Menemukan nama asli pengguna macOS melalui brute force mDNS lewat browser

• Artikel ini mengeksplorasi teknik untuk mengetahui nama pengguna macOS tanpa izin.
• Teknik ini mencakup brute force terhadap daftar nama populer berdasarkan gender untuk mendeteksi nama pengguna.
• Protokol mDNS digunakan untuk mendaftarkan, menemukan, atau menyiarkan nama perangkat di jaringan lokal.
• Perangkat Apple mengekspos nama pengguna dalam nama host lokal, yang dapat dimanfaatkan oleh teknik brute force.
• Nama host dapat di-resolve dari browser melalui penghindaran timing.
• Nama host lokal default macOS mencakup nama pengguna dan nama perangkat.
• Serangan dapat menjadi lebih efisien dengan membatasi ruang pencarian pada satu lokal, satu perangkat, dan 50 nama paling umum di wilayah tersebut.
• Demo proof-of-concept berhasil memprediksi nama dalam 65% kasus.
• Serangan ini memiliki keterbatasan dan dapat dengan mudah terdeteksi di alat pengembang browser.
• Artikel ini mengeksplorasi batas privasi internet dan menyoroti potensi teknik pelanggaran privasi yang tidak konvensional.
• Teknik pemindaian mDNS dapat digunakan untuk mendeteksi perangkat di jaringan lokal, termasuk printer, smart TV, dan perangkat IoT.
• Teknik ini juga dapat diterapkan pada iPhone dan iPad tertentu dengan fitur tertentu yang diaktifkan.

[GN⁺]

Komentar Hacker News

• Artikelnya ditulis dengan baik, menarik, dan bernada tidak sensasional.
• Little Snitch disebut sebagai alat yang dapat memblokir permintaan jaringan dan memerlukan izin eksplisit.
• Secara default, alat seperti Little Snitch dapat secara diam-diam mengizinkan permintaan jaringan lokal.
• Artikel ini menjelaskan bagaimana browser dapat melakukan serangan brute force terhadap nama asli pengguna macOS dengan menggunakan mDNS.
• Artikel ini mudah diakses dan dipahami bahkan oleh orang yang tidak akrab dengan DNS atau JavaScript.
• Artikel ini menyoroti potensi risiko serangan timing dan pemindaian port melalui browser.
• Perbedaan waktu antara alamat yang valid dan tidak valid cukup mengejutkan.
• Pemilihan nama host macOS menimbulkan kekhawatiran soal privasi.
• Menonaktifkan JavaScript dapat memengaruhi pengalaman pengguna akhir.
• Artikel ini menyajikan proof of concept dan langkah-langkah untuk memancing penyerang.
• Para komentator memuji kualitas artikel ini dan mengusulkan cara-cara menyenangkan untuk mengerjai penyerang.
• Beberapa komentator menganggap pemilihan nama host perangkat di macOS sebagai fitur, bukan cacat.