Hakkında konuştuğumuzda Bluetooth aklımıza cep telefonumuz geliyor. Evimizdeki tüm kablosuz bağlantıların sinir merkezi artık bu kablosuz teknolojinin arkasındaki kuruluşlar tarafından tespit edilen yeni bir güvenlik sorununa maruz kalıyor.
Birkaç saat önce, tüm mobil cihaz üreticilerinin ve sağlayıcıların yeni bir saldırı ile yüzleşmek için izlemesi gereken bir dizi ipucu yayınlandı. BLURdiş Bluetooth özellikli cihazlara yöneliktir. Bu uzmanlar, Bluetooth standardının, iki cihazı birbiriyle eşleştirirken kimlik doğrulama anahtarlarını yapılandırmaktan sorumlu olan Cross-Transport Key Derivation (CTKD) adlı bir bileşeninde bir güvenlik açığı olduğunu iddia ediyor.
Çözümü olan bir tehlike… yolda
İki Bluetooth cihazının eşleştirilmesi, Bluetooth Düşük Enerji (BLE) ve Temel Hız / Gelişmiş Veri Hızı (BR / EDR) standardı için iki farklı kimlik doğrulama anahtarı setini yapılandırır. CTKD'nin görevi, anahtarları hazır bulundurmak ve eşleştirilmiş cihazların hangi Bluetooth standardını kullanmak istediklerine karar vermelerine izin vermektir. Bu tehlikeli güvenlik açığının tespit edildiği yer burasıdır.
SIG ve CERT gibi kuruluşlar, işlemde tespit edilen bu "başarısızlık" nedeniyle, bir saldırganın CTKD bileşenini bir cihazdaki diğer Bluetooth kimlik doğrulama anahtarlarının üzerine yazmak için kullanabileceği konusunda uyarırlar. Bu şekilde, bir saldırgana Bluetooth aracılığıyla aynı cihazdaki diğer Bluetooth uyumlu hizmetlere / uygulamalara bağlanma izni verilebilir.
En “aldatıcı” şey, bugün Bluetooth 4.0 ila 5.0 standardını kullanan tüm cihazların bu saldırılara karşı savunmasız olmasıdır ve bunlar cep telefonlarımızdaki en yaygın sürümlerdir. Buna karşılık, son aylarda satın alınan ve Bluetooth 5.1 standardı altında çalışan akıllı telefonlar, bu tür saldırıları engelleyebilecek özelliklere sahip olarak sorunsuz.
Karşı korunmanın tek yolu BLURtooth saldırıları ortadaki adam saldırılarını veya güvenilmez cihazlarla eşleşmeyi önlemek için Bluetooth cihazlarının eşleştiği ortamı kontrol etmektir. Ancak, üreticilere bunları etkilenen terminaller için ürün yazılımı güncellemeleri olarak dahil etmek üzere mümkün olan en kısa sürede tedarik etmek amacıyla bu güvenlik açığını ortadan kaldırmak için yamaların üzerinde çalışıldığı zaten onaylanmıştır.
Telefonunuzun bu hataya karşı korunup korunmadığını bilmek ve bir yama alıp almadığınızı öğrenmek için BLURdiş saldırılar , telefonunuzun donanım yazılımı sürümünde ve işletim sisteminde bulunan bilgileri kontrol edebilir ve bu güvenlik açığını sonlandıran CVE-2020-15802 tanımlayıcısını bulabilirsiniz.
Kaynak>ZDNet
