iSniff GPS-tool legt privacyprobleem van Apple’s locatiedienst bloot

Security-onderzoeker Hubert Seiwert heeft een Python-tool gemaakt, waarmee je de locatie van iOS-apparaten kunt achterhalen. Daardoor ontstaan nieuwe zorgen over de privacy van Apple’s locatiediensten. Seiwert publiceerde zijn Python-tool op GitHub. In de omschrijving is te lezen dat iSniff GPS passief snuffelt naar SSID-probes, ARP’s en MDNS (Bonjour)-packets die zijn uitgezonden door iOS-apparaten in de omgeving. Met die data kun je een apparaat identificeren en daarna kijken op welke locaties het apparaat eerder is geweest. Daarbij wordt gebruik gemaakt van de locatie van eerder gebruikte Wi-Fi-netwerken.

iOS-apparaten zenden ARP’s (Address Resolution Protocol-pakketjes) uit, die soms MAC-adressen bevatten van de Wi-Fi-netwerken waarmee het apparaat eerder was verbonden. iSniff vangt die ARP’s op en stuurt de MAC-adressen naar Apple’s Wi-Fi-locatiedienst. Daarbij wordt de data vermomd, alsof het afkomstig is van een iOS-apparaat. Vervolgens kunnen de GPS-coördinaten worden achterhaald. Hubert Seiwert kan daardoor precies achterhalen waar iemand is geweest.

De Python-tool lijkt een onschuldige proof of concept, maar kan misbruikt worden om bijvoorbeeld iemands huisadres te achterhalen. De laatste keer dat Apple’s locatiediensten in het nieuws waren vanwege privacy was in 2011. Apple moest vragen van het Amerikaanse Huis van Afgevaardigden beantwoorden en de PR-machine van Apple draaide overuren om duidelijk te maken dat Apple je locatie écht niet vastlegt. Er was destijds een tooltje verkrijgbaar waarmee je je eigen locaties kon aflezen, terwijl Apple ondertussen bleef benadrukken dat ze gebruikers niet op slinkse wijze volgden.

In hetzelfde sloot Google de API voor Wi-Fi-locatiediensten af voor Android-apparaten, toen een soortgelijk privacyprobleem ontstond. Het is bij Google nu een stuk moeilijker geworden om op basis van MAC-adres een locatie te achterhalen. Apple besloot in 2010 de locatiediensten van Google en Skyhook niet meer te gebruiken, omdat de voorkeur werd gegeven aan een eigen locatiedatabase.