Actualités

“Des mécanismes d’authentification de proximité Bluetooth qui peuvent être facilement brisés avec du matériel standard bon marché” : la connectivité Bluetooth Low Energy mise sécuritairement à mal !

Depuis le 15-16 Mai 2022, le NCCGroup a communiqué autour de trois grandes failles relatives au BLE (Bluetooth Low Energy) : assez critiques, elles permettent une prise de contrôle à distance d’un dispositif IoT voire d’une voiture reliée avec la connectivité… sans forcément être à proximité.

 

 

Nous avons mené la première attaque de relais de couche de liaison au monde contre Bluetooth Low Energy (BLE), le protocole standard utilisé pour partager des données entre les appareils qui ont été adoptés par les entreprises pour l’authentification de proximité pour débloquer des millions de véhicules, des serrures intelligentes résidentielles, un accès commercial sur le bâtiment commercial Systèmes de contrôle, smartphones, montres intelligentes, ordinateurs portables et plus encore. Nos recherches montrent que les systèmes sur lesquels les gens comptent pour garder leurs voitures, leurs maisons et leurs données privées utilisent des mécanismes d’authentification de proximité Bluetooth qui peuvent être facilement brisés avec du matériel standard bon marché – en fait, une voiture peut être piratée de l’autre côté du monde”, indique le communiqué officiel, le 16 Mai 2022.

Les vulnérabilités mises en lumière par les PoC dédiés :

  • Cyber-attaque par relais : “Étant donné que cette attaque de relais fonctionne à la couche de liaison, elle peut transmettre la couche de liaison cryptée PDUS. Il est également capable de détecter les modifications chiffrées des paramètres de connexion (tels que l’intervalle de connexion, Winoffset, le mode PHY et la carte de canal) et de continuer à relayer les connexions via des modifications des paramètres. Ainsi, ni le cryptage de couche de liaison ni les changements de paramètres de connexion chiffrés ne sont des défenses contre ce type d’attaque de relais“. Versions impactées du Bluetooth SIG : v4.0 à v5.3 ;
  • Cyber-attaque par relais sur voiture connectée (sous BLE), dont un modèle Tesla (2020, Model 3 – logiciel v11.0 2022.8.2) via un iPhone (13 mini). Le PoC a été pratiqué au “dernier étage” d’une maison (25 mètres du véhicule – situé dans le garage, en sous-sol). Cyber-attaque efficace jusqu’à 80 ms (réponse-latence). Versions impactées : v2022.8.2 383989fadeea, iOS app (v4.6.1-891, 3784ebe63) ;
  • Cyber-attaque par relais sur des serrures connectées (sous BLE), dont les Kevo SmartLock. “Cet outil effectue un nouveau type d’attaque de relais BLE fonctionnant sur la couche de liaison, pour laquelle la latence ajoutée se situe dans la plage de la variation normale de synchronisation de la réponse GATT, et qui est capable de relayer les communications de la couche de liaison chiffrée. Cette approche peut contourner les atténuations d’attaque de relais existantes de la borne de latence de réponse GATT ou le cryptage de la couche de liaison, et contourner les défenses de localisation couramment utilisées contre les attaques de relais qui utilisent l’amplification du signal“. Versions impactées : toute version confondue de Kevo Gen2 (sous firmware v1.9.49) ainsi que les versions sous Android de Kevo (v2.9.1.21765p).

 

Sont potentiellement exposées à ces failles :

  • Les voitures avec clé sous BLE (dont les Tesla 3, Tesla Y),
  • Les terminaux nomades type laptops sous BLE actif,
  • Les terminaux mobiles type smartphones,
  • Les serrures connectées (IoT – dont solutions Kwikset-Weiser Kevo SmartLocks),
  • Les systèmes de contrôles de portes ou de passage,
  • Les capteurs médicaux connectés (IoT).

 

(Source : J. Klossner)

 

Quelques recommandations, surtout pour les fabricants ou constructeurs qui commercialisent des objets IoTs ou des automobiles connectées sous BLE, notamment :

 

  • Désactivation de la fonctionnalité de déverrouillage si clé inactive depuis un certain temps ;
  • Du côté des éditeurs, développer une option de double-authentification et / ou une fonction permettant de prouver que l’utilisateur est bien présent et qu’il s’agit de lui (appuyer sur un bouton) ;
  • Du côté, enfin, des utilisateurs : désactivation des fonctionnalités de déverrouillage si ces dernières n’ont aucune vérification complémentaire à requérir voire la désactivation du Bluetooth si celui-ci n’est pas indispensable.

 

 

Ces défaillances sécuritaires ne sont pas sans rappeler, entre-autres, la compromission de clés de voiture de type KGS ou KES, en Mars 2022, voire, également, la mise à mal du Bluetooth en Mai 2021 et en Mai 2020 (BIAS)… A veiller !

 

 

 

 

Sources :




  • 50% J'apprécieVS
    50% Je n'apprécie pas
    Pas de commentaire

    Laisser un commentaire

    ;) :zzz: :youpi: :yes: :xmas: :wink: :whistle: :warning: :twisted: :sw: :sleep: :sg1: :schwarzy: :sarko: :sante: :rollol: :roll: :rip: :pt1cable: :popcorn: :pff: :patapai: :paf: :p :ouch: :oops: :o :non: :na: :mrgreen: :mdr: :macron: :love: :lol: :kissou: :kaola: :jesuisdehors: :jap: :ilovesos: :idea: :houra: :hello: :heink: :grumpy: :fume: :frenchy: :fouet: :fouet2: :first: :fessee: :evil: :dispute: :demon: :cryy: :cry: :cpignon: :cool: :cassepc: :capello: :calin: :bug: :boxe: :bounce: :bluesbro: :bisou: :babyyoda: :assassin: :arrow: :annif: :ange: :amen: :D :??: :?: :/ :-| :-x :-o :-P :-D :-? :-8 :-1: :+1: :) :( 8-O

    Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

    Copyright © Association SOSOrdi.net 1998-2022 - v1.11.6