Sicherheitslücke: Treffen sich zwei Bluetooth-Geräte, das eine ist gespooft

Bei einem Reconnect müssen sich Bluetooth-Geräte nicht zwangsweise authentifizieren. Ein Forscherteam konnte sich so als ein BLE-Gerät ausgeben.

Artikel veröffentlicht am ,
Ein Knopf mit Bluetooth-Logo
Ein Knopf mit Bluetooth-Logo (Bild: Omar Torres/AFP via Getty Images)

Viele Bluetooth-Angriffe konzentrieren sich auf das Pairing zweier Geräte. Die neue Bluetooth Low Energy Spoofing Attack (Blesa) hingegen setzt danach an, wenn die bereits gekoppelten Bluetooth-Geräte sich erneut miteinander verbinden (Reconnect), um beispielsweise Daten abzufragen. Diese Reconnects werden nicht zwangsweise authentifiziert.

Stellenmarkt
  1. Referent Rohdatenaufbereitung (w/m/d) Senior-Cyber-Security-Specia- list
    Gemeinsames Kompetenz- und Dienstleistungszentrum der Polizei, Leipzig
  2. Referent PMO mit Fokus Terminplanung und Projektsteuerung (m/w/d)
    TenneT TSO GmbH, Bayreuth
Detailsuche

Entsprechend konnte sich ein Forscherteam der Purdue-Universität (USA) ein gekoppeltes Gerät spoofen und falsche Daten an das Empfangsgerät übertragen. Zuerst hatte das Onlinemagazin ZDnet berichtet. Viele Geräte dürften nie Patches erhalten.

Im Unterschied zum klassischen Bluetooth ist Bluetooth Low Energy (BLE) schlanker und verbraucht weniger Energie, deshalb ist es insbesondere bei der Anbindung von batteriegetriebenen Bluetooth-Geräten, aber auch im Internet of Things (IoT) beliebt. Wurden zwei BLE-Geräte miteinander gekoppelt und sollen erneut Daten ausgetauscht werden, weil sie sich beispielsweise wieder in Reichweite befinden, wird ein sogenannter Reconnect durchgeführt. Das BLE-Protokoll schreibt hierbei jedoch keine erneute Authentifizierung mit den beim Pairing ausgetauschten Schlüsseln vor.

Android, Linux und iOS betroffen

Das Forscherteam fand heraus, dass die BLE-Implementierungen Fluoride (Android), Bluez (Linux-Desktop und IoT-Geräte) sowie der iOS-BLE-Stack keine Authentifizierung verlangten. So konnten sich die Forscher als ein bereits gekoppeltes BLE-Gerät ausgeben, ohne dass sie sich authentifizieren mussten. Anschließend konnten sie falsche Werte übertragen. In einem Video demonstrieren sie dies mit einem per BLE mit einem Android-Smartphone verbundenen Ring, den sie spoofen und einen falschen Akkustand übertragen.

Golem Akademie
  1. PostgreSQL Fundamentals
    6.-9. Dezember 2021, online
  2. Einführung in die Programmierung mit Rust
    21.-25. März 2022, online
  3. Linux-Shellprogrammierung
    2.-5. November 2021, online
Weitere IT-Trainings

Der BLE-Stack unter Windows war laut dem Forscherteam nicht für den Angriff anfällig. Apple hat die Sicherheitslücke (CVE-2020-9770) im Juni in iOS gepatcht. Ein Google Pixel XL mit Android 10 sei jedoch mit Stand Mai weiterhin anfällig gewesen, erklärte das Forscherteam in seinem Papier. In der monatlichen Auflistung zu den in Android gepatchten Sicherheitslücken tauchte sie seitdem nicht auf.

Das Bluez-Entwicklerteam habe angekündigt, den für Blesa anfälligen Code zu ersetzen, schreibt ZDnet. Auch nach der Veröffentlichung der Patches dürften diese jedoch auf Millionen oder Milliarden der betroffenen IoT-Geräte und Android-Smartphones nie ankommen, da die Hersteller die Geräte nicht (weiter) pflegen und keine Updates zur Verfügung stellen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Macbook Pro
Apple bestätigt High Power Mode für M1 Max

Käufer des Macbook Pro mit M1 Max können wohl in MacOS Monterey per Klick noch mehr Leistung aus dem Gerät herausholen.

Macbook Pro: Apple bestätigt High Power Mode für M1 Max
Artikel
  1. Bundesregierung: Autobahn App 2.0 im ersten Quartal 2022 geplant
    Bundesregierung
    Autobahn App 2.0 im ersten Quartal 2022 geplant

    Die Opposition kritisiert die massiven Kosten, Nutzer bewerten die App schlecht. Dennoch soll die Autobahn App nun erweitert werden.

  2. Klage: Google soll E-Privacy und Werbemarkt manipuliert haben
    Klage
    Google soll E-Privacy und Werbemarkt manipuliert haben

    Mehrere US-Bundesstaaten haben Klage gegen Google eingereicht. Das Unternehmen rühmt sich derweil, Regulierungen verlangsamt zu haben.

  3. Silence S04: Günstiges Elektroauto mit herausnehmbaren Akku vorgestellt
    Silence S04
    Günstiges Elektroauto mit herausnehmbaren Akku vorgestellt

    Beim Elektroauto Silence S04 kann der Nutzer den Akku selbst wechseln, wenn dieser leergefahren ist.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Saturn-Gutscheinheft mit Direktabzügen und Zugaben • Nur noch heute: Mehrwertsteuer-Aktion bei MediaMarkt • Roccat Suora 43,99€ • Razer Goliathus Extended Chroma Mercury ab 26,99€ • Seagate SSDs & HDDs günstiger • Alternate (u. a. ASUS ROG Strix Z590-A Gaming WIFI 258€) [Werbung]
    •  /