Beveiligingslek in Bluetooth maakt man-in-the-middle-aanval mogelijk

[Captain Kirk]

Onderzoekers hebben een beveiligingslek in Bluetooth ontdekt waardoor een man-in-the-middle-aanval mogelijk is, zo laten de Bluetooth Special Interest Group (SIG) en het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit weten. De kwetsbaarheid wordt BLURtooth genoemd en is aanwezig in de Cross-Transport Key Derivation (CTKD) van Bluetooth 4.0 tot en met 5.0.

Via CTKD is het mogelijk om Bluetooth-apparaten te pairen die zowel Bluetooth Low Energy (BLE) als Basic Rate/Enhanced Data Rate (BR/EDR) ondersteunen. Het gaat hierbij om zogenoemde "dual-mode" apparaten die zelf kunnen kiezen of ze van BLE of BR/EDR voor de verbinding gebruikmaken. BLE is ontwikkeld om bij het verzenden en ontvangen van data minder energie te verbruiken. Onder ander sensoren maken er gebruik van. BD/EDR heeft een hogere doorvoer en wordt bijvoorbeeld door draadloze koptelefoons gebruikt.

Om ervoor te zorgen dat de apparaten slechts één keer via één van beide transportmethodes hoeven te pairen genereert CTKD zowel de BR/EDR als de BLE Long Term Keys (LTK). Wanneer de authenticatie tussen twee Bluetooth-apparaten succesvol is wordt de LTK door beide apparaten berekend. De LTK wordt voor het versleutelen van de verbinding gebruikt. In het geval van de BLURtooth-aanval kan een aanvaller de bestaande LTK overschrijven.

Om de aanval uit te voeren moet een kwetsbaar apparaat wel pairing zonder authenticatie voor BR/EDR of BLE toestaan. Vervolgens kan een aanvaller voor de andere mode via CTKD een key genereren die een bestaande maar sterkere key overschrijft, of een key die door middel van authenticatie was gemaakt vervangen. Een aanvaller kan dan een man-in-the-middle-aanval uitvoeren op apparaten die eerder met het aangevallen apparaat zijn gepaird.

De Bluetooth Special Interest Group laat weten dat versie 5.1 van de Bluetoothspecificatie beperkingen voor CTKD biedt om de aanval te voorkomen en adviseert fabrikanten om hier gebruik van te maken. Eindgebruikers krijgen het advies om beveiligingsupdates te installeren zodra die beschikbaar komen.

 

bron: security.nl