라그랑주 포인트, 가짜 Wi-Fi 전파로 애플 에어팟 지역 잠금 우회

2024년 11월 초 애플의 iOS 18.1 업데이트가 에어팟 프로 2의 보청기 기능을 켰을 때, 리트윅 자야심하와 그의 아버지는 난청이 있는 할머니를 위해 한 켤레를 구매했지만, 구매한 지 15분 만에 해당 기능이 없다는 것을 발견했다. 인도는 애플의 지원 국가 목록에 없었고, 이 누락은 가격 때문에 더욱 뼈아팠다. 인도에서 전용 보청기는 흔히 5만 루피에서 80만 루피에 이르는 반면, 애플은 소비자용 이어버드로 최대 60dBHL의 청력 손실 교정을 광고했기 때문이다.

뻔한 우회 방법들은 실패했다. 애플의 IP 지오로케이션 엔드포인트를 프록시하고, 스토어 지역과 로캘, 시간대를 바꾸고, 심지어 Xcode의 시뮬레이션된 CoreLocation까지 동원했지만 기능은 잠긴 채였고, 인증서 피닝 때문에 다른 연결은 끊겼다. locationd와 countryd 바이너리를 뜯어보니 이유가 드러났다. 애플의 CLCountryTracker는 의도적으로 시뮬레이션된 위치를 건너뛰었고, 콘솔 로그는 기기가 여전히 미국에 있지 않다는 것을 알고 있음을 보여주었다.

한 친구가 그들이 놓치고 있던 경로를 설명해 주었다. Wi-Fi 전용 아이패드는 GPS도 셀룰러도 없으므로, iOS는 주변의 Wi-Fi SSID와 MAC 주소로부터 위치를 추론한다. 세 사람은 공개 Wigle 데이터베이스에서 멘로파크 비콘 데이터를 가져왔고, ESP32가 약 100개의 캘리포니아 SSID를 순환하도록 Skylift 프로젝트를 포크했으며, 아이패드를 알루미늄 포일 패러데이 케이지로 감싸고 벵갈루루의 실제 네트워크를 덮어버리기 위해 주방용 전자레인지(2.4GHz 재머)를 돌렸다. 케이지 안에서 재부팅한 후, 아이패드의 규제 도메인은 미국으로 바뀌었고 보청기 설정이 나타났다.

일단 활성화되면 플래그와 청력 프로필이 iCloud를 통해 동기화되므로, 이 기능은 단일 기기가 아니라 소유자의 계정을 따라간다. 이 단체는 전체 방법을 공개했고, 벵갈루루에서 소규모 세션으로 에어팟 잠금 해제를 제공하겠다고 밝혔으며, 추가 무선 및 네트워크 실험을 위해 더 튼튼한 두 번째 버전으로 케이지를 다시 제작했다.

Wi-Fi 전용 기기는 주변 SSID로 스스로 위치를 파악하므로, GPS가 아니라 전파 환경을 바꿔서 순간이동시켜라

GPS도 셀룰러도 없는 기기는 주변 Wi-Fi 비콘으로 스스로 위치를 파악하므로, 그 비콘을 위조하면 전체 위치 판단이 신뢰하는 유일한 센서를 위조하는 셈이다.

애플의 강화된 방어책, 즉 인증서 피닝과 locationd 내부의 시뮬레이션 위치 검사는 공격자가 사용할 것으로 예상되는 경로를 보호하지만, Wi-Fi 측위 경로는 열린 채로 남겨둔다.

물리적 우회 방법은 저렴하고 재현 가능하다. 포일, 판지, 2.4GHz 전자레인지, 그리고 오픈소스 비콘 데이터를 순환하는 ESP32면 된다.

활성화 플래그가 소유자의 iCloud 계정을 타고 이동하기 때문에, 한 번의 성공적인 잠금 해제는 유지되며 순간이동을 반복하지 않고도 소유자의 다른 기기로 전파된다.

그 노력에 걸맞은 보상이 있었다. 인도에서 전용 보청기가 최대 80만 루피에 이르는 가운데, 에어팟 경로는 청력 교정을 소비자 전자제품처럼 가격을 매겼다.

플랫폼이 위치로 기능을 제한할 때는, 실제로 그 검사를 먹여 살리는 센서를 찾아 그곳에서 시뮬레이션하라. 뻔한 경로를 스푸핑하면 지고, 주변 Wi-Fi 전파 환경을 바꾸면 이긴다.

와이어드는 같은 날 이 이야기를 보도했고, 해커 뉴스 스레드는 작성자들이 해킹에 관한 기술적 질문에 답하면서 591점과 193개의 댓글을 기록했다. 이 단체는 인도 전역에서 수십 명이 도움을 요청해 왔다고 밝혔고, 더 튼튼한 두 번째 케이지를 사용한 잠금 해제 세션을 계획했다. 모든 재현이 성공한 것은 아니었다. 일부 독자들은 에어팟이 마지막으로 연결된 지역을 유지했다고 발견했으며, 작성자들은 애플이 이 허점을 막을 수 있을 것으로 예상했지만 당시 애플은 논평하지 않았다. 이 사건은 또한 이 단체에게 무선 및 네트워크 연구에 재사용할 계획인 패러데이 케이지를 남겨주었다.