Daniele Antonioli, ein Bluetooth-Sicherheitsforscher, der zuvor Angriffstechniken wie BIAS, BLUR und KNOB entwickelt hat, hat zwei neue Schwachstellen (CVE-2023-24023) im Bluetooth-Sitzungs-Aushandlungsmechanismus identifiziert, die alle Bluetooth-Implementierungen betreffen, die die Modi „Secure Connections“ und „Secure Simple Pairing“ unterstützen, die den Bluetooth Core 4.2-5.4-Spezifikationen entsprechen. Zur Demonstration der praktischen Anwendung der gefundenen Schwachstellen wurden sechs Angriffsversionen entwickelt, die es ermöglichen, sich in die Verbindung zwischen zuvor gekoppelten Bluetooth-Geräten einzuschleusen. Der Code zur Implementierung der Angriffsmethoden und ein Tool zur Überprüfung auf Schwachstellen wurden auf GitHub veröffentlicht.
Die Schwachstellen wurden bei der Analyse der im Standard beschriebenen Mechanismen zur Erreichung der direkten Geheimhaltung (Forward und Future Secrecy) entdeckt, die gegen die Kompromittierung von Sitzungsschlüsseln im Falle der Entdeckung eines dauerhaften Schlüssels wirken (die Kompromittierung eines der permanenten Schlüssel sollte nicht zur Entschlüsselung zuvor abgefangener oder zukünftiger Sitzungen führen) und die Wiederverwendung von Sitzungsschlüsseln verhindern (der Schlüssel einer Sitzung sollte nicht auf eine andere Sitzung anwendbar sein). Die gefundenen Schwachstellen ermöglichen es, diesen Schutz zu umgehen und einen unsicheren Sitzungsschlüssel in verschiedenen Sitzungen wiederzuverwenden. Die Schwachstellen sind auf Mängel im Basisstandard zurückzuführen, sind nicht spezifisch für einzelne Bluetooth-Stacks und treten in Chips verschiedener Hersteller auf.
Die vorgeschlagenen Angriffsmethoden realisieren verschiedene Varianten des Spoofings von klassischen (LSC, Legacy Secure Connections auf Basis veralteter kryptographischer Primitiven) und sicheren (SC, Secure Connections auf Basis von ECDH und AES-CCM) Bluetooth-Verbindungen zwischen einem System und einem Peripheriegerät sowie die Durchführung von MITM-Angriffen auf Verbindungen im LSC- und SC-Modus. Es wird angenommen, dass alle Bluetooth-Implementierungen, die dem Standard entsprechen, anfällig für die verschiedenen Varianten des BLUFFS-Angriffs sind. Die Funktionsweise der Methode wurde an 18 Geräten von Unternehmen wie Intel, Broadcom, Apple, Google, Microsoft, CSR, Logitech, Infineon, Bose, Dell und Xiaomi demonstriert.
Die Essenz der Schwachstellen besteht darin, dass es möglich ist, ohne Verletzung des Standards die Verbindung zwangsweise auf die Nutzung eines alten LSC-Modus und eines unzuverlässigen kurzen Sitzungsschlüssels (SK) zurückzusetzen, indem im Prozess der Aushandlung der Verbindung die minimal mögliche Entropie angegeben wird und der Inhalt der Antwort mit Authentifizierungsparametern (CR) ignoriert wird. Dies führt zur Generierung eines Sitzungsschlüssels auf Basis konstanter Eingabeparameter (der Sitzungsschlüssel SK wird als KDF von dem permanenten Schlüssel (PK) und während der Sitzung vereinbarten Parametern berechnet). Beispielsweise kann ein Angreifer im Zuge eines MITM-Angriffs die Parameter 𝐴𝐶 und 𝑆𝐷 im Aushandlungsprozess auf Nullwerte setzen sowie die Entropie 𝑆𝐸 auf den Wert 1 setzen, was zur Bildung eines Sitzungsschlüssels 𝑆𝐾 mit einer tatsächlichen Entropie von 1 Byte führt (die reguläre minimale Entropiegröße beträgt 7 Byte (56 Bit), was in Bezug auf die Zuverlässigkeit mit dem Brute-Force-Angriff auf DES vergleichbar ist).
Wenn es dem Angreifer während des Aushandlungsprozesses gelungen ist, einen kürzeren Schlüssel zu erreichen, kann er durch Brute-Force-Angriffe den permanenten Schlüssel (PK) bestimmen, der zur Verschlüsselung verwendet wird, und den Datenverkehr zwischen den Geräten entschlüsseln. Da beim MITM-Angriff die Verwendung desselben Verschlüsselungsschlüssels eingeleitet werden kann, kann, wenn dieser Schlüssel ermittelt wird, auch für die Entschlüsselung aller früheren und zukünftigen Sitzungen, die vom Angreifer abgefangen wurden, genutzt werden.
Um die Schwachstellen zu blockieren, wurde vom Forscher vorgeschlagen, Änderungen in den Standard einzuführen, die das LMP-Protokoll erweitern und die Logik der Verwendung der KDF (Key Derivation Function) bei der Bildung von Schlüsseln im LSC-Modus ändern. Die Änderung verletzt die Abwärtskompatibilität nicht, führt jedoch zur Einführung eines erweiterten LMP-Befehls und zur Notwendigkeit, zusätzliche 48 Byte zu senden. Die Bluetooth SIG, die für die Entwicklung der Bluetooth-Standards verantwortlich ist, schlug als Schutzmaßnahme vor, Verbindungen über einen verschlüsselten Kommunikationskanal mit Schlüsseln, die bis zu 7 Byte groß sind, abzulehnen. Implementierungen, die immer den Security Mode 4 Level 4 anwenden, wird geraten, Verbindungen mit Schlüsseln, die bis zu 16 Byte groß sind, abzulehnen.
Quelle: opennet.ru
