VULNERABILITA’ BLUETOOTH (CWE-325)
IMPERATIVO AGGIORNARE I DISPOSITIVI
Il “National Cybersecurity and Communications Integration Center” degli Stati Uniti ha emesso ieri un documento che mira a incoraggiare gli utenti e gli Amministratori delle Aziende pubbliche e private a rivedere la nota della vulnerabilità (CWE-325, CVE-2018-5383) individuata sulla tecnologia di comunicazione senza fili Bluetooth a seguito del rilascio degli aggiornamenti da parte dei Vendor. Tale vulnerabilità permetterebbe ad un attaccante di intercettare e decodificare tutto il traffico di un dispositivo oppure inserirsi nella comunicazione ed inviare falsi o malevoli messaggi (attacco Man In The Middle).
La problematica riguarda sia le implementazioni più recenti del Bluetooth a basso consumo energetico (LE), molto utilizzato negli aspetti dell’ IoT, Medical e soprattutto nel settore Auomotive, legate al Sistema
Operativo, sia quelle più datate BR/EDR legate al firmware del dispositivo.
Trattandosi di una vulnerabilità individuata già qualche mese fa, nelle prossime settimane sono previsti gli aggiornamenti per i dispositivi che ancora non sono stati protetti. E’ importante pertanto che tutti gli utilizzatori di dispositivi Bluetooth verifichino sul sito del proprio fornitore la disponibilità di aggiornamenti. Nella tabella sotto si possono trovare le informazioni di alcuni Vendor). Su tale vulnerabilità “Bluetooth SIG” (la comunità globale di oltre 30.000 aziende che curano lo standard di questa tecnologia) ha rilasciato, sempre nella giornata di ieri, una dichiarazione pubblica.
| Vendor | Status | Date Notified | Date Updated |
| Apple | Affected | 18 Jan 2018 | 23 Jul 2018 |
| Broadcom | Affected | 18 Jan 2018 | 19 Jun 2018 |
| Intel | Affected | 18 Jan 2018 | 23 Jul 2018 |
| QUALCOMM Incorporated | Affected | 18 Jan 2018 | 06 Feb 2018 |
| Microsoft | Not Affected | 06 Feb 2018 | 20 Jul 2018 |
| Android Open Source Project | Unknown | 18 Jan 2018 | 18 Jan 2018 |
| Bluetooth SIG | Unknown | 06 Feb 2018 | 06 Feb 2018 |
| Unknown | 19 Mar 2018 | 19 Mar 2018 | |
| Linux Kernel | Unknown | 05 Mar 2018 | 05 Mar 2018 |
La tecnologia Bluetooth, grazie ai nuovi standard che hanno ampliato il campo di copertura del segnale e ridotto il consumo di energia, sta diventando sempre più presente nella vita di tutti i giorni, grazie alle nuove tecnologie soprattutto come abbiamo accennato nei campi dell’IoT, in quello medicale e in quello dell’Automotive. Il Bluetooth rappresenta il primo protocollo wireless scelto dalla “Continua Health Alliance” ed avrà una grande diffusione nelle applicazioni medicali di uso domestico.
Ma il Bluetooth permette anche di trasferire o sincronizzare dati tra computer e dispositivi vari, di utilizzare una tastiera o un mouse wireless, collegarsi a stampanti, auricolari, cuffie o altoparlanti senza fili e anche condividere la connessione internet ad altri dispositivi. La release 4.2 del protocollo Bluetooth si prefissa poi di consentire il collegamento diretto con un gateway Internet da parte dei dispositivi IoT. E non c’è alcun limite ai possibili campi di applicazione di questi dispositivi, spaziando dalla domotica agli impianti di controllo industriale.
E’ facile pertanto, a questo punto, riflettere su cosa potrebbe comportare un attacco al protocollo Bluetooth. Anche solo l’intercettazione e decifratura del traffico scambiato da determinati dispositivi con internet
potrebbe rappresentare un serio pericolo per l’utente/azienda. Per non parlare poi della possibile alterazione dei parametri di automobili, macchine industriali o della domotica aziendale. Infine, genericamente, un attacco al Bluetooth potrebbe anche permettere ad un criminale di saltare da una macchina vulnerabile ad altri dispositivi della rete.
E’ fondamentale quindi non trascurare gli aggiornamenti di questa tecnologia, e trattare i dispositivi bluetooth e in genere tutti quelli dell’IoT, al pari di tutti i dispositivi della rete, prevedendo anche per essi un periodico controllo delle vulnerabilità.