Abo
  • IT-Karriere:

Security: Verfolgungsjagd per Bluetooth

Ausgestattet mit einem Raspberry Pi samt Bluetooth-Dongle haben sich Sicherheitsexperten auf die Suche nach Geräten mit aktivierter Bluetooth-Schnittstelle gemacht. Es waren erstaunlich viele, die zudem viele Informationen über ihren Besitzer verraten.

Artikel veröffentlicht am ,
Bluetooth-Geräte gepaart mit GPS-Daten sind gute Tracking-Geräte.
Bluetooth-Geräte gepaart mit GPS-Daten sind gute Tracking-Geräte. (Bild: Verónica Valeros und Sebastián García)

Bluetooth ist inzwischen in fast jedem mobilen und immobilen Gerät verbaut - und oftmals unbemerkt vom den Besitzern aktiviert. Smartphone-Nutzer telefonieren etwa über Bluetooth-Headsets, und die Entertainmentelektronik in Fahrzeugen sucht nach Bluetooth-Geräten, die sie einbinden kann. Selbst Prothesen haben inzwischen Bluetooth-Schnittstellen.

Stellenmarkt
  1. Compana Software GmbH, Feucht
  2. neubau kompass AG, München

Grund genug für die beiden Sicherheitsexperten Verónica Valeros und Sebastián García aus Argentinien, bei Spaziergängen nach Bluetooth-Geräten zu gucken und die Ergebnisse ihrer Suche in einer Datenbank zu speichern. Tools habe es schon vorher gegeben, sagten sie auf der Sicherheitskonferenz Deepsec 2013 in Wien. Allerdings erweiterten sie die von ihnen entwickelte Werkzeugsammlung so, dass die Informationen auch GPS-Daten enthalten. So entstanden etwa Bewegungsprofile von Menschen, die ihre Mobiltelefone mit aktiviertem Bluetooth nutzten. Mit ihrem Werkzeug könnten Diebe aber auch eine Positionsliste erstellen, etwa von für den Diebstahl lohnenswerten Objekten. Denn inzwischen haben selbst digitale Fernseher eine Bluetooth-Schnittstelle und bei manchen enthält der Gerätename auch gleich die Bildschirmgröße. Das Fazit der Sicherheitsforscher: lieber Bluetooth ausschalten und auch in Geräten nachsehen, in denen Bluetooth nicht einmal vermutet wird. Zumindest sollte der Name des Geräts keinen Hinweis auf den Besitzer oder das Gerät geben.

Bluetooth überall

Etwa in einem Gerät zur Messung der Lungenfunktionen, das viele Patienten mit Asthma mit sich tragen. Inzwischen werden auch Prothesen mit einer Bluetooth-Schnittstelle versehen. Bei Patienten mit zwei Beinprothesen kommunizieren die beiden künstlichen Gliedmaßen, um die Bewegung des Patienten besser zu koordinieren. Eigentlich eine sinnvolle Funktion, wären da nicht die zwangsweise nach außen hin sichtbare MAC-Adresse und der Gerätename.

Mit ihrem Werkzeug wollten Valeros und García in erster Linie zeigen, wie einfach es ist, mit den gesammelten Daten Bewegungsprofile zu erstellen. Aus den Metadaten konnten die Sicherheitsexperten ziemlich genaue Mutmaßungen über die von ihnen Verfolgten machen. Wiederholte sich beispielsweise der Weg jeden Tag in der Früh zur gleichen Uhrzeit, gingen die Forscher davon aus, dass das Opfer auf dem Weg zur Arbeit war.

Bis zu 100 Meter

Allerdings ist die Reichweite bei Bluetooth begrenzt. Per Standard definiert liegt der Radius bei etwa zehn Metern. Das gilt für Bluetooth-Geräte der Klasse 2, die 2,5 mW verbrauchen und einen Leistungspegel von 4 dBm haben. Im Freien können sie aber aus bis zu 50 Metern Entfernung noch erkannt werden. Die selteneren Geräte der Klasse 1 können mit einem Leistungspegel von 20 dBm eine Reichweite drinnen und draußen von 100 Metern erreichen, benötigen dafür aber auch 100 mW. Gegenwärtig liegen Geräte mit Bluetooth der Klasse 3 im Trend. Mit einer Leistungsaufnahme von 1 mW und einem Leistungspegel von 0 dBm sind sie nur für den Einsatz bei kurzen Strecken und in Geräten mit langer Akkulaufzeit gedacht, wie etwa Headsets, Hörgeräten oder Pulsmessern, die beispielsweise ihre Daten an Smartphones weitergeben. Durchschnittlich liegt deren Reichweite bei etwa einem Meter, maximal sind es zehn.

Valeros und García haben sich ein Raspberry Pi als Wardriving-Gerät eingerichtet. Zunächst besorgten sie sich einen Akku, damit der kleine Rechner auch unterwegs mit Strom versorgt wird. An die beiden USB-Schnittstellen hängten sie einen Bluetooth-Dongle und ein GPS-Modul. Ein Laptop mit Bluetooth tut es natürlich auch. Die GPS-Daten lassen sich über Bluetooth aber auch von einem Mobiltelefon holen.

Mit Python Bluetooth-Daten sammeln

Python-Skripte sammeln die Daten über den Bluetooth-Dongle und speichern sie in einer Sqlite-Datenbank. Die kann dann per Skript ausgewertet werden. Alternativ macht das auch ein Webserver, der die Daten optisch aufbereitet und gleich noch die Position der erfassten Geräte im Kartenmaterial anzeigt. Den Code haben Valeros und García auf Github veröffentlicht.

Mit ihrem Experiment wollten Valeros und García die Aufmerksamkeit auf eine mögliche Schwachstelle lenken, die viele Menschen unbemerkt mit sich herumtragen, sagten sie zu Golem.de. Es gebe aber auch Hersteller, die es dem Nutzer gar nicht ermöglichen, Bluetooth auszuschalten, etwa Audiogeräte in einigen Autos und sogar auf Laptops. Bluetooth biete als Schnittstelle zahlreiche Möglichkeiten, könne aber auch sehr einfach dazu missbraucht werden, die Privatsphäre zu verletzen. Vor allem mit der zunehmenden Verbreitung von Bluetooth in medizinischen Geräten steige auch die Gefahr für die Anwender nochmals deutlich.

Die Werkzeugsammlung liegt auf Github und läuft gegenwärtig nur unter Linux.



Anzeige
Top-Angebote
  1. (heute u. a. mit PlayStation 4 und Samsung-TVs)
  2. (u. a. LG OLED 65E8LLA für 1.777€ statt 2.077€ im Vergleich)
  3. 139€
  4. (u. a. AMD Ryzen + ASUS-X570-Mainboard kaufen und bis zu 125€ sparen)

json 01. Dez 2013

Werbung hat einen ganz anderen Effekt, der völlig unabhängig von deinen Bewussten...

PitiRocker 01. Dez 2013

wow, rechnen is nicht deine stärke.. oder es war n fiesr tipfehler drin, denn: = ~86¤

Gungosh 29. Nov 2013

Device detected: "Kalles Schrittmacher" Reboot device?

michach 29. Nov 2013

Was sind das denn für "Exprerten" die sich wundern das man im Auto Bluetooth aktiviert...

Garfonso 29. Nov 2013

Nein, die Sichtbarkeitseinstellung ist bei Bluetooth *kein* Schlangenöl. Kurz: Wenn die...


Folgen Sie uns
       


Xiaomi Mi 9T Pro - Fazit

Das Mi 9T Pro von Xiaomi ist eines der ersten Smartphones, das der chinesische Hersteller offiziell in Deutschland anbietet. Im Test überzeugt das Gerät durch sehr gute Hardware zu einem verhältnismäßig geringen Preis.

Xiaomi Mi 9T Pro - Fazit Video aufrufen
Astrobiologie: Woher kommen das Leben, das Universum und der ganze Rest?
Astrobiologie
Woher kommen das Leben, das Universum und der ganze Rest?

Erst kam der Urknall, dann entstand zufällig Leben - oder es war alles vollkommen anders. Statt Materie und Energie könnten Informationen das Wichtigste im Universum sein, und vielleicht leben wir in einer Simulation.
Von Miroslav Stimac

  1. Astronomie Amateur entdeckt ersten echten interstellaren Kometen
  2. Astronomie Forscher entdeckten uralte Galaxien
  3. 2019 LF6 Großer Asteroid im Innern des Sonnensystems entdeckt

Umwelt: Grüne Energie aus der Toilette
Umwelt
Grüne Energie aus der Toilette

In Hamburg wird in bislang nicht gekanntem Maßstab getestet, wie gut sich aus Toilettenabwasser Strom und Wärme erzeugen lassen. Außerdem sollen aus dem Abwasser Pflanzennährstoffe für die Landwirtschaft gewonnen werden. Dafür müssen aber erst einmal die Schadstoffe aus den Gärresten gefiltert werden.
Von Monika Rößiger

  1. Fridays for Future Klimastreiks online und offline

Elektrautos auf der IAA: Die Gezeigtwagen-Messe
Elektrautos auf der IAA
Die Gezeigtwagen-Messe

IAA 2019 Viele klassische Hersteller fehlen bei der IAA oder zeigen Autos, die man längst gesehen hat. Bei den Elektroautos bekommen alltagstaugliche Modelle wie VW ID.3, Opel Corsa E und Honda E viel Aufmerksamkeit.
Ein Bericht von Dirk Kunde

  1. Elektromobilität Stromwirtschaft will keine Million öffentlicher Ladesäulen
  2. Umfrage Kunden fühlen sich vor Elektroautokauf schlecht beraten
  3. Batterieprobleme Auslieferung des e.Go verzögert sich

    •  /