Daniele Antonioli, ein Sicherheitsexperte für Bluetooth, der zuvor Angriffsverfahren wie BIAS, BLUR und KNOB entwickelt hat, hat zwei neue Schwachstellen (CVE-2023-24023) im Bluetooth-Session-Aushandlungsmechanismus entdeckt, die alle Bluetooth-Implementierungen betreffen, die die "Secure Connections" und "Secure Simple Pairing" Modis gemäß den Spezifikationen Bluetooth Core 4.2-5.4 unterstützen. Zur Demonstration der praktischen Auswirkungen dieser Schwachstellen wurden sechs Angriffsvarianten entwickelt, die es ermöglichen, sich in die Verbindung zwischen zuvor gekoppelten Bluetooth-Geräten einzuschleusen. Der Code zur Umsetzung der Angriffsmethoden und die Werkzeuge zur Überprüfung der Schwachstellen wurden auf GitHub veröffentlicht.
Schwachstellen wurden während der Analyse der im Standard beschriebenen Mechanismen zur Erreichung direkter Geheimhaltung (Forward and Future Secrecy) festgestellt, die darauf abzielen, die Kompromittierung von Sitzungsschlüsseln im Falle der Festlegung eines permanenten Schlüssels zu verhindern (die Kompromittierung eines der permanenten Schlüsseln sollte nicht zur Entschlüsselung zuvor abgefangener oder zukünftiger Sitzungen führen) und die Wiederverwendung von Sitzungsschlüsseln zu verhindern (ein Schlüssel von einer Sitzung sollte nicht für eine andere Sitzung verwendet werden). Die gefundenen Schwachstellen ermöglichen es, diesen Schutz zu umgehen und einen unsicheren Sitzungsschlüssel in verschiedenen Sitzungen wiederzuverwenden. Diese Schwachstellen resultieren aus Mängeln im Basistandard, sind nicht spezifisch für bestimmte Bluetooth-Stacks und treten in Chips verschiedener Hersteller auf.
Die vorgeschlagenen Angriffsmethoden implementieren verschiedene Varianten der Spoofing-Organisation von klassischen (LSC, Legacy Secure Connections auf Basis veralteter kryptografischer Primitiven) und sicheren (SC, Secure Connections auf Basis von ECDH und AES-CCM) Bluetooth-Verbindungen zwischen dem System und dem Peripheriegerät sowie die Durchführung von MITM-Attacken für Verbindungen im LSC- und SC-Modus. Es wird angenommen, dass alle Bluetooth-Implementierungen, die den Standards entsprechen, verschiedenen Varianten des BLUFFS-Angriffs ausgesetzt sind. Die Funktionsweise der Methode wurde an 18 Geräten von Unternehmen wie Intel, Broadcom, Apple, Google, Microsoft, CSR, Logitech, Infineon, Bose, Dell und Xiaomi demonstriert.
Die Problematik der Schwachstellen besteht darin, dass eine Verbindung ohne Standardverstoß gewaltsam auf einen alten LSC-Modus und einen unsicheren kurzen Sitzungsschlüssel (SK) zurückgesetzt werden kann. Dies geschieht durch die Angabe einer minimal möglichen Entropie im Prozess der Verbindungsvereinbarung und durch das Ignorieren des Inhalts der Antwort mit den Authentifizierungsparametern (CR). Dadurch wird der Sitzungsschlüssel auf Basis konstanter Eingangswerte generiert (der Sitzungsschlüssel SK wird als KDF eines permanenten Schlüssels (PK) und der während der Sitzung vereinbarten Parameter berechnet). Zum Beispiel kann ein Angreifer während einer MITM-Attacke die Parameter 𝐴𝐶 und 𝑆𝐷 im Verlauf der Sitzung auf Nullwerte setzen und die Entropie 𝑆𝐸 auf den Wert 1 festlegen, was dazu führt, dass der Sitzungsschlüssel 𝑆𝐾 mit tatsächlicher Entropie von 1 Byte generiert wird (die reguläre minimale Größe der Entropie beträgt 7 Bytes (56 Bit), was in Bezug auf die Zuverlässigkeit mit einer Brute-Force-Attacke auf DES vergleichbar ist).
Wenn es dem Angreifer im Prozess der Verbindungsvereinbarung gelingt, einen kürzeren Schlüssel zu verwenden, kann er anschließend durch Brute-Force-Versuche den Permanent Key (PK) bestimmen, der zur Verschlüsselung verwendet wird, und die Dekodierung des Datenverkehrs zwischen den Geräten erreichen. Da im Rahmen eines MITM-Angriffs die Nutzung desselben Verschlüsselungsschlüssels initiiert werden kann, kann der Schlüssel, wenn er ermittelt wird, auch verwendet werden, um alle vergangenen und zukünftigen Sitzungen zu entschlüsseln, die vom Angreifer abgefangen wurden.
Um Schwachstellen zu beheben, wurde von den Forschern vorgeschlagen, den Standard zu ändern, um das LMP-Protokoll zu erweitern und die Logik der Verwendung von KDF (Key Derivation Function) bei der Schlüsselerstellung im LSC-Modus zu ändern. Diese Änderung beeinträchtigt nicht die Abwärtskompatibilität, führt jedoch zur Einbeziehung des erweiterten LMP-Befehls und zur Notwendigkeit, zusätzliche 48 Bytes zu senden. Die Bluetooth SIG, die für die Entwicklung der Bluetooth-Standards verantwortlich ist, hat als Schutzmaßnahme vorgeschlagen, Verbindungen über einen verschlüsselten Kommunikationskanal mit Schlüsseln von bis zu 7 Bytes abzulehnen. Implementierungen, die immer den Sicherheitsmodus 4 Level 4 verwenden, wird empfohlen, Verbindungen mit Schlüsseln von bis zu 16 Bytes abzulehnen.
Quelle: opennet.ru
