Lagrange Point contornou o bloqueio regional dos AirPods da Apple falsificando o ar Wi-Fi

Quando a atualização do iOS 18.1 da Apple ativou os recursos de aparelho auditivo para os AirPods Pro 2 no início de novembro de 2024, Rithwik Jayasimha e seu pai compraram um par para sua avó com deficiência auditiva — e quinze minutos após a compra descobriram que o recurso não estava disponível. A Índia não estava na lista de países compatíveis da Apple, e a omissão doía por causa do preço: aparelhos auditivos dedicados na Índia costumam custar de ₹50.000 a ₹800.000, enquanto a Apple anunciava a correção de perda auditiva de até 60 dBHL em um fone de ouvido de consumo.

Os contornos óbvios falharam. Fazer proxy do endpoint de geolocalização por IP da Apple, mudar a região da loja, o locale e o fuso horário, e até o CoreLocation simulado do Xcode deixaram o recurso bloqueado, e o certificate pinning quebrou outras conexões. Extrair os binários locationd e countryd mostrou o porquê: o CLCountryTracker da Apple ignora deliberadamente a localização simulada, e os logs do console mostravam que o dispositivo ainda sabia que não estava nos EUA.

Um amigo explicou o canal que lhes faltava: um iPad somente Wi-Fi não tem GPS nem celular, então o iOS infere a localização a partir dos SSIDs e endereços MAC de Wi-Fi ao redor. O trio extraiu dados de beacons de Menlo Park do banco de dados aberto Wigle, fez um fork do projeto Skylift para que um ESP32 ciclasse cerca de 100 SSIDs da Califórnia, envolveu o iPad em uma gaiola de Faraday de papel-alumínio e ligou um micro-ondas de cozinha — um jammer de 2,4 GHz — para abafar as redes reais de Bengaluru. Após reiniciar dentro da gaiola, o domínio regulatório do iPad mudou para os EUA e a configuração do aparelho auditivo apareceu.

Uma vez ativado, o sinalizador e o perfil auditivo são sincronizados via iCloud, então o recurso acompanha a conta do proprietário em vez de um único dispositivo. O coletivo publicou o método completo, ofereceu-se para desbloquear AirPods em pequenas sessões em Bengaluru e reconstruiu a gaiola em uma segunda versão mais robusta para novos experimentos de rádio e rede.

Um dispositivo somente Wi-Fi se localiza a partir dos SSIDs ao redor, então teletransporte-o mudando o ar, não o GPS

Um dispositivo sem GPS nem celular se localiza a partir dos beacons de Wi-Fi ao redor, então falsificar esses beacons falsifica o único sensor em que toda a decisão de localização confia.

As defesas reforçadas da Apple — certificate pinning e uma verificação de localização simulada dentro do locationd — protegem os canais que se espera que um atacante use, deixando aberto o canal de posicionamento por Wi-Fi.

O contorno físico é barato e reproduzível: papel-alumínio, papelão, um micro-ondas de 2,4 GHz e um ESP32 ciclando dados de beacons de código aberto.

Como o sinalizador ativado acompanha a conta iCloud do proprietário, um desbloqueio bem-sucedido persiste e se propaga para seus outros dispositivos sem repetir o teletransporte.

O prêmio justificava o esforço: com aparelhos dedicados custando até ₹800.000 na Índia, a rota dos AirPods precificava a correção auditiva como eletrônica de consumo.

Quando uma plataforma restringe um recurso por localização, encontre o sensor que de fato alimenta a verificação e simule ali: falsificar os canais óbvios perde, mudar o ar Wi-Fi ao redor vence.

A Wired publicou a história no mesmo dia, e a thread no Hacker News alcançou 591 pontos e 193 comentários enquanto os autores respondiam a perguntas técnicas sobre o hack. O grupo disse que dezenas de pessoas em toda a Índia os contataram pedindo ajuda e planejaram sessões de desbloqueio usando uma segunda gaiola mais robusta. Nem toda replicação teve sucesso — alguns leitores descobriram que os AirPods mantinham a última região conectada — e os autores esperavam que a Apple pudesse fechar a brecha, embora a Apple não tenha se pronunciado na época. O episódio também deixou o coletivo com uma gaiola de Faraday que planejavam reutilizar para pesquisa de rádio e rede.