Napaka strojne opreme v naborih čipov Bluetooth bi lahko omogočila sledenje signalu

Raziskovalci so odkrili še ena napaka Bluetooth, kar bi lahko ogrozilo vašo zasebnost, če bi ga bilo preprosto orožje.

Na nedavni konferenci o varnosti in zasebnosti IEEE so raziskovalci s kalifornijske univerze v San Diegu, predstavili svoje ugotovitve o čipih Bluetooth, ki imajo edinstvene pomanjkljivosti strojne opreme, ki jih je mogoče odvzeti s prstnimi odtisi. To napadalcem teoretično omogoča sledenje uporabnikom prek čipov Bluetooth, vgrajenih v njihove pametne pripomočke, čeprav raziskovalci sami priznavajo, da proces zahteva veliko dela in zdravo količino sreče.

»Sledenje« uporabniškim napravam, ki ga opisujejo, je še ena eskalacija v nenehni oborožitveni tekmi med posredniki podatkov in proizvajalci naprav, ki so usmerjeni v zasebnost,«

Evan Krueger, vodja inženiringa na Žeton, je za Lifewire povedal po elektronski pošti. "Ta tehnika verjetno ne bo uporabljena za ciljno usmerjen napad, kot je zalezovanje ali nasilje intimnega partnerja, kot so ljudje nedavno videli, da se Apple AirTags uporablja."

Forenzika Bluetooth

Raziskovalci trdijo, da so se v zadnjem času mobilne naprave, vključno s pametnimi telefoni in pametnimi urami, podvojile kot brezžični sledilni svetilniki, ki nenehno oddajajo signale za aplikacije, kot je sledenje stikov ali iskanje izgubljenih naprave.

Po mnenju raziskovalcev naše pametne naprave nenehno oddajajo na stotine svetilnikov na minuto. V svojih testih z več pametnimi napravami so nagnali iPhone 10, ki je pošiljal več kot 800 signalov na minuto, medtem ko Apple Watch 4 vsakih 60 sekund izpljune skoraj 600 svetilk.

"Te aplikacije [Bluetooth] uporabljajo kriptografsko anonimnost, ki omejuje nasprotnikovo zmožnost uporabe teh svetilnikov za zalezovanje uporabnika," so ugotovili raziskovalci. "Vendar pa lahko napadalci zaobidejo to obrambo tako, da odvzamejo prstne odtise edinstvenih nepopolnosti fizične plasti v prenosih določenih naprav."

Raziskava je omembe vredna, saj je pomagala dokazati, da imajo signali Bluetooth jasen in sledljiv prstni odtis.

Vendar pa natančen postopek za identifikacijo edinstvenega signala naprave zahteva nekaj dela in ni vedno zagotovljeno, da bo deloval, saj nimajo vsi čipi Bluetooth enake zmogljivosti in dosega.

Vlečenje vrvi

"Glede na raziskave se zdi, da se ta tehnika verjetno ne bo uporabljala v resničnem svetu brez nekaj ponovitev, da bi poenostavili njeno uporabo in naredili bolj stabilno," Matt Psencik, direktor, specialist za varnost končnih točk, at tanij, je povedal Lifewire po e-pošti, potem ko je prebral časopis.

Psencik je svoj argument ponazoril s tem, da je pravkar uporabil aplikacijo BluetoothLE Scanner, ki je v njegovem bližini, ko je bil v tretjem nadstropju stanovanjske hiše, pobrala 165 naprav Bluetooth. "Glede na to bi bila uporaba te metode za sledenje nekomu skozi prenatrpane kraje podvig, ki bi ga bilo bolje doseči s klasičnim vizualnim sledenjem vidne linije," je dejal Psencik.

Opozoril je, da čeprav so raziskovalci ugotovili napako v Bluetoothu, bi njihov mehanizem za sledenje ustvaril veliko podatkov z majhnim izplačilom.

Krueger se je strinjal in dejal, da bo delo raziskovalcev verjetno zanimalo namesto izkoriščanja za sledenje posameznih ljudi podjetjem za posredovanje podatkov, ki poskušajo množično nadzorovati ljudi in prodajati te podatke ali dostop do njih za oglaševanje namene.

"Medtem ko lahko trgovec na drobno vidi, da je sledenje kupcem prek prstnih odtisov Bluetooth, ko se premikajo po svoji trgovini, neškodljivo za stranke in koristne za poslovanje, so posledice neomejenega nadzora res zaskrbljujoče,« je prepričan Krueger.

Ko je razlagal resnost situacije, je Krueger dejal, da so ljudje precej ovirani pri neposrednem boju proti tej vrsti sledenja, glede na raven prefinjenost, ki jo uporabljajo te tehnike prstnih odtisov, in vseprisotnost signalizacije Bluetooth v izdelkih, ki so postali bistveni za naš vsakdan življenja.

Ena možnost, ki jo imajo ljudje, je, da poiščejo izdelke in storitve z dokazljivimi izkušnjami pri dajanju prednost zasebnosti uporabnikov, podjetij, ki so izrazila podporo zakonodaji za zajezitev razširjenega ciljnega sledenja ljudem, kot je opisano v papir.

"Ti se morda zdijo majhni ali celo nepomembni koraki, ki jih mora posameznik narediti," je priznal Krueger, "toda to je problem kolektivnega ukrepanja in ga je mogoče rešiti le s trajnim, kumulativnim tržnim in regulativnim pritiskom."