拉格朗日点用假Wi-Fi空气击败苹果AirPods区域锁

2024年11月上旬，苹果iOS 18.1更新为AirPods Pro 2启用了助听功能。Rithwik Jayasimha和父亲为听力不好的祖母买了一副——购买15分钟后发现该功能缺失。印度不在苹果支持国家列表中，而这一遗漏因价格问题令人心痛：印度专用助听器通常售价5万至80万卢比，而苹果宣传一款消费级耳塞可矫正高达60分贝的听力损失。

显而易见的绕过方法失败。代理苹果IP地理定位端点、更改商店区域、语言环境和时区，甚至Xcode模拟的CoreLocation都使功能保持锁定，证书固定破坏了其他连接。提取locationd和countryd二进制文件显示原因：苹果的CLCountryTracker有意跳过模拟位置，控制台日志显示设备仍知道自己不在美国。

一位朋友解释了他们遗漏的通道：仅Wi-Fi的iPad没有GPS或蜂窝网络，因此iOS根据周围的Wi-Fi SSID和MAC地址推断位置。三人从开放的Wigle数据库提取门洛帕克信标数据，分叉Skylift项目使ESP32循环播放约100个加利福尼亚SSID，将iPad包裹在铝箔法拉第笼中，并运行厨房微波炉——一个2.4GHz干扰器——淹没班加罗尔的真实网络。在笼内重启后，iPad的监管区域翻转为美国，助听设置出现。

一旦启用，该标志和听力档案通过iCloud同步，因此功能随所有者账户而非单一设备。该集体发布了完整方法，在班加罗尔的小型聚会上提供解锁AirPods服务，并重建了更结实的第二版笼子用于进一步的无线电和网络实验。

仅Wi-Fi设备通过周围SSID定位，因此通过改变空气而非GPS来传送设备。

没有GPS或蜂窝网络的设备通过周围Wi-Fi信标定位，因此伪造这些信标就伪造了位置决策所信任的传感器。

苹果的加固防御——证书固定和locationd内的模拟位置检查——保护了攻击者预期使用的通道，留下Wi-Fi定位通道开放。

物理方法便宜且可复制：锡箔、纸板、2.4GHz微波炉和循环播放开源信标数据的ESP32。

由于启用标志随所有者的iCloud账户，一次成功解锁就会保留并传播到他们的其他设备，无需重复传送。

回报值得付出的努力：在印度专用助听器高达80万卢比，而AirPods路线将听力矫正定价为消费电子产品。

当平台按位置限制功能时，找到实际参与检查的传感器并在那里模拟：欺骗明显的通道失败，而改变环境Wi-Fi空气胜出。

Wired当日报道了此事，Hacker News上引发了591分和193条评论，作者回答了关于该破解的技术问题。该小组表示，印度各地数十人联系他们寻求帮助，并计划使用更结实的第二版笼子举办解锁会议。并非所有复制都成功——一些读者发现AirPods保留了最后连接的地区——作者预计苹果可能封堵这一漏洞，但苹果当时未作评论。这次事件还给该集体留下了一个法拉第笼，他们计划在无线电和网络研究中使用。