Lagrange Point eludió el bloqueo regional de los AirPods de Apple falsificando el aire Wi-Fi

Cuando la actualización de iOS 18.1 de Apple activó las funciones de audífono para los AirPods Pro 2 a principios de noviembre de 2024, Rithwik Jayasimha y su padre compraron un par para su abuela, que tiene dificultades auditivas, y quince minutos después de la compra descubrieron que la función no aparecía. La India no figuraba en la lista de países compatibles de Apple, y la omisión dolía por el precio: los audífonos dedicados en la India suelen costar entre ₹50.000 y ₹800.000, mientras que Apple anunciaba la corrección de pérdida auditiva de hasta 60 dBHL en un auricular de consumo.

Los rodeos obvios fracasaron. Hacer proxy del endpoint de geolocalización por IP de Apple, cambiar la región de la tienda, la configuración regional y la zona horaria, e incluso el CoreLocation simulado de Xcode dejaban la función bloqueada, y el certificate pinning rompía otras conexiones. Extraer los binarios locationd y countryd mostró por qué: el CLCountryTracker de Apple omite deliberadamente la ubicación simulada, y los registros de la consola mostraban que el dispositivo seguía sabiendo que no estaba en EE. UU.

Un amigo les explicó el canal que se les escapaba: un iPad solo Wi-Fi no tiene GPS ni celular, así que iOS infiere la ubicación a partir de los SSID y las direcciones MAC de Wi-Fi que lo rodean. El trío extrajo datos de balizas de Menlo Park de la base de datos abierta Wigle, bifurcó el proyecto Skylift para que un ESP32 ciclara unos 100 SSID de California, envolvió el iPad en una jaula de Faraday de papel de aluminio y puso en marcha un microondas de cocina —un inhibidor de 2,4 GHz— para ahogar las redes reales de Bengaluru. Tras un reinicio dentro de la jaula, el dominio regulatorio del iPad cambió a EE. UU. y apareció la configuración del audífono.

Una vez activada, la marca y el perfil auditivo se sincronizan mediante iCloud, de modo que la función viaja con la cuenta del propietario y no con el dispositivo individual. El colectivo publicó el método completo, se ofreció a desbloquear AirPods en pequeñas sesiones en Bengaluru y reconstruyó la jaula en una segunda versión más robusta para seguir con experimentos de radio y red.

Un dispositivo solo Wi-Fi se localiza a partir de los SSID del entorno, así que teletranspórtalo cambiando el aire, no el GPS

Un dispositivo sin GPS ni celular se localiza a partir de las balizas Wi-Fi del entorno, así que falsificar esas balizas falsifica el único sensor en el que confía toda la decisión de ubicación.

Las defensas reforzadas de Apple —el certificate pinning y una comprobación de ubicación simulada dentro de locationd— protegen los canales que se espera que use un atacante, dejando abierto el canal de posicionamiento por Wi-Fi.

El rodeo físico es barato y reproducible: papel de aluminio, cartón, un microondas de 2,4 GHz y un ESP32 que cicla datos de balizas de código abierto.

Como la marca activada viaja en la cuenta de iCloud del propietario, un desbloqueo exitoso persiste y se propaga a sus otros dispositivos sin repetir el teletransporte.

El premio justificaba el esfuerzo: con audífonos dedicados que cuestan hasta ₹800.000 en la India, la vía de los AirPods ponía precio de electrónica de consumo a la corrección auditiva.

Cuando una plataforma restringe una función por ubicación, encuentra el sensor que realmente alimenta la comprobación y simula ahí: falsificar los canales obvios pierde, cambiar el aire Wi-Fi del entorno gana.

Wired publicó la historia ese mismo día, y el hilo de Hacker News alcanzó 591 puntos y 193 comentarios mientras los autores respondían preguntas técnicas sobre el hackeo. El grupo dijo que decenas de personas de toda la India se pusieron en contacto con ellos para pedir ayuda y planearon sesiones de desbloqueo con una segunda jaula más robusta. No todas las réplicas tuvieron éxito —algunos lectores descubrieron que los AirPods conservaban la última región conectada— y los autores esperaban que Apple pudiera cerrar la laguna, aunque Apple no hizo comentarios en ese momento. El episodio también dejó al colectivo con una jaula de Faraday que pensaban reutilizar para investigación de radio y red.