Lagrange Point contourne le verrouillage régional des AirPods d'Apple en falsifiant l'air Wi-Fi

Lorsque la mise à jour iOS 18.1 d'Apple a activé les fonctions d'aide auditive pour les AirPods Pro 2 au début du mois de novembre 2024, Rithwik Jayasimha et son père en ont acheté une paire pour sa grand-mère malentendante — et quinze minutes après l'achat, ils ont constaté que la fonction manquait. L'Inde ne figurait pas sur la liste des pays pris en charge par Apple, et cette omission était d'autant plus douloureuse qu'elle touchait au prix : les aides auditives dédiées en Inde coûtent couramment de 50 000 à 800 000 ₹, tandis qu'Apple annonçait une correction de la perte auditive jusqu'à 60 dBHL dans des écouteurs grand public.

Les contournements évidents ont échoué. Le proxy vers le point de terminaison de géolocalisation IP d'Apple, le changement de région du magasin, de paramètres régionaux et de fuseau horaire, et même le CoreLocation simulé de Xcode laissaient tous la fonction verrouillée, et l'épinglage de certificats bloquait les autres connexions. L'extraction des binaires locationd et countryd a montré pourquoi : le CLCountryTracker d'Apple ignore délibérément la localisation simulée, et les journaux de la console montraient que l'appareil savait toujours qu'il ne se trouvait pas aux États-Unis.

Un ami leur a expliqué le canal qui leur manquait : un iPad Wi-Fi seulement n'a ni GPS ni cellulaire, donc iOS déduit sa localisation à partir des SSID Wi-Fi et des adresses MAC environnants. Le trio a récupéré les données de balises de Menlo Park dans la base ouverte Wigle, a bifurqué le projet Skylift pour qu'un ESP32 fasse défiler environ 100 SSID californiens, a enveloppé l'iPad dans une cage de Faraday en papier d'aluminium et a fait tourner un micro-ondes de cuisine — un brouilleur 2,4 GHz — pour noyer les vrais réseaux de Bengaluru. Après un redémarrage à l'intérieur de la cage, le domaine réglementaire de l'iPad a basculé vers les États-Unis et la configuration de l'aide auditive est apparue.

Une fois activé, l'indicateur et le profil auditif se synchronisent via iCloud, de sorte que la fonction suit le compte du propriétaire plutôt que l'appareil unique. Le collectif a publié la méthode complète, proposé de débloquer des AirPods lors de petites sessions à Bengaluru, et reconstruit la cage dans une seconde version plus robuste pour d'autres expériences radio et réseau.

Un appareil Wi-Fi seulement se localise à partir des SSID ambiants ; il faut donc le téléporter en changeant l'air, pas le GPS

Un appareil sans GPS ni cellulaire se localise à partir des balises Wi-Fi ambiantes ; falsifier ces balises revient donc à falsifier le seul capteur auquel toute la décision de localisation fait confiance.

Les défenses renforcées d'Apple — l'épinglage de certificats et une vérification de localisation simulée au sein de locationd — protègent les canaux qu'un attaquant est censé utiliser, laissant ouvert le canal de positionnement Wi-Fi.

Le contournement physique est bon marché et reproductible : du papier d'aluminium, du carton, un micro-ondes 2,4 GHz et un ESP32 faisant défiler des données de balises open source.

Comme l'indicateur activé voyage avec le compte iCloud du propriétaire, un déblocage réussi persiste et se propage à ses autres appareils sans répéter la téléportation.

Le gain justifiait l'effort : les aides dédiées coûtant jusqu'à 800 000 ₹ en Inde, la voie des AirPods tarifait la correction auditive comme de l'électronique grand public.

Lorsqu'une plateforme conditionne une fonction à la localisation, il faut trouver le capteur qui alimente réellement la vérification et simuler à cet endroit : usurper les canaux évidents échoue, changer l'air Wi-Fi ambiant l'emporte.

Wired a publié l'article le jour même, et le fil Hacker News a recueilli 591 points et 193 commentaires, les auteurs répondant aux questions techniques sur le piratage. Le groupe a indiqué que des dizaines de personnes à travers l'Inde les avaient contactés pour obtenir de l'aide et prévoyait des sessions de déblocage à l'aide d'une seconde cage plus robuste. Toutes les reproductions n'ont pas réussi — certains lecteurs ont constaté que les AirPods conservaient la dernière région connectée — et les auteurs s'attendaient à ce qu'Apple puisse fermer la faille, bien qu'Apple n'ait pas commenté à l'époque. L'épisode a également laissé au collectif une cage de Faraday qu'il prévoyait de réutiliser pour des recherches radio et réseau.