Veiligheidslek in Bluetooth treft apparaten tot tien jaar terug
Bluetooth wordt vandaag de dag voor heel wat toepassingen gebruikt. Of je nu een paar draadloze oortjes wil gebruiken of je telefoon wilt verbinden met je Windows-pc: de draadloze communicatietechnologie is schering in inslag. De technologie gaat al meerdere jaren mee, maar is niet zonder fouten.
Dat blijkt uit een paper van EUROCOM’s Daniele Antonioli: de onderzoeker ontdekte een kwetsbaarheid in het bluetoothprotocol. De kwetsbaarheid maakt het mogelijk om een zogenaamde man-in-the-middleaanval uit te voeren op apparaten. Aan de oorzaak van het veiligheidsprobleem ligt te zwakke encryptie.
Bluetooth 4.2 tot 5.4
Of liever gezegd: de mogelijkheid om zwakke encryptie af te dwingen. Het veiligheidslek kan uitgebuit worden door hackers die zich in de buurt van bluetoothverbindingen begeven. Zodra de aanvaller in bereik is van twee verbonden apparaten, kan die zich als het ware ‘tussen’ die verbinding plaatsen. De aanvaller ‘spooft’ daarvoor een van de verbonden toestellen: hij maskeert zijn apparaat als een van jou. Daardoor zal een van de bluetoothapparaten er verbinding mee maken. Door daarna zwakkere encryptie af te dwingen, is het mogelijk de controle van de verbinding over te nemen.
De kwetsbaarheid staat te boek als CVE-2023-24023. Ze zit in alle bluetoothversies vanaf 4.2, en dus ook in de allernieuwste Bluetooth 5.4. Dat wil zeggen dat al je apparaten, ook die van tien jaar geleden, kwetsbaar zijn voor de exploit. Het veiligheidslek zit in de architectuur van het communicatieprotocol ingebakken, waardoor het niet waarschijnlijk is dat er een oplossing gevonden wordt. Daarvoor zal het protocol volledig opnieuw bekeken moeten worden.
Bluetooth SIG erkent het probleem en raadt apparaatmakers aan om hun bluetoothintegratie aan te passen: zwakkere encryptie zou niet meer toegestaan mogen worden. Gebruikers kunnen zich verder beschermen tegen het veiligheidslek door ‘Secure Connections’ te gebruiken. Dat is een functie die in het bluetoothprotocol zit om, zoals de naam suggereert, veiligere verbindingen te maken.
