【2023-12-08 01:17:01爱思瑞网快讯】
一位研究人员发现一种方法，可以在您连接到蓝牙魔术键盘的情况下，在您的Mac、iPad或iPhone上未经许可输入类型文字。
能够通过无线方式连接键盘是蓝牙的巨大优点，但蓝牙从来都不是最安全的技术。现在，研究人员马克·纽林（Marc Newlin）揭示了一种新的漏洞，它易于影响macOS、iOS和iPadOS用户。
纽林表示，他一直在研究并报告macOS和iOS中未经身份验证的蓝牙按键注入漏洞。他在一篇博客文章中写道：“到目前为止，我仍然认为蓝牙还可以，但苹果安全的幻象开始褪色。”
他继续说道：“当我在Linux和Android中发现类似的按键注入漏洞时，它开始看起来不像是实现错误，而更像是协议缺陷。”他继续说：“在阅读了一些蓝牙HID规范后，我发现它实际上是两者都存在的问题。”
纽林在8月份向苹果和谷歌报告了这个漏洞。苹果尚未回复。
根据纽林的说法，“这些漏洞通过欺骗蓝牙主机状态机而使其与虚假键盘配对，而无需用户确认。”
他继续说道：“未经身份验证的配对机制在蓝牙规范中定义，并且特定于实现的错误使其暴露给攻击者。”
进行攻击并不需要太多。纽林说，只需要一台Linux设备和任何配备蓝牙适配器的硬件。
这意味着一旦黑客伪造了魔术键盘和Mac之间的蓝牙连接，他们可以随意输入按键。当然，他们无法执行需要用户验证的操作，如密码或Touch ID验证，但他们可以启动应用程序、阅读消息和下载文件。
如何保护自己免受未经身份验证的蓝牙按键注入
目前，在macOS或iOS中还没有修复这个漏洞，尽管研究人员在8月份向苹果报告了这个漏洞。如果您担心类似于Linux的中间人攻击，最简单的保护措施是关闭蓝牙。
另外，可以在打开蓝牙的情况下使用有线键盘，前提是没有任何魔术键盘配对。
另外，密切注意会引起用户的警觉，如果由于注入而弹出用户身份验证对话框，请确定其目的。
按键不是隐形的，按键注入操作应该对用户可见。
