Original-URL des Artikels: https://www.golem.de/news/knob-angriff-8-bit-verschluesselung-mit-bluetooth-1908-143246.html    Veröffentlicht: 16.08.2019 10:37    Kurz-URL: https://glm.io/143246

KNOB-Angriff

8-Bit-Verschlüsselung mit Bluetooth

Die Verschlüsselung des Bluetooth-Protokolls lässt sich einfach aushebeln, ein Angreifer kann die Schlüssellänge kontrollieren und auf eine triviale Größe reduzieren. Abhilfe ist nicht in Sicht, die Bluetooth-Standardisierungsgruppe will die Schlüssellänge nur minimal erhöhen.

Die Verschlüsselungsfunktion des Bluetooth-Standards lässt sich mit einem sehr einfachen Angriff aushebeln. Der Kern des Angriffs: Die Länge des Schlüssels lässt sich auf ein Byte reduzieren, der entsprechende Teil des Protokolls ist nicht authentifiziert und kann damit von einem Angreifer manipuliert werden. Anschließend ist es trivial, den korrekten Schlüssel durch reines Ausprobieren herauszufinden.

Die Entdecker haben ihre Methode KNOB-Angriff getauft (Key Negotiation of Bluetooth Attack). Vorgestellt wurden die Ergebnisse auf der Usenix-Konferenz in Santa Clara in den USA.

Im Bluetooth-Standard gibt es eine optionale Verschlüsselung, die abgesicherte Verbindungen ermöglichen soll. Dabei wird zwischen zwei Geräten ein Schlüssel ausgehandelt. Das Protokoll sieht hier vor, dass ein Kommunikationspartner eine maximale Schlüssellänge vorschlägt, die zwischen 1 und 16 Byte lang sein kann. Der andere Kommunikationspartner kann diese anschließend akzeptieren oder eine kürzere Schlüssellänge setzen.

Schlüsselaushandlung ist unauthentifiziert und lässt sich manipulieren

Diese Nachrichten, die Teil des sogenannten Link Manager Protocol (LMP) sind, haben dabei keinerlei Authentifizierung oder Integritätsschutz. Das bedeutet, dass ein Man-in-the-Middle-Angreifer diese Nachrichten nach Belieben manipulieren kann. Somit ist der Angriff geradezu erschreckend leicht: Ein Angreifer sorgt dafür, dass die Schlüssellänge auf ihr Minimum - ein Byte - reduziert wird. Anschließend kann der Angreifer den entsprechenden Schlüssel durch reines Ausprobieren knacken - es gibt nur 256 verschiedene Möglichkeiten.

Der Angriff bezieht sich auf einen Teil des Bluetooth-Protokolls, der üblicherweise komplett in der Firmware eines Geräts implementiert wird. Damit ist er für Applikationen oder das Betriebssystem im Normalfall nicht erkennbar. Da der Angriff auf völlig standardkonformem Verhalten basiert, funktioniert er mit nahezu allen Bluetooth-Geräten.

Um den Angriff praktisch durchzuführen, gibt es eine praktische Hürde: Ein Angreifer muss in der Lage sein, die Funknachrichten zwischen zwei Bluetooth-Geräten zu manipulieren. Dafür muss er nicht nur eigene Nachrichten senden, er muss auch durch beispielsweise entsprechende Störungen verhindern, dass die legitimen Nachrichten beim Empfänger ankommen. Diesen Teil des Angriffs haben seine Entdecker nicht implementiert, sie haben einen Man-in-the-Middle-Angriff durch eine modifizierte Firmware simuliert.

Die Entdecker des Angriffs haben mehrere Geräte getestet und dabei lediglich ein Gerät gefunden, das solche absurd kurzen Schlüssel nicht akzeptiert. Der Bluetooth-Chip in Apples Airpod verlangt eine minimale Schlüssellänge von sieben Byte oder 56 Bit.

Sicher ist das auch nicht. 56 Bit ist die Schlüssellänge, die beispielsweise der Data Encryption Standard (DES) aus den 70er Jahren verwendet hat. Bereits 1999 konnte die Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) zeigen, dass sich solch kurze Schlüssel praktisch mit Bruteforce-Angriffen brechen lassen. Sprich: Der Angriff wäre weiterhin möglich, er würde nur einen relativ hohen Rechenaufwand erfordern.

Bluetooth-Arbeitsgruppe will Standard auf Sicherheitsniveau der 80er Jahre erhöhen

Die Bluetooth-Standardisierungsgruppe ist offenbar trotzdem der Meinung, dass 56 Bit sicher genug sind. Sie hat eine Stellungnahme zu dem Angriff veröffentlicht und schlägt vor, dass Hersteller ihre Firmware so verändern, dass sie Verbindungen mit weniger als 56 Bit nicht akzeptieren.

Die Entdecker des Angriffs schreiben, dass es für die Aushandlung der Schlüssellänge eigentlich keinen sinnvollen Grund gibt. Im Normalfall sollten alle Geräte schlicht die maximale Schlüssellänge von 16 Byte (128 Bit) verwenden. Das ist ein übliches Sicherheitsniveau, das bei heutigen Verschlüsselungsverfahren eingesetzt wird.

Die Bluetooth-Standardisierungsgruppe begründet nicht, warum sie stattdessen an unsicheren 56 Bit festhalten will. Es liegt aber vermutlich daran, dass sie damit die Kompatibilität mit bestehenden Geräten erhalten will. Wie viele Geräte in der Praxis kürzere Schlüssel einsetzen, dürfte kaum jemand wissen.

Letztendlich bedeutet das, dass die standardisierte Bluetooth-Verschlüsselung auch in Zukunft nicht sicher ist. Wer Bluetooth für sicherheitskritische Anwendungen nutzt, muss daher zusätzliche Sicherheitsmechanismen implementieren. Und wer Bluetooth-Keyboards oder andere Eingabegeräte verwendet, kann sich auf deren Sicherheit nicht verlassen. Ein Angreifer könnte die Verbindung manipulieren und beispielsweise falsche Tastatureingaben senden.

Die Cryptowars grüßen

Der Grund für die Schwäche ist ein historischer: Die Spezifikation begründet die verschiedenen Schlüssellängen mit Exportregulierungen und unterschiedlichen Anforderungen in verschiedenen Ländern. In den 80er- und 90er-Jahren gab es heftige Auseinandersetzungen darüber, ob Privatpersonen überhaupt Zugriff auf sichere Verschlüsselung haben sollten. Daher wurden in früheren Verschlüsselungsstandards oft sehr kurze Schlüssellängen verwendet, die von staatlichen Behörden geknackt werden konnten.

Ähnliche Sicherheitslücken, die auf diese sogenannten Cryptowars zurückgehen, gab es schon mehrfach. Beispiele dafür sind der FREAK-Angriff und Logjam, die beide TLS betrafen.

 (hab)


Verwandte Artikel:
Bluetooth: Tracking trotz Trackingschutz möglich   
(16.07.2019, https://glm.io/142576 )
Antiviren-Software: Kaspersky-Javascript ermöglichte Nutzertracking   
(15.08.2019, https://glm.io/143229 )
TLS-Zertifikat: Kasachstan beendet Überwachung von HTTPS-Verbindungen   
(07.08.2019, https://glm.io/143036 )
Foreshadow/L1TF: Intel-CPUs ermöglichten unberechtigtes Auslesen von Speicher   
(15.08.2018, https://glm.io/136008 )
Strafverfolgung: US-Justizminister will Hintertüren in Verschlüsselung   
(24.07.2019, https://glm.io/142755 )

© 1997–2020 Golem.de, https://www.golem.de/