระหนักถึงช่องโหว่นี้และวิธีป้องกันไม่ให้ถูกเอารัดเอาเปรียบ แทนที่จะถูกเก็บไว้ในความมืด”
