Il Bluetooth si trova in quasi tutti i gadget moderni, motivo per cui un difetto scoperto di recente nel protocollo di comunicazione dovrebbe essere preso molto sul serio.
Come riportato per la prima volta da ZDNet, David Starobinski e Johannes Becker della Boston University hanno delineato in un documento di ricerca come smartphone, laptop e dispositivi indossabili possono essere monitorati tramite un exploit nella tecnologia Bluetooth.
Secondo il documento, c'è un difetto negli indirizzi MAC randomizzati e in continua evoluzione progettati per proteggere i dispositivi Bluetooth dal tracciamento. Questo approccio alla sicurezza potrebbe fare il gioco di un malintenzionato, consentendogli non solo di tracciare un dispositivo, ma anche di ottenere informazioni sulla sua identità e sull'attività dell'utente.
Al centro di questo difetto Bluetooth c'è un problema in cui l'identificazione di token e indirizzi MAC casuali non cambiano in sincronia, il che consente a ciò che i ricercatori della Boston Unversity chiamano "algoritmo di trasferimento dell'indirizzo" di monitorare continuamente un dispositivo utilizzando uno "pseudo- identità."
"L'algoritmo di trasferimento degli indirizzi sfrutta la natura asincrona della modifica dell'indirizzo e del carico utile e utilizza token di identificazione invariati nel carico utile per risalire a un nuovo indirizzo casuale in arrivo su un dispositivo noto", si legge nel documento. "In tal modo, l'algoritmo di trasferimento degli indirizzi neutralizza l'obiettivo dell'anonimato nei canali di trasmissione previsti dalla frequente randomizzazione degli indirizzi".
ALTRO: La nuova vulnerabilità di Windows 10 potrebbe consentire agli hacker di ottenere l'accesso completo…
Forse la cosa più spaventosa è che questo algoritmo non esegue alcuna decrittazione e si basa completamente sul traffico pubblicitario pubblico e non crittografato, secondo il documento. Preoccupa anche il fatto che l'exploit sia stato testato sulla specifica Bluetooth a bassa energia (BLE), che si trova nell'ultimo standard Bluetooth 5.
L'exploit dovrebbe funzionare su dispositivi Windows 10, iOS e macOS, inclusi iPhone, dispositivi Surface e MacBook. I dispositivi Android pubblicizzano il loro traffico in un modo completamente diverso (eseguendo la scansione della pubblicità nelle vicinanze; non esiste un monitoraggio attivo e continuo) e sono immuni alla vulnerabilità.
I ricercatori che hanno scoperto il difetto Bluetooth hanno elencato diverse regole che potrebbero proteggere i dispositivi interessati, il cui punto cruciale è sincronizzare eventuali modifiche alle informazioni di tracciamento con le modifiche all'indirizzo MAC di un dispositivo. L'attivazione e la disattivazione del Bluetooth su dispositivi iOS e macOS (scusate gli utenti Windows, questo non vi aiuterà) è una soluzione temporanea, ma spetta ai produttori proporre una soluzione più permanente. Tuttavia, l'exploit Bluetooth è stato divulgato per la prima volta a Microsoft e Apple nel novembre 2022-2023, suggerendo che non è una priorità elevata per quelle società.
"Poiché si prevede che l'adozione del Bluetooth aumenterà da 4,2 a 5,2 miliardi di dispositivi tra il 2022-2023 e il 2022, con oltre mezzo miliardo di dispositivi indossabili e altri dispositivi connessi incentrati sui dati, stabilire metodi resistenti al tracciamento, in particolare su canali di comunicazione non crittografati, è di importanza fondamentale", si legge nel documento.
Sebbene non siano stati citati casi noti, i ricercatori avvertono che se la vulnerabilità BLE rimane deselezionata, gli avversari potrebbero eventualmente combinare transazioni di acquisto, riconoscimento facciale e altre informazioni sensibili con dati di tracciamento per creare un profilo di un utente esposto.
- Miglior antivirus: il miglior software per PC, Mac e Android