"Altes" Bluetooth-Loch sorgt für aktuelle Aufregung

26. Juli 2018, 14:41
  • security
image

Potentiell sind zig Millionen Geräte verwundbar – in der Praxis müssen sich wohl nur eine handvoll Behörden und Unternehmen fürchten.

Potentiell sind zig Millionen Geräte verwundbar – in der Praxis müssen sich wohl nur eine handvoll Behörden und Unternehmen fürchten.
Gegenwärtig stellen diverse Hersteller von Geräten mit Bluetooth-Konnektivität, vor allem von Smartphones, Tablets und PCs, Firmware- und Software-Updates mit Patches für eine Schwachstelle im Bluetooth-Protokoll zur Verfügung. Diese Schwachstelle (CVE-2018-5383) hat es vielerorts in die Presse geschafft, weil sie es einem Angreifer erlauben kann, als "Man in the Middle" über Bluetooth übertragene Informationen abzuhören und sogar zu manipulieren. Letzteres bedeutet, dass Angreifer beispielsweise durch die gehackte Verbindung zwischen einem PC und einer Bluetooth-Tastatur dem PC Befehle geben könnten. Laut den Entdeckern der Schwachstelle dürfte ein Grossteil der in den letzten zehn Jahren ausgelieferten Bluetooth-Geräte verwundbar sein.
Die von zwei israelischen Sicherheitsforschern entdeckte und jetzt beschriebene Methode hat jedoch zwei für Angreifer gravierende Nachteile: Sie müssen sich innerhalb der bekannterweise auf wenige Meter beschränkten Bluetooth-Funkreichweite der Geräte befinden, die sie abhören möchten. Und sie müssen es schaffen, genau dann dort zu sein, wenn die Geräte zum ersten Mal gekoppelt werden. Es gibt bisher keine bekannten Fälle dafür, dass diese Methode in der Praxis von Hackern angewendet wurde.
Privatpersonen und Anwender in den allermeisten Unternehmen sollten sich also kaum davor fürchten müssen, dass Cyberspione diese Methode gegen sie anwenden werden. Notfalls kann man sich ja beim Koppeln neuer Bluetooth-Geräte mal umschauen, ob da gerade jemand in der Nähe versucht, betont unauffällig auszuschauen.
Unternehmen, in denen sehr sensible Daten zwischen Bluetooth-Geräten ausgetauscht werden könnten, und die sich vor Spionen fürchten müssen, die auch bereit wären, ein gewisses Risiko einzugehen, sollten dagegen schnellstmöglich Patches einspielen. Laut den beiden Forschern reicht es, wenn eines der an einer Koppelung beteiligten Geräte gepatcht ist, um sicher zu sein.
Eli Biham und Lior Neumann habe ihre Entdeckung schon vor einigen Monaten gemacht und Anfang Jahr den betroffenen Herstellern mitgeteilt. Auch das Industriekonsortium Bluetooth SIG wurde informiert und wird seine Spezifikationen entsprechend anpassen. Die "Fixed Coordinate Invalid Curve Attack" genannte Methode nutzt eine Schwachstelle aus, die laut den beiden Forschern schon seit rund zehn Jahren im Bluetooth-Protokoll existiert. Wenn Bluetooth-Geräte gekoppelt werden, erzeugen sie einen neuen gemeinsamen kryptographischen Schlüssel, um die ausgetauschten Daten zu verschlüsseln, der natürlich nur den beiden Geräten bekannt sein sollte.
Gemäss den Erkenntnissen der Security-Forscher erfolgt die Validierung der erzeugten Schlüssel auf von der Lücke betroffenen Geräten aber sozusagen etwas "schludrig". Dies erlaubt es einem Angreifer, der sich bei der Koppelung in die Verbindung einklinken kann, die Geräte in einem bestimmten Prozentsatz der Fälle dazu zu bewegen, einen auch ihm bekannten Schlüssel zu erzeugen. Falls der Angreifer keinen Erfolg hat, melden die Geräte einen Fehler bei der Koppelung. Wenn die Koppelung erneut versucht wird, erhält auch der Angreifer eine neue Chance. (hjm)

Loading

Mehr zum Thema

image

Edöb besetzt weitere Stellen wegen der Revision des Datenschutzgesetzes

Derzeit sucht der Datenschutzbeauftragte einen Informatiker für die Leitung von Kontrollen. Im Rahmen des neuen DSG wurden 8 Vollzeitstellen gesprochen.

publiziert am 12.8.2022
image

Cyberattacken abwehren bis zum Burnout

Laut einer aktuellen Umfrage leidet fast die Hälfte aller Incident-Responder unter extremem Stress oder sogar Burnouts.

publiziert am 11.8.2022
image

Cisco bestätigt Cyberangriff

Der Angriff fand bereits im Mai statt, die Cyberkriminellen haben jetzt angeblich erbeutete Daten veröffentlicht. Cisco schildert den Ablauf detailliert.

publiziert am 11.8.2022
image

Branchen-Grössen schaffen gemeinsamen Standard für Security-Lösungen

AWS, Splunk und weitere grosse Anbieter von Security-Software kooperieren, um die Integration von Lösungen zu vereinfachen und Datensilos aufzubrechen.

publiziert am 11.8.2022