Minacce wireless per Bluetooth e IoT

Bluetooth è una tecnologia wireless a corto raggio (in genere 10-100 metri) che opera nella banda ISM a 2,4 GHz. Utilizza il frequency hopping spread spectrum (fino a 1600 salti al secondo), che offre una certa resistenza alle interferenze e alle intercettazioni occasionali. I dispositivi Bluetooth eseguono il pairing scambiando un PIN o utilizzando Secure Simple Pairing (SSP). L'esame Security+ verifica la conoscenza degli attacchi specifici per Bluetooth, delle modalità di sicurezza disponibili in Bluetooth classic e BLE (Bluetooth Low Energy) e dei controlli per ridurre la superficie di attacco dei dispositivi dotati di Bluetooth.

Il bluejacking è un attacco relativamente innocuo che invia messaggi non richiesti ai dispositivi Bluetooth rilevabili. Richiede che il dispositivo bersaglio abbia il Bluetooth in modalità rilevabile e sfrutta la funzione di condivisione dei contatti del dispositivo per inviare una vCard o un messaggio. Più grave è il bluesnarfing, che sfrutta vulnerabilità nel protocollo OBEX Push per accedere a contatti, dati del calendario e file presenti sul dispositivo bersaglio senza autorizzazione al pairing. Il bluesnarfing era una preoccupazione significativa nelle prime implementazioni Bluetooth (prima del 2004), ma è stato in gran parte corretto nei dispositivi moderni. Entrambi gli attacchi richiedono la prossimità alla vittima.

Il bluebugging sfrutta le vulnerabilità Bluetooth per ottenere il controllo non autorizzato di un dispositivo bersaglio — effettuando chiamate, leggendo messaggi o intercettando comunicazioni — tramite l'abuso dei comandi AT su Bluetooth. La vulnerabilità BIAS (Bluetooth Impersonation Attacks) (2020, CVE-2020-10135) interessa direttamente la specifica Bluetooth BR/EDR e consente a un aggressore che abbia già effettuato il pairing con un dispositivo di impersonare il dispositivo remoto durante l'autenticazione, aggirando il processo di pairing. BIAS ha interessato quasi tutte le implementazioni Bluetooth finché i produttori non hanno rilasciato patch del firmware. Mantenere aggiornato il firmware è la principale difesa.

Bluetooth Low Energy (BLE) viene utilizzato in fitness tracker, dispositivi medici, dispositivi per la smart home e beacon. BLE utilizza pacchetti di advertising che i dispositivi trasmettono continuamente, così che altri dispositivi possano individuarli. Questi annunci possono contenere identificativi del dispositivo utilizzabili per il tracciamento — per seguire la posizione fisica di una persona in base ai suoi dispositivi BLE. Le connessioni BLE con pairing debole o assente (modalità Just Works) possono essere intercettate e manipolate. I dispositivi IoT medicali che utilizzano BLE con un'autenticazione debole presentano un rischio particolare, perché comandi non autorizzati possono compromettere la sicurezza dei pazienti.

I dispositivi IoT (Internet of Things) — telecamere, termostati intelligenti, sensori industriali e monitor medicali — introducono problematiche di sicurezza specifiche. Spesso dispongono di risorse limitate e utilizzano firmware semplici che ricevono raramente aggiornamenti di sicurezza. Molti vengono distribuiti con credenziali predefinite che gli utenti non modificano mai. I dispositivi IoT ampliano notevolmente la superficie di attacco: nel 2016, la botnet Mirai ha compromesso centinaia di migliaia di telecamere IP e DVR utilizzando credenziali predefinite (admin/admin, root/root) e li ha impiegati per lanciare enormi attacchi DDoS. Ogni dispositivo IoT non protetto rappresenta un potenziale punto di ingresso.

Il controllo più efficace a livello di rete per i dispositivi IoT è la segmentazione. I dispositivi IoT devono essere collocati in una VLAN dedicata, con regole firewall altamente restrittive che consentano solo le specifiche connessioni in uscita necessarie al loro funzionamento. Le connessioni in ingresso provenienti dagli altri segmenti della rete interna devono essere completamente bloccate. Ad esempio, un termostato intelligente potrebbe aver bisogno di una connessione HTTPS in uscita verso il proprio servizio cloud, ma non dovrebbe mai poter avviare connessioni verso file server o database interni. In questo modo si limita l'impatto potenziale nel caso in cui un dispositivo venga compromesso.

Zigbee (IEEE 802.15.4) e Z-Wave sono protocolli di rete mesh ampiamente utilizzati nella smart home e nell'automazione degli edifici. Zigbee utilizza AES-128 per la cifratura, ma la sicurezza dipende dalla gestione delle chiavi: la trust center link key e la network key devono essere protette. Le prime implementazioni Zigbee trasmettevano la network key in chiaro durante l'inserimento dei dispositivi, consentendo a chi intercettava passivamente le comunicazioni di catturarla. Z-Wave S2 (Security 2) ha migliorato notevolmente questo aspetto. I ricercatori hanno dimostrato attacchi tra cui attacchi di replay contro le serrature delle porte Z-Wave, nei quali i comandi di sblocco venivano catturati e riprodotti.

NFC opera a 13.56 MHz con una portata di circa 4 cm. Viene utilizzata per i pagamenti contactless, i badge di accesso e il pairing dei dispositivi. Nonostante la portata molto ridotta, NFC non è immune agli attacchi. È stato dimostrato che l'intercettazione delle comunicazioni NFC attive è possibile fino a 1 metro di distanza utilizzando antenne sensibili. Gli attacchi relay utilizzano due dispositivi che collaborano per estendere la portata di NFC, consentendo a un aggressore vicino alla vittima (ad esempio, in mezzo alla folla) di inoltrare il segnale NFC a un complice presso un terminale di pagamento. Si tratta di una minaccia nota per i sistemi di pagamento contactless.

RFID (Radio Frequency Identification) viene utilizzata nei badge di accesso, nel tracciamento dei beni e nelle catene di approvvigionamento. I tag RFID passivi rispondono quando vengono alimentati dal campo RF di un lettore e non dispongono di una fonte di alimentazione interna. I problemi di sicurezza includono la clonazione (la copia di un badge legittimo su un tag vuoto utilizzando un Proxmark o un lettore simile), l'intercettazione (la cattura delle trasmissioni dal tag al lettore nelle vicinanze) e gli attacchi di replay. Le schede HID legacy a 125 kHz (EM4100, HID Prox) non utilizzano la cifratura e possono essere clonate con estrema facilità. I moderni sistemi di smart card (13.56 MHz MIFARE DESFire, SEOS) utilizzano la cifratura AES e l'autenticazione reciproca.

Tra i controlli pratici per la sicurezza Bluetooth rientrano: impostare i dispositivi sulla modalità non rilevabile quando non è in corso un pairing; utilizzare Secure Connections (Bluetooth 4.1+ con scambio di chiavi P-256 ECDH) invece del Simple Pairing legacy; richiedere Numeric Comparison o Passkey Entry invece del pairing Just Works; imporre una lunghezza minima per il PIN di pairing; e applicare tempestivamente gli aggiornamenti del firmware del produttore, poiché molte vulnerabilità Bluetooth vengono corrette tramite firmware. Per i dispositivi aziendali, MDM può disabilitare completamente il Bluetooth o limitarlo a specifici casi d'uso.

I dispositivi IoT vengono spesso utilizzati per 5-15 anni, ma ricevono aggiornamenti del firmware solo per 2-3 anni, lasciando una lunga finestra di esposizione. Le organizzazioni devono includere l'IoT nel proprio inventario degli asset, tenendo traccia del modello, della versione del firmware e della data di fine del supporto. Al termine del supporto del produttore, i dispositivi devono essere sostituiti o isolati dietro rigidi controlli di rete. Per i sistemi critici, utilizzate piattaforme di sicurezza specifiche per l'IoT (Azure Defender for IoT, Armis, Claroty) che analizzano passivamente il comportamento dei dispositivi e segnalano le anomalie senza richiedere agenti sui dispositivi.

Verificate la vostra comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione avete imparato che: gli attacchi Bluetooth, tra cui bluejacking, bluesnarfing e BIAS, sfruttano le vulnerabilità delle reti wireless a corto raggio e vengono mitigati disabilitando la rilevabilità e applicando le patch del firmware; i dispositivi IoT presentano rischi significativi a causa delle credenziali predefinite, degli aggiornamenti poco frequenti e dell'ampia scala delle implementazioni e vengono mitigati mediante la segmentazione della rete e VLAN IoT dedicate; le tecnologie RFID e NFC, utilizzate nei badge di accesso e nei pagamenti, sono esposte a minacce di clonazione e attacchi relay, che richiedono una cifratura efficace e l'autenticazione reciproca. Nella prossima lezione esamineremo gli attacchi di phishing, spear phishing e whaling.