neprihlásený Piatok, 22. októbra 2021, dnes má meniny Sergej
Priamo v Bluetooth protokole bezpečnostná zraniteľnosť, prichádzajú aktualizácie

Značky: bezpečnosťBluetoothkryptografia

DSL.sk, 24.7.2018


V pondelok bola oznámená najmä svojou principiálnou povahou jedna z najzávažnejších bezpečnostných zraniteľností posledného obdobia, keď táto zraniteľnosť vyplýva priamo z príslušného štandardu, konkrétne Bluetooth.

Zraniteľnosť sa nachádza v štandarde pre technológie párovania Bluetooth zariadení v oboch verziách Secure Simple Pairing aj LE Secure Connections, upozornila organizácia Bluetooth SIG zodpovedná za štandard.

Bluetooth zariadenia sa párujú pomocou kryptografického protokolu ECDH, teda verzie Diffie-Helllmanovho algoritmu s eliptickými krivkami. Pomocou tohto protokolu si párované zariadenia bezpečne dohodnú spoločný kľúč následne používaný na šifrovanie komunikácie, pričom ECDH využíva výmenu verejných kľúčov zariadení.

Zatiaľ nie sú k dispozícii kompletné technické informácie, podľa oznámenia Bluetooth štandard ale chybne nevyžaduje povinné overenie vymieňaných verejných kľúčov. Iba ho odporúča.

Ak kľúče ale nie sú overené, umožňuje to útok typu MiTM, man-in-the-middle, po ktorom bude útočník schopný dešifrovať alebo falšovať komunikáciu medzi zariadeniami. Útok je ale technicky náročný a vyžaduje, aby útočník modifikoval proces párovania, bol schopný prijímať signál od oboch párovaných zariadení a zároveň ho blokoval pre druhé zariadenie.

V každom prípade evidentne veľký počet implementácií verejný kľúč skutočne neoveroval a podľa tohto oznámenia CERT.org sú zraniteľné minimálne implementácie od veľkých výrobcov Bluetooth čipov Broadcom, Qualcomm aj od Apple a Intelu. Riešenia Microsoftu zraniteľné byť nemajú, stav u ďalších produktov nie je jasný.

V súčasnosti sa objavujú prvé aktualizácie opravujúce problém, pričom sa dajú očakávať aktualizácie zrejme pre vysoký počet počítačových a mobilných zariadení. Je samozrejme tiež otázne, či sa zraniteľnosť bude dať opraviť u úplne všetkých zariadení, najmä rozličných menších špecializovaných zariadení komunikujúcich cez Bluetooth. Pre úspešný útok je ale podľa Bluetooth SIG potrebné aby boli zraniteľné obe párované zariadenia, aktualizácia počítačového zariadenia s ktorým sa takéto zariadenia párujú by tak mala byť dostatočná.

Okrem aktualizácii prišlo samozrejme aj k oprave špecifikácie Bluetooth štandardu.


      Zdieľaj na Twitteri



Najnovšie články:

Problémy s výkonom Windows 11 na AMD CPU opravené
Antik pokryl rodinné domy v Prešove gigabitovým pripojením
Boeing poletí do vesmíru s posádkou možno až v 2023
Panasonic ukončí v Česku výrobu TV
Raspberry Pi prvýkrát zdražuje
Orange dá 8 dní na paušáloch neobmedzené dáta, iba s novou viazanosťou
Solárne panely na sonde k asteroidom zostali čiastočne neroztvorené
ARM procesorov sa dodalo už 200 miliárd
NASA obnovila komunikáciu s misiami na Marse
Android 12 dostupný pre prvé smartfóny


Diskusia:
                               
 

Ak mám mobil Microsoft, záleží aj na Bluetooth čipe, či je systém zraniteľný alebo nie? Z článku to nie je celkom jasné.
Odpovedať Známka: 2.0 Hodnotiť:
 

Z pohladu bezpecnosti pri Microsofte uz nezalezi priekazne na nicom.
Odpovedať Známka: 5.7 Hodnotiť:
 

áno
Odpovedať Hodnotiť:
 

Yes exactly.
Odpovedať Hodnotiť:
 

vyzaduje to aktualizaciu ovladacu alebo staci nejaka aktualizacia od tvorcu OS?
Odpovedať Hodnotiť:
 

okrem treble su myslim ovladace sucastou os...

pozeral by som po alternativnej rom radsej...
Odpovedať Hodnotiť:
 

no ved preto sa pytam, ze ci je potrebne aktualizovat BT ovladac alebo staci aktualizovat tu systemovu appku co sa stara o bluetooth sparovania a pod.

a na pc - win, linux to je ako?
Odpovedať Hodnotiť:
 

Zalezi co je napisane v changelogu.
Odpovedať Hodnotiť:
 

ehm, a ako IoT zariadenie komunikujuce cez BT, ktore nepotreuje internet sa vobec moze aktualizaovat a vobec overovat cokolvek ?
Odpovedať Hodnotiť:
 

Aktualizujes ho manualne, ak pre neho vysla aktualizacia. Alebo si ho nechas zranitelne.
Pokial ho parujes s inym zariadenim, ktore aktualizovat mozes, tak si oka. Pokial parujes 2 zariadenia, ktore obe nie je mozne aktualizovat, tak cez ne proste neprenasaj citlive data. Tvoja meteo stanica nikoho netrapi a nesposobi ti ziadnu vyraznu skodu, ak niektop odchyti, ze je vonku 30 stupnov, alebo ak posle do tvojho prijmaca zlu info, ze je vonku -5. A vzhladom na narocnost utoku, zrejme by to nikto ani nerobil, len aby poplietol tvoj teplomer.
Ak to mas na prenos kritickych alebo citlivych udajov, tak budes musiet vymenit zariadenia.
Odpovedať Známka: 10.0 Hodnotiť:
 

Len dúfať, že číňan vydá aktualizáciu na môj 10€ OBD II adaptér ELM 327, inak ma môže ktokoľvek s príslušným zariadením v blízkosti auta počas párovania hacknúť!!! :-( Soma zvedavý, ako sa k tomu postavia výrobcovia všetkých tých handsfree, reprákov a androidných smartfónov, na ktoré už po roku nie je žiadny update... ešteže BT má obmedzený dosah a útok je tak nepravdepodobný a priekazne ťažko realizovateľný.
Odpovedať Hodnotiť:
 

Sa bojis, ze ti niekto vynuluje pamat zavad skor, ako si ju precitas?
Odpovedať Hodnotiť:
 

jak po Fukushime...."a máme my vôbec chránené naše jadrové elektrárne pred útokom obrích zmutovaných protomedúz vyzbrojených hypersonickými megakanónmi???"
Odpovedať Známka: 10.0 Hodnotiť:
 

Odbornikom je samozrejme uz z faktu, ze neutocia, odpoved, rovnako ako obrím zmutovaným protomedúzam, priekazne jasna.
Odpovedať Známka: 10.0 Hodnotiť:
 

Hellmanovi ste dali do priezviska 3L, opravte si to ;-)
Odpovedať Hodnotiť:

Pridať komentár