Lagrange Point umging Apples AirPods-Regionssperre durch gefälschte Wi-Fi-Luft

Als Apples iOS-18.1-Update Anfang November 2024 die Hörgerätefunktionen für die AirPods Pro 2 aktivierte, kauften Rithwik Jayasimha und sein Vater ein Paar für seine schwerhörige Großmutter – und fünfzehn Minuten nach dem Kauf stellten sie fest, dass die Funktion fehlte. Indien stand nicht auf Apples Liste der unterstützten Länder, und das Versäumnis schmerzte wegen des Preises: Spezielle Hörgeräte kosten in Indien üblicherweise 50.000 bis 800.000 ₹, während Apple die Korrektur von Hörverlust bis zu 60 dBHL in einem Consumer-Ohrhörer bewarb.

Die naheliegenden Umgehungen scheiterten. Das Proxying von Apples IP-Geolokalisierungs-Endpunkt, das Ändern von Store-Region, Locale und Zeitzone und sogar Xcodes simuliertes CoreLocation ließen die Funktion gesperrt, und Certificate Pinning brach andere Verbindungen. Das Ziehen der Binärdateien von locationd und countryd zeigte, warum: Apples CLCountryTracker überspringt simulierten Standort absichtlich, und Konsolenprotokolle zeigten, dass das Gerät weiterhin wusste, dass es sich nicht in den USA befand.

Ein Freund erklärte ihnen den Kanal, den sie übersahen: Ein reines Wi-Fi-iPad hat kein GPS und kein Mobilfunk, daher leitet iOS den Standort aus den umliegenden Wi-Fi-SSIDs und MAC-Adressen ab. Das Trio holte Menlo-Park-Beacon-Daten aus der offenen Wigle-Datenbank, forkte das Skylift-Projekt, sodass ein ESP32 etwa 100 kalifornische SSIDs durchlief, wickelte das iPad in einen Faraday-Käfig aus Aluminiumfolie und betrieb eine Küchenmikrowelle – einen 2,4-GHz-Störsender –, um Bengalurus echte Netzwerke zu übertönen. Nach einem Neustart im Käfig sprang die Regulierungsdomäne des iPads auf die USA um, und die Hörgeräte-Einrichtung erschien.

Einmal aktiviert, synchronisieren sich das Flag und das Hörprofil über iCloud, sodass die Funktion mit dem Konto des Besitzers reist und nicht mit dem einzelnen Gerät. Das Kollektiv veröffentlichte die vollständige Methode, bot an, AirPods in kleinen Sitzungen in Bengaluru freizuschalten, und baute den Käfig in einer stabileren zweiten Version für weitere Funk- und Netzwerkexperimente neu.

Ein reines Wi-Fi-Gerät lokalisiert sich anhand umgebender SSIDs – also teleportiere es, indem du die Luft änderst, nicht das GPS

Ein Gerät ohne GPS und Mobilfunk lokalisiert sich anhand umgebender Wi-Fi-Beacons – wer diese Beacons fälscht, fälscht also den einen Sensor, dem die gesamte Standortentscheidung vertraut.

Apples gehärtete Abwehrmaßnahmen – Certificate Pinning und eine Prüfung auf simulierten Standort innerhalb von locationd – schützen die Kanäle, deren Nutzung ein Angreifer erwartungsgemäß versuchen würde, und lassen den Wi-Fi-Positionierungskanal offen.

Die physische Umgehung ist billig und reproduzierbar: Folie, Pappe, eine 2,4-GHz-Mikrowelle und ein ESP32, der Open-Source-Beacon-Daten durchläuft.

Weil das aktivierte Flag am iCloud-Konto des Besitzers hängt, bleibt eine erfolgreiche Freischaltung bestehen und verbreitet sich auf dessen andere Geräte, ohne die Teleportation zu wiederholen.

Der Preis rechtfertigte den Aufwand: Da spezielle Hörgeräte in Indien bis zu 800.000 ₹ kosten, bepreiste der AirPods-Weg die Hörkorrektur wie Unterhaltungselektronik.

Wenn eine Plattform eine Funktion per Standort sperrt, finde den Sensor, der die Prüfung tatsächlich speist, und simuliere dort: Das Spoofing der offensichtlichen Kanäle verliert, das Ändern der umgebenden Wi-Fi-Luft gewinnt.

Wired brachte die Geschichte am selben Tag, und der Hacker-News-Thread erreichte 591 Punkte und 193 Kommentare, während die Autoren technische Fragen zum Hack beantworteten. Die Gruppe erklärte, Dutzende Menschen in ganz Indien hätten sie um Hilfe kontaktiert, und plante Freischaltungs-Sitzungen mit einem zweiten, stabileren Käfig. Nicht jede Nachbildung gelang – einige Leser stellten fest, dass die AirPods die zuletzt verbundene Region beibehielten –, und die Autoren rechneten damit, dass Apple die Lücke schließen könnte, obwohl Apple sich damals nicht äußerte. Der Vorfall hinterließ dem Kollektiv außerdem einen Faraday-Käfig, den es für Funk- und Netzwerkforschung wiederverwenden wollte.