BIAS – Bluetooth Impersonation AttackS Tutto quello che sappiamo ad oggi su BIAS, la nuova vulnerabilità nel protocollo Bluetooth scoperta dalla École Polytechnique Fédérale de Lausanne (EPFL)

BIAS - Bluetooth Impersonation AttackS

Il protocollo Bluetooth, presente e utilizzato da milioni di dispositivi informatici in ambito desktop e mobile, è tornato recentemente alla ribalta a causa del grande scalpore che stanno facendo in questi giorni le app di contact tracing in via di sviluppo in Italia e nel mondo come strumento di tracciamento a contrasto dell’epidemia di CoronaVirus (COVID_19).

In questo articolo parleremo di una nuova e pericolosa vulnerabilità nel protocollo Bluetooth scoperta a seguito di una ricerca accademia pubblicata dalla École Polytechnique Fédérale de Lausanne (EPFL) e alla quale è stato dato il nome BIAS (acronimo per Bluetooth Impersonation AttackS).

BIAS e Contact Tracing

La prima domanda a cui ci preme rispondere è quella che, vista la situazione emergenziale in atto, nasce spontanea nella mente di chiunque abbia seguito il dibattito sulle app di contact tracing sviluppatosi nel corso elle ultime settimane:

Questa vulnerabilità comprometterà la sicurezza delle app che prevedono l’utilizzo del Bluetooth per la segnalazione all’utente delle possibili occasioni di contagio?

Fortunatamente, la risposta è negativa: pur trattandosi di una vulnerabilità non banale, il BIAS rende il Bluetooth vulnerabile soltanto durante l’attività di pairing tra dispositivi; questo significa che tutte le principali app di contact tracing che sono state (o saranno) sviluppate secondo le direttive dei consorzi PEPP-PT, DP-3T e ROBERT (tra cui l’italiana Immuni, sviluppata dalla società Bending Spoons) e/o basate sulle API di Apple e Google non saranno influenzate dal problema, in quanto non utilizzano il pairing per effettuare il tracciamento.

Queste app, come abbiamo già avuto modo di approfondire nel nostro articolo dedicato all’efficacia del contact tracing condotto con l’ausilio di strumenti informatici, fanno uso di una particolare tipologia di Bluetooth – chiamata Bluetooth Low Energy (BLE) – che, pur basandosi sul medesimo protocollo del Bluetooth tradizionale, presenta alcuni importanti vantaggi in termini di efficienza e consumi che la rendono particolarmente indicata per le applicazioni in ambito Internet of Things (IoT). Poiché, nel caso specifico, il tracciamento effettuato tramite BLE non avviene tramite pairing, non vi è ragione di credere che questa vulnerabilità possa compromettere in alcun modo la loro sicurezza.

Come funziona

Sgombrato il campo da quello che oggi è senza dubbio l’interrogativo più importante, cerchiamo ora di chiarire in quale misura la vulnerabilità BIAS può rappresentare un pericolo per la nostra sicurezza e quella dei nostri dispositivi di comunicazione. Per poter far questo, è necessario fare un passo indietro e comprendere il funzionamento della tecnologia Bluetooth Classic (nota anche come Bluetooth BR/EDR).

Come molti lettori già sapranno,  si tratta di un protocollo di comunicazione wireless comunemente usato tra dispositivi a bassa potenza per trasferire dati (auricolari, telefoni, laptop, etc.). Le comunicazioni Bluetooth possono contenere qualsiasi tipologia di dato, inclusi ovviamente anche dati privati e / o sensibili: per questo motivo lo standard Bluetooth è dotato di una serie di contromisure di sicurezza per proteggere qualcuno che desidera intercettare e / o manipolare le informazioni trasmesse. La vulnerabilità BIAS sfrutta una falla nelle specifiche Bluetooth BR / EDR che consente a un utente malintenzionato di violare i meccanismi di sicurezza suddetti per qualsiasi dispositivo conforme agli standard. In questo modo, l’attaccante ha la possibilità di impersonare un dispositivo verso l’host dopo che entrambi sono stati precedentemente accoppiati correttamente, potendo così beneficiare del trust level ottenuto dal device a cui va a sostituirsi.

Dispositivi vulnerabili

Poiché questa tipologia di attacco riguarda un difetto strutturale delle specifiche Bluetooth, potenzialmente qualsiasi dispositivo che effettui attività di pairing in modo conforme agli standard può essere ragionevolmente considerato vulnerabile.

Il gruppo di ricerca che si è occupato dell’approfondimento del problema ha condotto attacchi BIAS su oltre 28 chip Bluetooth unici (attaccando 30 diversi dispositivi) ed ha potuto confermare che tutti i chip dei principali vendor – tra cui Cypress, Qualcomm, Apple, Intel, Samsung e CSR – si sono rivelati vulnerabili.

Patch e Fix

Nel dicembre 2019 la vulnerabilità è stata comunicata (con le cautele del caso) al Bluetooth Special Interest Group (Bluetooth SIG), l’organizzazione che supervisiona lo sviluppo dello standard Bluetooth nel mondo, così da assicurare la rapida pubblicazione di apposite patch ad opera dei vendor. E’ quindi lecito aspettarsi che molti vendor abbiano già avuto modo di implementare soluzioni atte a correggere la vulnerabilità sui loro dispositivi mediante rolling patches o aggiornamenti pubblicati ad-hoc. Per questo motivo, consigliamo di attivarsi immediatamente per verificare se i firmare e/o i driver Bluetooth del proprio dispositivo siano stati aggiornati oppure no, prestando particolare attenzione ai changelog per determinare se tali aggiornamenti siano stati determinati dalla necessità di proteggere il device da attacchi di tipo BIAS.

In caso contrario (nessun aggiornamento da Dicembre 2019 ad oggi, o nessuna menzione della vulnerabilità BIAS nei changelog) è probabile che il dispositivo sia vulnerabile. 

Conclusioni

Per il momento è tutto: provvederemo  a tenere aggiornato questo articolo nel caso in cui pervenissero ulteriori aggiornamenti sulla vulnerabilità BIAS. Nel frattempo, vi consigliamo di tenere d’occhio anche queste pagine:

Chiunque abbia nuove informazioni da condividere a riguardo può farlo utilizzando l’apposita sezione Commenti disponibile in calce a questo articolo.

Alla prossima!

 

About Ryan

IT Project Manager, Web Interface Architect e Lead Developer di numerosi siti e servizi web ad alto traffico in Italia e in Europa. Dal 2010 si occupa anche della progettazione di App e giochi per dispositivi Android, iOS e Mobile Phone per conto di numerose società italiane. Microsoft MVP for Development Technologies dal 2018.

View all posts by Ryan

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Questo sito usa Akismet per ridurre lo spam. Scopri come i tuoi dati vengono elaborati.