Bluetooth se trouve dans presque tous les gadgets modernes, c'est pourquoi une faille nouvellement découverte dans le protocole de communication doit être prise très au sérieux.
Comme ZDNet l'a signalé pour la première fois, David Starobinski et Johannes Becker de l'Université de Boston ont décrit dans un document de recherche comment les smartphones, les ordinateurs portables et les appareils portables peuvent être suivis grâce à un exploit de la technologie Bluetooth.
Selon le document, il y a une faille dans les adresses MAC aléatoires en constante évolution qui sont conçues pour protéger les appareils Bluetooth contre le suivi. Cette approche de sécurité pourrait faire le jeu d'un mauvais acteur, lui permettant non seulement de suivre un appareil, mais également d'obtenir des informations sur son identité ainsi que sur l'activité de l'utilisateur.
Au cœur de cette faille Bluetooth se trouve un problème où les jetons d'identification et les adresses MAC aléatoires ne changent pas de manière synchronisée, ce qui permet à ce que les chercheurs de l'université de Boston appellent un « algorithme de transfert d'adresse » pour suivre en continu un appareil en utilisant un « pseudo- identité."
"L'algorithme de report d'adresse exploite la nature asynchrone du changement d'adresse et de charge utile, et utilise des jetons d'identification inchangés dans la charge utile pour retracer une nouvelle adresse aléatoire entrante jusqu'à un périphérique connu", lit-on dans le document. "Ce faisant, l'algorithme de report d'adresse neutralise l'objectif d'anonymat dans les canaux de diffusion visé par une randomisation fréquente des adresses."
PLUS: La nouvelle vulnérabilité de Windows 10 pourrait permettre aux pirates d'obtenir un accès complet…
Le plus effrayant est peut-être que cet algorithme ne fait aucun décryptage et est entièrement basé sur le trafic publicitaire public et non crypté, selon le journal. Ce qui est également préoccupant, c'est que l'exploit a été testé sur la spécification Bluetooth à faible consommation d'énergie (BLE), qui se trouve dans la dernière norme Bluetooth 5.
L'exploit est censé fonctionner sur les appareils Windows 10, iOS et macOS, qui incluent les iPhones, les appareils Surface et les MacBooks. Les appareils Android annoncent leur trafic d'une manière complètement différente (en recherchant la publicité à proximité; il n'y a pas de suivi actif et continu) et sont immunisés contre la vulnérabilité.
Les chercheurs qui ont découvert la faille Bluetooth ont énuméré plusieurs règles qui pourraient protéger les appareils concernés, dont le point crucial est de synchroniser toute modification des informations de suivi avec les modifications apportées à l'adresse MAC d'un appareil. L'activation et la désactivation du Bluetooth sur les appareils iOS et macOS (désolé, utilisateurs de Windows, cela ne vous aidera pas) est une solution de contournement temporaire, mais il appartient aux fabricants de proposer une solution plus permanente. Cependant, l'exploit Bluetooth a été divulgué pour la première fois à Microsoft et Apple en novembre 2022-2023, suggérant que ce n'est pas une priorité élevée pour ces entreprises.
« Alors que l'adoption de Bluetooth devrait passer de 4,2 à 5,2 milliards d'appareils entre 2022-2023 et 2022, dont plus d'un demi-milliard d'appareils portables et d'autres appareils connectés axés sur les données, il est essentiel d'établir des méthodes résistantes au suivi, en particulier sur les canaux de communication non cryptés. importance primordiale », lit-on dans le journal.
Bien qu'aucun cas connu n'ait été cité, les chercheurs avertissent que si la vulnérabilité BLE n'est pas contrôlée, les adversaires pourraient éventuellement combiner les transactions d'achat, la reconnaissance faciale et d'autres informations sensibles avec des données de suivi pour créer un profil d'un utilisateur exposé.
- Meilleur antivirus - Meilleur logiciel pour PC, Mac et Android