Il protocollo Bluetooth, presente e utilizzato da milioni di dispositivi informatici in ambito desktop e mobile, è tornato recentemente alla ribalta a causa del grande scalpore che stanno facendo in questi giorni le app di contact tracing in via di sviluppo in Italia e nel mondo come strumento di tracciamento a contrasto dell'epidemia di CoronaVirus (COVID_19).
In questo articolo parleremo di una nuova e pericolosa vulnerabilità nel protocollo Bluetooth scoperta a seguito di una ricerca accademia pubblicata dalla École Polytechnique Fédérale de Lausanne (EPFL) e alla quale è stato dato il nome BIAS (acronimo per Bluetooth Impersonation AttackS).
BIAS e Contact Tracing
La prima domanda a cui ci preme rispondere è quella che, vista la situazione emergenziale in atto, nasce spontanea nella mente di chiunque abbia seguito il dibattito sulle app di contact tracing sviluppatosi nel corso elle ultime settimane:
Questa vulnerabilità comprometterà la sicurezza delle app che prevedono l'utilizzo del Bluetooth per la segnalazione all’utente delle possibili occasioni di contagio?
Fortunatamente, la risposta è negativa: pur trattandosi di una vulnerabilità non banale, il BIAS rende il Bluetooth vulnerabile soltanto durante l'attività di pairing tra dispositivi; questo significa che tutte le principali app di contact tracing che sono state (o saranno) sviluppate secondo le direttive dei consorzi PEPP-PT, DP-3T e ROBERT (tra cui l'italiana Immuni, sviluppata dalla società Bending Spoons) e/o basate sulle API di Apple e Google non saranno influenzate dal problema, in quanto non utilizzano il pairing per effettuare il tracciamento.
Come funziona
Sgombrato il campo da quello che oggi è senza dubbio l'interrogativo più importante, cerchiamo ora di chiarire in quale misura la vulnerabilità BIAS può rappresentare un pericolo per la nostra sicurezza e quella dei nostri dispositivi di comunicazione. Per poter far questo, è necessario fare un passo indietro e comprendere il funzionamento della tecnologia Bluetooth Classic (nota anche come Bluetooth BR/EDR).
Come molti lettori già sapranno, si tratta di un protocollo di comunicazione wireless comunemente usato tra dispositivi a bassa potenza per trasferire dati (auricolari, telefoni, laptop, etc.). Le comunicazioni Bluetooth possono contenere qualsiasi tipologia di dato, inclusi ovviamente anche dati privati e / o sensibili: per questo motivo lo standard Bluetooth è dotato di una serie di contromisure di sicurezza per proteggere qualcuno che desidera intercettare e / o manipolare le informazioni trasmesse. La vulnerabilità BIAS sfrutta una falla nelle specifiche Bluetooth BR / EDR che consente a un utente malintenzionato di violare i meccanismi di sicurezza suddetti per qualsiasi dispositivo conforme agli standard. In questo modo, l'attaccante ha la possibilità di impersonare un dispositivo verso l'host dopo che entrambi sono stati precedentemente accoppiati correttamente, potendo così beneficiare del trust level ottenuto dal device a cui va a sostituirsi.
Dispositivi vulnerabili
Poiché questa tipologia di attacco riguarda un difetto strutturale delle specifiche Bluetooth, potenzialmente qualsiasi dispositivo che effettui attività di pairing in modo conforme agli standard può essere ragionevolmente considerato vulnerabile.
Il gruppo di ricerca che si è occupato dell'approfondimento del problema ha condotto attacchi BIAS su oltre 28 chip Bluetooth unici (attaccando 30 diversi dispositivi) ed ha potuto confermare che tutti i chip dei principali vendor - tra cui Cypress, Qualcomm, Apple, Intel, Samsung e CSR - si sono rivelati vulnerabili.
Patch e Fix
Nel dicembre 2019 la vulnerabilità è stata comunicata (con le cautele del caso) al Bluetooth Special Interest Group (Bluetooth SIG), l'organizzazione che supervisiona lo sviluppo dello standard Bluetooth nel mondo, così da assicurare la rapida pubblicazione di apposite patch ad opera dei vendor. E' quindi lecito aspettarsi che molti vendor abbiano già avuto modo di implementare soluzioni atte a correggere la vulnerabilità sui loro dispositivi mediante rolling patches o aggiornamenti pubblicati ad-hoc. Per questo motivo, consigliamo di attivarsi immediatamente per verificare se i firmare e/o i driver Bluetooth del proprio dispositivo siano stati aggiornati oppure no, prestando particolare attenzione ai changelog per determinare se tali aggiornamenti siano stati determinati dalla necessità di proteggere il device da attacchi di tipo BIAS.
In caso contrario (nessun aggiornamento da Dicembre 2019 ad oggi, o nessuna menzione della vulnerabilità BIAS nei changelog) è probabile che il dispositivo sia vulnerabile.
Conclusioni
Per il momento è tutto: provvederemo a tenere aggiornato questo articolo nel caso in cui pervenissero ulteriori aggiornamenti sulla vulnerabilità BIAS. Nel frattempo, vi consigliamo di tenere d'occhio anche queste pagine:
- https://francozappa.github.io/about-bias/ - Blog di Daniele Antonioli, ricercatore presso il EPFL e co-autore della ricerca che ha portato alla scoperta della vulnerabilità.
- https://francozappa.github.io/about-bias/publication/antonioli-20-bias/antonioli-20-bias.pdf - il paper realizzato da D. Antonioli, N. O. Tippenhauer e K. Rasmussen che contiene i dettagli sulla vulnerabilità BIAS.
- https://nvd.nist.gov/vuln/detail/CVE-2020-10135 - Pagina dedicata al BIAS sul National Vulnerability Database (NISE).
Chiunque abbia nuove informazioni da condividere a riguardo può farlo utilizzando l'apposita sezione Commenti disponibile in calce a questo articolo.
Alla prossima!
