Ernstig veiligheidsrisico ontdekt voor Tile-bluetoothtrackers
Trackers zoals die van Tile zijn erg handig om verloren items terug te vinden. Dat werkt steeds via bluetoothsignalen die worden opgepikt door de smartphones van andere Tile-gebruikers. Juist dat bluetoothsignaal zorgt echter voor kopzorgen bij Tile-trackers, blijkt uit onderzoek van het Georgia Institute of Technology. Dat laat het namelijk toe om Tile-trackers te ‘stalken’, luidt de conclusie (via Wired).
Onbeveiligd bluetoothsignaal
Concreet bevindt de kwetsbaarheid zich in de beveiliging van het bluetoothsignaal dat de Tile-trackers uitzenden, of anders gezegd: het gebrek daaraan. Iedere Tile-tracker stuurt onbeveiligd een MAC-adres uit, evenals een uniek ID. Potentiële stalkers zouden deze gegevens kunnen opvangen met bluetoothbeacons en radioantennes, waarmee ze vervolgens je exacte locatie in de gaten kunnen houden.
Misbruik van deze kwetsbaarheid heeft flink wat voeten in de aarde: je moet namelijk een groot netwerk van ontvangers opzetten om de Tile-trackers in real time te volgen. Het is echter niet ondenkbaar dat kwaadwillenden dit zouden inzetten om bijvoorbeeld politici of andere high-profilefiguren te volgen, met alle gevaren voor hun veiligheid van dien.
ID’s makkelijk te ontcijferen
Minstens zo gevaarlijk is de wijze waarop Tile-trackers nieuwe ID’s genereren. De manier waarop Tile dit heeft opgezet, maakt het immers mogelijk om toekomstige ID’s te raden. De ID’s zouden de trackers juist minder vatbaar moeten maken voor stalking, maar het systeem erachter maakt dat juist mogelijk.
“Een aanvaller hoeft slechts één bericht van het apparaat op te nemen”, melden de onderzoekers. Kortom: als een kwaadwillende eenmaal het signaal van je tracker heeft opgevangen, kan die de ID’s blijven raden en zo de locatie in de gaten houden.
Zelfs Tile en moederbedrijf Life360 lijken over die mogelijkheid te beschikken. De onderzoekers stellen dat de trackers namelijk de MAC-adressen en unieke ID’s versturen naar de servers van Life360. Dat zou bovendien gebeuren in platte tekst, waardoor het bedrijf potentieel de locatie van de tags, en dus zijn gebruikers, kan volgen. Dat terwijl de fabrikant steeds benadrukt dat ze die mogelijkheid niet hebben.
“Verbeteringen doorgevoerd”
Life360 zou in november op de hoogte zijn gebracht van de kwetsbaarheid in zijn trackers, maar verbrak vervolgens in februari het contact met het Georgia Institute of Technology.
Toch belooft Tile dat er de nodige verbeteringen zijn doorgevoerd in de trackers. Wat er precies is gewijzigd, laat de fabrikant echter in het midden.
