Напомена уредника: Овај чланак смо ажурирали информацијама о ажурирањима које су објавили Аппле и Мицрософт који штите уређаје од КНОБ рањивости. Овде можете пронаћи потпуну листу погођених компанија са везама до закрпа.
Обавезно ажурирајте своје Блуетоотх уређаје пре него што их повежете са лаптопом или паметним телефоном.
Истраживачи безбедности недавно су открили Блуетоотх рањивост која је толико озбиљна да сматрају "претњу по безбедност и приватност свих" корисника.
Центар за ИТ-сигурност, приватност и одговорност (ЦИСПА) у координацији са ИЦАСИ-ом и његовим члановима, попут Мицрософта, Апплеа и Амазона, објавио је извјештај о разарајућој Блуетоотх недостатци названој КНОБ (Кеи Неготиатион оф Блуетоотх) која даје лоше актере могућност праћења и манипулације саобраћајем између два уређаја. Напад утиче на Блуетоотх БР/ЕДР (Блуетоотх Цлассиц) или старију верзију Блуетоотх-а која успоставља бежичну везу кратког домета између уређаја (обично звучника и слушалица).
Рањивост произилази из процеса постављања шифроване везе између два Блуетоотх уређаја. Нападачки уређај може ометати овај процес, скратити кључ за шифровање на један бајт, а затим лако грубом силом разбити код да би успоставио везу. Одатле је нападач могао да дешифрује сав промет који протиче између два уређаја.
Према безбедносном обавештењу које је објавила Блуетоотх СИГ, организација која развија Блуетоотх стандарде, чак ни уређаји којима је потребна минимална дужина кључа нису у могућности да изведу кораке да провере да ли кључ за шифровање испуњава те захтеве. Да ствар буде гора, истраживачи кажу да је напад тешко открити јер преговарање о шифровању остаје транспарентно за корисника и јер је скраћени кључ за шифровање и даље жалба у свим верзијама Блуетоотха.
Срећом, многи произвођачи технологије већ су објавили закрпе за рањивост. Аппле је 22. јула представио безбедносно ажурирање за иПхоне, иПад и иПод који штити од напада побољшаном валидацијом уноса. Мицрософт је учинио свој део пославши ажурирање за Виндовс уређаје које поставља подразумевану минималну дужину кључа за шифровање од 7 октета. Та побољшана безбедносна мера подразумевано је онемогућена. Можете следити ова упутства да бисте омогућили функцију помоћу уређивача регистра на вашој Виндовс машини.
ИЦАСИ је објавио корисну листу компанија које су погођене, а на које нема утицаја, и укључио је везе до закрпа за оне које јесу.
Истраживачи су тестирали напад помоћу паметних телефона Некус 5 и Моторола Г3. Некус 5 је коришћен као нападач „човек у средини“ који је додао код Блуетоотх фирмверу. Затим су користили Леново ТхинкПад Кс1 Царбон лаптоп за грубу примену кода за шифровање и дешифровање пресретнутих порука. Напад је успешно изведен на широком спектру Блуетоотх чипова произвођача Броадцом, Куалцомм, Аппле и Цхицони.
"Напад КНОБ -а представља озбиљну пријетњу сигурности и приватности свих корисника Блуетоотх -а", написала је ЦИСПА у свом извјештају. "Били смо изненађени што смо открили таква фундаментална питања у широко коришћеном и 20 година старом стандарду."
Пре него што баците нове бежичне слушалице, вреди напоменути да су Блуетоотх уређаји рањиви само под одређеним условима. Пошто је ово напад на Блуетоотх, агресор би морао бити у домету оба уређаја да би успоставио везу. Ако један од уређаја није био рањив, напад би пропао. Такође, како напомиње Блуетоотх СИГ, „нападни уређај би морао да пресретне, манипулише и поново пошаље преговарачке поруке о дужини кључа између два уређаја, истовремено блокирајући пренос са оба, све у уском временском оквиру“.
Нема познатих случајева експлоатације која се користи за пресретање промета између два уређаја.
ЦИСПА окривљује рањивост због „двосмисленог фразирања“ у Блуетоотх стандарду и тражи од Блуетоотх СИГ-а да одмах ажурира спецификацију: „Док спецификација не буде исправљена, не препоручујемо да верујете било којој Блуетоотх-БР/ЕДР вези шифрованој на нивоу везе“, ЦИСПА пише.
До сада је Блуетоотх СИГ реаговао ажурирањем Блуетоотх Цоре спецификације како би препоручио минималну дужину шифровања октета, у односу на један, за БР/ЕДР везе. Организација такође позива технолошке компаније да ажурирају постојеће производе како би примениле нове препоручене стандарде.
Шта можете учинити да се заштитите од овог напада? Као и увек, ажурирајте своје уређаје инсталирањем најновијих ажурирања система.
- Имате Блуетоотх проблема у оперативном систему Виндовс 10? Ево зашто