Novo problema do Bluetooth pode afetar biliões de dispositivos
30 Novembro, 2023De vez em quando, as diversas equipas de pesquisadores de segurança que lidam em particular com o setor móvel descobrem falhas mais ou menos graves, e a mais recente relacionada à conectividade Bluetooth é bastante alarmante. Estamos a falar do BLUFFS, uma falha pela qual é possível violar o sigilo das sessões Bluetooth, permitindo a representação de dispositivos e ataques man-in-the-middle (MitM).
BLUFFS é a nova ameaçada ao Bluetooth
O BLUFFS explora duas falhas anteriormente desconhecidas no padrão Bluetooth relacionadas à forma como as chaves de sessão são derivadas para descriptografar dados em troca e, crucialmente, elas não são específicas para configurações de hardware ou software, mas são “arquitetónicas” no sentido que afetam o Bluetooth num nível fundamental.
Os problemas em questão são identificados pela sigla CVE-2023-24023 e afetam a especificação Bluetooth Core desde a versão 4.2 (lançada em 2014) até a versão 5.4 (lançada em fevereiro de 2023). Em essência, essa falha é capaz de colocar em risco a segurança de biliões de dispositivos, incluindo obviamente notebooks, smartphones e outros dispositivos móveis. Essa falha aproveita uma variedade de explorações e a execução do ataque pressupõe que o invasor esteja dentro do alcance do Bluetooth dos dois dispositivos trocando dados e personifique um para negociar uma chave de sessão fraca com o outro.
A equipa da EURECOM testou o potencial desta falha simulando seis ataques contra vários dispositivos e os resultados estão resumidos na tabela que podemos ver abaixo, que inclui smartphones (Android e iOS), fones de ouvido e outros dispositivos:
O Bluetooth SIG foi informado pela equipa do EURECOM sobre o problema e publicou uma nota oficial, recomendando a utilização do Modo de Segurança 4 Nível 4 e operando apenas no modo “Somente Ligações Seguras” como alternativa para evitar surpresas desagradáveis.
Se quiser consultar o relatório completo sobre a falha em questão, apenas precisa de aceder aqui.
Joel Pinto
Fundador do Noticias e Tecnologia, e este foi o seu segundo projeto online, depois de vários anos ligado a um portal voltado para o sistema Android, onde também foi um dos seus fundadores.
