Bluetooth is te vinden in bijna elke moderne gadget, daarom moet een nieuw ontdekte fout in het communicatieprotocol zeer serieus worden genomen.
Zoals ZDNet voor het eerst meldde, schetsten David Starobinski en Johannes Becker van de Boston University in een onderzoekspaper hoe smartphones, laptops en wearables kunnen worden gevolgd via een exploit in Bluetooth-technologie.
Volgens het document zit er een fout in de constant veranderende, gerandomiseerde MAC-adressen die zijn ontworpen om te voorkomen dat Bluetooth-apparaten worden gevolgd. Deze beveiligingsbenadering kan een kwaadwillende in de hand spelen, waardoor ze niet alleen een apparaat kunnen volgen, maar ook informatie kunnen krijgen over de identiteit en gebruikersactiviteit.
De kern van deze Bluetooth-fout is een probleem waarbij het identificeren van tokens en willekeurige MAC-adressen niet synchroon verandert, waardoor wat onderzoekers van Boston Unversity een "adresoverdrachtalgoritme" noemen, een apparaat continu kan volgen met behulp van een secundair "pseudo- identiteit."
"Het algoritme voor adresoverdracht maakt gebruik van de asynchrone aard van adres- en payloadwijzigingen en gebruikt ongewijzigde identificerende tokens in de payload om een nieuw binnenkomend willekeurig adres terug te traceren naar een bekend apparaat", staat in de krant. "Hierdoor neutraliseert het adresoverdracht-algoritme het doel van anonimiteit in omroepkanalen die zijn bedoeld door frequente adresrandomisatie."
MEER: Nieuwe kwetsbaarheid in Windows 10 kan hackers volledige toegang geven …
Misschien wel het meest angstaanjagende is dat dit algoritme geen ontsleuteling uitvoert en volledig gebaseerd is op openbaar, niet-versleuteld advertentieverkeer, aldus de krant. Ook zorgwekkend is dat de exploit is getest op de Bluetooth low-energy (BLE) -specificatie, die te vinden is in de nieuwste Bluetooth 5-standaard.
De exploit werkt vermoedelijk op Windows 10-, iOS- en macOS-apparaten, waaronder iPhones, Surface-apparaten en MacBooks. Android-apparaten adverteren hun verkeer op een heel andere manier (door te scannen op advertenties in de buurt; er is geen actieve, continue tracking) en zijn immuun voor de kwetsbaarheid.
Onderzoekers die de Bluetooth-fout ontdekten, somden verschillende regels op die getroffen apparaten zouden kunnen beschermen, waarvan de kern is om eventuele wijzigingen in de trackinginformatie te synchroniseren met wijzigingen in het MAC-adres van een apparaat. Bluetooth in- en uitschakelen op iOS- en macOS-apparaten (sorry Windows-gebruikers, dit zal je niet helpen) is een tijdelijke oplossing, maar het is aan de fabrikanten om een meer permanente oplossing uit te werken. De Bluetooth-exploitatie werd echter voor het eerst onthuld aan Microsoft en Apple in november 2022-2023, wat suggereert dat het geen hoge prioriteit heeft voor die bedrijven.
"Aangezien de acceptatie van Bluetooth naar verwachting zal groeien van 4,2 naar 5,2 miljard apparaten tussen 2022-2023 en 2022, waaronder meer dan een half miljard wearables en andere op data gerichte verbonden apparaten, is het van belang om tracking-resistente methoden in te voeren, vooral op niet-versleutelde communicatiekanalen. het allerbelangrijkste", staat in de krant.
Hoewel er geen bekende gevallen zijn genoemd, waarschuwen onderzoekers dat als de BLE-kwetsbaarheid niet wordt gecontroleerd, kwaadwillenden uiteindelijk aankooptransacties, gezichtsherkenning en andere gevoelige informatie kunnen combineren met trackinggegevens om een profiel van een blootgestelde gebruiker te creëren.
- Beste antivirus - Topsoftware voor pc, Mac en Android