Zagrożenia bezprzewodowe Bluetooth i IoT

Bluetooth to bezprzewodowa technologia krótkiego zasięgu (zwykle 10–100 metrów), działająca w paśmie ISM 2,4 GHz. Wykorzystuje technologię rozpraszania widma z przeskokami częstotliwości (do 1600 przeskoków na sekundę), co zapewnia pewną odporność na interferencje i przypadkowe podsłuchiwanie. Urządzenia Bluetooth parują się poprzez wymianę kodu PIN lub za pomocą funkcji Secure Simple Pairing (SSP). Egzamin Security+ sprawdza znajomość ataków charakterystycznych dla Bluetooth, trybów bezpieczeństwa dostępnych w Bluetooth Classic i BLE (Bluetooth Low Energy) oraz mechanizmów ograniczających powierzchnię ataku urządzeń obsługujących Bluetooth.

Bluejacking to stosunkowo niegroźny atak polegający na wysyłaniu niezamówionych wiadomości do wykrywalnych urządzeń Bluetooth. Wymaga, aby w urządzeniu docelowym włączony był tryb wykrywalny, i wykorzystuje funkcję udostępniania kontaktów do przesłania wizytówki vCard lub wiadomości. Poważniejszym zagrożeniem jest bluesnarfing, który wykorzystuje luki w protokole OBEX Push w celu uzyskania dostępu do kontaktów, danych kalendarza i plików na urządzeniu docelowym bez autoryzacji parowania. Bluesnarfing stanowił poważny problem we wczesnych implementacjach Bluetooth (sprzed 2004 roku), ale w dużej mierze został usunięty w nowoczesnych urządzeniach. Oba ataki wymagają bliskości ofiary.

Bluebugging wykorzystuje luki w zabezpieczeniach Bluetooth, aby uzyskać nieautoryzowaną kontrolę nad urządzeniem docelowym — wykonywać połączenia, odczytywać wiadomości lub przechwytywać komunikację — poprzez nadużywanie poleceń AT przesyłanych przez Bluetooth. Luka BIAS (Bluetooth Impersonation Attacks) (2020, CVE-2020-10135) dotyczy samej specyfikacji Bluetooth BR/EDR i pozwala atakującemu, który wcześniej sparował się z urządzeniem, podszyć się podczas uwierzytelniania pod zdalne urządzenie, omijając proces parowania. Luka BIAS dotyczyła niemal wszystkich implementacji Bluetooth do czasu wydania przez producentów poprawek firmware'u. Aktualizowanie firmware'u jest podstawową metodą ochrony.

Bluetooth Low Energy (BLE) jest używany w opaskach i urządzeniach monitorujących aktywność, urządzeniach medycznych, inteligentnych urządzeniach domowych oraz beaconach. BLE wykorzystuje pakiety rozgłoszeniowe, które urządzenia stale nadają, aby inne urządzenia mogły je wykrywać. Takie komunikaty mogą zawierać identyfikatory urządzeń, które można wykorzystać do śledzenia — ustalania fizycznej lokalizacji osoby na podstawie używanych przez nią urządzeń BLE. Połączenia BLE ze słabym parowaniem lub bez parowania (tryb Just Works) mogą być podsłuchiwane i modyfikowane. Medyczne urządzenia IoT używające BLE ze słabym uwierzytelnianiem stwarzają szczególne zagrożenie, ponieważ nieautoryzowane polecenia mogą zagrozić bezpieczeństwu pacjenta.

Urządzenia IoT (Internet of Things) — kamery, inteligentne termostaty, czujniki przemysłowe i monitory medyczne — stwarzają wyjątkowe wyzwania w zakresie bezpieczeństwa. Często mają ograniczone zasoby i działają pod kontrolą prostego firmware'u, który rzadko otrzymuje aktualizacje zabezpieczeń. Wiele z nich jest dostarczanych z domyślnymi danymi uwierzytelniającymi, których użytkownicy nigdy nie zmieniają. Urządzenia IoT znacząco zwiększają powierzchnię ataku: w 2016 roku botnet Mirai przejął setki tysięcy kamer IP i rejestratorów DVR, wykorzystując domyślne dane uwierzytelniające (admin/admin, root/root), a następnie użył ich do przeprowadzenia masowych ataków DDoS. Każde niezabezpieczone urządzenie IoT może stanowić punkt wejścia.

Najskuteczniejszym środkiem kontroli urządzeń IoT na poziomie sieci jest segmentacja. Urządzenia IoT należy umieszczać w dedykowanej sieci VLAN z bardzo restrykcyjnymi regułami zapory sieciowej, zezwalającymi wyłącznie na konkretne połączenia wychodzące wymagane do ich działania. Połączenia przychodzące z innych wewnętrznych segmentów sieci powinny być całkowicie blokowane. Na przykład inteligentny termostat może potrzebować wychodzącego połączenia HTTPS z usługą w chmurze, ale nigdy nie powinien mieć możliwości inicjowania połączeń z wewnętrznymi serwerami plików ani bazami danych. Ogranicza to zasięg skutków przejęcia urządzenia.

Zigbee (IEEE 802.15.4) i Z-Wave to protokoły sieci kratowych szeroko stosowane w inteligentnych domach i automatyce budynkowej. Zigbee wykorzystuje szyfrowanie AES-128, ale bezpieczeństwo zależy od zarządzania kluczami: należy chronić klucz łącza centrum zaufania oraz klucz sieciowy. We wczesnych implementacjach Zigbee klucz sieciowy był przesyłany jawnym tekstem podczas dołączania urządzenia, co pozwalało biernym podsłuchującym go przechwycić. Z-Wave S2 (Security 2) znacznie poprawił tę sytuację. Badacze zademonstrowali między innymi ataki typu replay na zamki drzwiowe Z-Wave, polegające na przechwytywaniu i ponownym odtwarzaniu poleceń odblokowania.

NFC działa z częstotliwością 13,56 MHz i zasięgiem około 4 cm. Jest używane do płatności zbliżeniowych, identyfikatorów dostępu i parowania urządzeń. Mimo bardzo krótkiego zasięgu NFC nie jest odporne na ataki. Wykazano możliwość podsłuchiwania aktywnej komunikacji NFC z odległości do 1 metra przy użyciu czułych anten. Ataki przekaźnikowe wykorzystują dwa współdziałające urządzenia do zwiększenia zasięgu NFC, pozwalając atakującemu znajdującemu się w pobliżu ofiary (np. w tłumie) przekazać sygnał NFC wspólnikowi przy terminalu płatniczym. Jest to znane zagrożenie dla systemów płatności zbliżeniowych.

RFID (Radio Frequency Identification) jest używane w identyfikatorach dostępu, śledzeniu zasobów i łańcuchach dostaw. Pasywne znaczniki RFID odpowiadają po zasileniu przez pole radiowe czytnika i nie mają własnego źródła zasilania. Problemy z bezpieczeństwem obejmują klonowanie (skopiowanie autentycznego identyfikatora na pusty znacznik przy użyciu urządzenia Proxmark lub podobnego czytnika), podsłuchiwanie (przechwytywanie transmisji między znacznikiem a czytnikiem z niewielkiej odległości) oraz ataki typu replay. Starsze karty HID działające z częstotliwością 125 kHz (EM4100, HID Prox) nie używają szyfrowania i można je łatwo sklonować. Nowoczesne systemy kart inteligentnych (13,56 MHz MIFARE DESFire, SEOS) wykorzystują szyfrowanie AES i wzajemne uwierzytelnianie.

Praktyczne środki zabezpieczające Bluetooth obejmują: ustawianie urządzeń w trybie niewykrywalnym, gdy nie są aktywnie parowane; używanie funkcji Secure Connections (Bluetooth 4.1+ z wymianą kluczy P-256 ECDH) zamiast starszej funkcji Simple Pairing; wymaganie Numeric Comparison lub Passkey Entry zamiast parowania Just Works; wymuszanie minimalnej długości kodu PIN parowania oraz niezwłoczne instalowanie aktualizacji firmware'u producenta, ponieważ wiele luk w zabezpieczeniach Bluetooth jest naprawianych właśnie za pomocą firmware'u. W przypadku urządzeń firmowych system MDM może całkowicie wyłączyć Bluetooth lub ograniczyć jego użycie do określonych zastosowań.

Urządzenia IoT są często wdrażane na 5–15 lat, ale aktualizacje firmware'u otrzymują tylko przez 2–3 lata, co pozostawia długi okres podatności. Organizacje powinny uwzględniać IoT w swoim spisie zasobów, rejestrując model, wersję firmware'u i datę zakończenia wsparcia. Po zakończeniu wsparcia producenta urządzenia należy wymienić lub odizolować za pomocą restrykcyjnych mechanizmów kontroli sieci. W przypadku systemów o krytycznym znaczeniu należy używać wyspecjalizowanych platform bezpieczeństwa IoT (Azure Defender for IoT, Armis, Claroty), które pasywnie profilują zachowanie urządzeń i ostrzegają o anomaliach bez konieczności instalowania agentów na tych urządzeniach.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo: ataki na Bluetooth, w tym bluejacking, bluesnarfing i BIAS, które wykorzystują luki w zabezpieczeniach bezprzewodowych krótkiego zasięgu i którym można przeciwdziałać przez wyłączenie wykrywalności oraz instalowanie poprawek firmware'u; urządzenia IoT, które stwarzają poważne zagrożenie ze względu na domyślne dane uwierzytelniające, rzadkie aktualizacje i dużą skalę wdrożeń — ryzyko to można ograniczyć dzięki segmentacji sieci i dedykowanym sieciom VLAN dla IoT; a także technologie RFID i NFC, używane w identyfikatorach dostępu i płatnościach, narażone na klonowanie i ataki przekaźnikowe, które wymagają silnego szyfrowania i wzajemnego uwierzytelniania. W następnej części omówimy ataki phishingowe, spear phishing i whaling.