Lagrange Point、Wi-Fiの電波を偽装してAppleのAirPods地域ロックを回避

2024年11月初旬、AppleのiOS 18.1アップデートでAirPods Pro 2の補聴器機能が有効になったとき、リトウィク・ジャヤシンハとその父親は、難聴の祖母のためにAirPods Pro 2を購入した。しかし購入から15分後、その機能が使えないことに気づいた。インドはAppleの対応国リストに含まれておらず、この除外は価格の面で痛手だった。インドでは専用の補聴器が通常5万ルピーから80万ルピーするのに対し、Appleは消費者向けイヤホンで最大60dBHLの難聴補正をうたっていた。

明白な回避策は失敗した。AppleのIPジオロケーションエンドポイントをプロキシ経由にすること、ストアの地域・ロケール・タイムゾーンを変更すること、さらにはXcodeのシミュレートされたCoreLocationでさえも機能はロックされたままで、証明書ピンニングが他の接続を妨げた。locationdとcountrydのバイナリを調べると理由が分かった。AppleのCLCountryTrackerはシミュレートされた位置情報を意図的にスキップし、コンソールログはデバイスが依然として米国内にないことを認識していることを示していた。

友人がある見落としていた経路を説明した。Wi-Fiのみ対応のiPadにはGPSもセルラーもないため、iOSは周囲のWi-Fi SSIDとMACアドレスから位置を推定する。3人組はオープンなWigleデータベースからメンロパークのビーコンデータを取得し、SkyliftプロジェクトをフォークしてESP32で約100個のカリフォルニアのSSIDを巡回させ、iPadをアルミホイルのファラデーケージで包み、キッチンの電子レンジ（2.4GHzの妨害電波源）を稼働させてベンガルールの実際のネットワークをかき消した。ケージ内で再起動すると、iPadの規制ドメインが米国に切り替わり、補聴器のセットアップが表示された。

一度有効化されると、フラグと聴力プロファイルはiCloud経由で同期されるため、機能は単一のデバイスではなく所有者のアカウントに付随して移動する。この集団は手法の全てを公開し、ベンガルールでの小規模なセッションでAirPodsのロック解除を提供し、さらなる電波・ネットワーク実験のためにケージをより頑丈な第2版として再構築した。

Wi-Fiのみ対応のデバイスは周囲のSSIDから自身の位置を特定するため、GPSではなく電波環境を変えることで「テレポート」させる

GPSもセルラーもないデバイスは周囲のWi-Fiビーコンから自身の位置を特定するため、それらのビーコンを偽装すれば、位置判定全体が信頼する唯一のセンサーを偽装できる。

Appleの強化された防御策——証明書ピンニングとlocationd内のシミュレート位置チェック——は、攻撃者が使うと想定される経路を保護するもので、Wi-Fi測位の経路は開いたままだった。

物理的な回避策は安価で再現可能だ。アルミホイル、段ボール、2.4GHzの電子レンジ、そしてオープンソースのビーコンデータを巡回するESP32。

有効化フラグは所有者のiCloudアカウントに乗るため、一度のロック解除が成功すればそれが定着し、テレポートを繰り返すことなく他のデバイスにも伝播する。

その見返りは努力に見合うものだった。インドでは専用補聴器が最大80万ルピーする中、AirPodsの経路は聴力補正を家電製品のような価格にした。

プラットフォームが機能を位置情報で制限している場合、実際にそのチェックに情報を供給しているセンサーを見つけ、そこでシミュレートせよ。明白な経路を偽装しても負けるが、周囲のWi-Fi電波環境を変えれば勝てる。

Wiredは同日にこの記事を掲載し、Hacker Newsのスレッドは591ポイントと193件のコメントを集め、著者らがハックに関する技術的な質問に答えた。このグループはインド全土から数十人が助けを求めて連絡してきたと述べ、より頑丈な第2のケージを使ったロック解除セッションを計画した。すべての再現が成功したわけではなく、一部の読者はAirPodsが最後に接続した地域を保持していたことに気づいた。著者らはAppleがこの抜け穴を塞ぐ可能性があると予想したが、当時Appleはコメントしなかった。この一件はまた、この集団に電波・ネットワーク研究のために再利用する予定のファラデーケージを残した。