“Egy kijavíthatatlan Apple Watch sebezhetőség” – ezzel a címmel kezdett el terjedni tegnap egy olyan hír, amit aztán felkaptak az Apple-ös hírekkel foglalkozó oldalak, és már exploitként emlegetik a dolgot, miközben a klasszikus értelemben vett exploitokhoz az egésznek semmi köze, ráadásul az Apple szoftveresen könnyen orvosolhatja.

Egy exploit lényege, hogy a rendszer működésében talált hibát olyan módon használja ki valaki, hogy azzal az adott eszköz tervezője által nem várt viselkedést ér el. Jelen esetben ezzel szemben arról van szó, hogy a bőrkontaktust az ujjainkkal fenntartva le tudjuk szedni valakiről a jelkóddal zárolt Apple Watch-ot, és így használhatjuk az Apple Pay-t. Ez viszont nem minősül nem várt viselkedésnek – és mindez persze ez több szempontból sem életszerű, de lássuk, miért is.

Kezdjük elsőként az ominózus videóval:

Hogyan érzékeli az óra, hogy viseljük-e?

Az Apple Watch hátsó oldalán található érzékelő nem csak a pulzus mérését végzi, hanem az infravörös LED-jei segítségével azt is figyeli, hogy megvan-e a bőrkontaktus. Így amikor levesszük az órát a csuklónkról, az automatikusan le tud zárni, ezzel is növelve a biztonságot.

A lezárás nyilván csak akkor működik, ha előtte beállítottunk jelkódot az órán – és nyilván érdemes valami egyedi kódot megadni, nem pedig a semmire sem jó 1111, 1234, 0000 és hasonló, könnyen kitalálható kombinációkat használni. Sőt, az iPhone-on az Apple Watch appban kikapcsolható az egyszerű jelkód, és így már 4 számjegynél hosszabbat is megadhatunk. Mivel az óra csak akkor tesz OK gombot a számbillentyűzetre, ha 4 számjegynél hosszabb a kódunk, illetve 4 hibás számjegy beütése után rögtön megkapjuk a hibajelzést, hogy rossz kódot adtunk meg, így érdemes legalább 5 számjegyes kódot használni, mert az OK gomb miatt nem lehet már egyetlen próbálkozás után megtudni, hogy valójában milyen hosszú kódot is vár a készülék. Ez pedig tovább növeli a biztonságot.

Az “exploit”, ami valójában nem is exploit

A problémát az jelenti, hogy a kényelmi szempontokat figyelembe véve, az óra a csuklónkon való nem túl szoros elhelyezkedés miatt esetenként rövid időre elvesztheti a bőrkontaktust, ugyanakkor ilyenkor zavaró lenne, ha rögtön lezárna. Ezért van egy nagyjából 1 másodperces késleltetés (grace period), mielőtt az óra lezárna. Az Apple egyébként nem javasolja, hogy “lötyögősen” hordjuk az órát – bár azt sem, hogy túl szorosan. Ezt külön ábrával is illusztrálják az Apple Watch hordásáról szóló dokumentumban:

Az óra érzékelői a bőrkontaktust figyelik, de számukra mindegy, hogy az a csukló bőre, vagy valaki ujjai, amit gyorsan becsúsztat az óra és a csuklónk közé, elfedve ezzel az érzékelőket. Nyilván a legkevésbé sem életszerű, hogy valaki majd úgy csúsztatja be az ujjait a pontosan illeszkedő óránk és a csuklónk közé, hogy abból semmit se vegyünk észre. (Nyilván az ellen semmi sem véd, ha valaki eszméletlenre issza magát, és ráadásul korábban a bárban jól láthatóan az órájával, és így Apple Pay segítségével fizetett.)

Ha tehát sikerül valakinek úgy levenni az órát a csuklónkról, hogy csak annyi időre szűnjön meg a bőrkontaktus, amennyi adott esetben az óra viselése közben egyébként is előfordulna, úgy akkor lehetséges, hogy lezárás nélkül át tudja azt tenni a saját csuklójára, és így használhatja az Apple Pay-t is – no persze csak akkor, ha az egyébként be volt állítva. Mivel azonban az Apple Pay még nem érhető el hazai bankkártyával, így ez sem akkora veszély. (Ráadásul a lecsippantós fizetés biztonsági okokból általában 5000Ft-os értékhatárig működik csak PIN kód nélkül.)

Mi kell a megelőzéshez?

Ahogyan fentebb már szót ejtettünk róla: használjunk négy számjegynél hosszabb jelkódot, mert ilyenkor nem derül ki egyetlen hibás próbálkozásból, hogy valójában hány karaktert is várna az óra. Ezzel szemben négy számjegyesnél a negyedik szám beütése után azonnal érkezik a visszajelzés, hogy jó vagy rossz kódot adtunk-e meg.

Ne hordjuk túl lazán az órát, legyen kényelmes, de ne is túl szoros. Ilyenkor elég kicsi az esélye annak, hogy azt könnyen leszedhessék a kezünkről.

Az Apple Pay-hez az óra helyett használjuk az iPhone-t, hiszen ott az ujjlenyomat szükséges a jóváhagyáshoz. Igaz, ez csak az iPhone 6 és iPhone 6 Plus készülékek esetén lehetséges opció jelenleg, eltekintve attól, hogy megfelelő külföldi bankkártya is szükséges hozzá.

Végezetül pedig egy másik videó, ami jól vázolja az elterelés művészetét – ugyanakkor nem segít a bőrkontaktus megtartásában: