Trådlösa hot mot Bluetooth och IoT

Bluetooth är en trådlös teknik för korta avstånd (vanligtvis 10–100 meter) som använder ISM-bandet på 2,4 GHz. Tekniken använder frequency hopping spread spectrum (upp till 1 600 hopp per sekund), vilket ger ett visst motstånd mot störningar och tillfällig avlyssning. Bluetooth-enheter parkopplas genom att utbyta en PIN-kod eller använda Secure Simple Pairing (SSP). Security+ testar kunskaper om Bluetooth-specifika attacker, de säkerhetslägen som finns i klassisk Bluetooth och BLE (Bluetooth Low Energy) samt åtgärder för att minimera attackytan på Bluetooth-aktiverade enheter.

Bluejacking är en relativt harmlös attack där oönskade meddelanden skickas till upptäckbara Bluetooth-enheter. Den kräver att målet har Bluetooth i upptäckbart läge och utnyttjar enhetens funktion för kontaktdelning för att skicka ett vCard eller ett meddelande. Allvarligare är bluesnarfing, som utnyttjar sårbarheter i protokollet OBEX Push för att komma åt kontakter, kalenderdata och filer på en målenhet utan behörighet för parkoppling. Bluesnarfing var ett betydande problem i tidiga Bluetooth-implementationer (före 2004), men har i stor utsträckning åtgärdats i moderna enheter. Båda attackerna kräver närhet till offret.

Bluebugging utnyttjar sårbarheter i Bluetooth för att få obehörig kontroll över en målenhet – ringa samtal, läsa meddelanden eller avlyssna kommunikation – genom att missbruka AT-kommandon via Bluetooth. Sårbarheten BIAS (Bluetooth Impersonation Attacks) (2020, CVE-2020-10135) påverkar själva Bluetooth-specifikationen BR/EDR och gör det möjligt för en angripare som tidigare har parkopplat med en enhet att utge sig för att vara fjärrenheten under autentiseringen och kringgå parkopplingsprocessen. BIAS påverkade nästan alla Bluetooth-implementationer tills leverantörerna släppte uppdateringar av den fasta programvaran. Att hålla den fasta programvaran uppdaterad är det främsta skyddet.

Bluetooth Low Energy (BLE) används i aktivitetsmätare, medicintekniska enheter, smarta hemprodukter och beacons. BLE använder annonseringspaket som enheter kontinuerligt sänder ut så att andra enheter kan upptäcka dem. Dessa annonseringar kan innehålla enhetsidentifierare som kan användas för spårning – för att följa en persons fysiska position utifrån personens BLE-enheter. BLE-anslutningar med svag eller ingen parkoppling (läget Just Works) kan avlyssnas och manipuleras. Medicintekniska IoT-enheter som använder BLE med svag autentisering utgör en särskild risk, eftersom obehöriga kommandon kan påverka patientsäkerheten.

IoT-enheter (Internet of Things) – kameror, smarta termostater, industriella sensorer och medicinska monitorer – medför unika säkerhetsutmaningar. De har ofta begränsade resurser och kör enkel fast programvara som sällan får säkerhetsuppdateringar. Många levereras med standardinloggningsuppgifter som användarna aldrig ändrar. IoT-enheter utökar attackytan dramatiskt: 2016 komprometterade Mirai-botnätet hundratusentals IP-kameror och DVR-enheter med hjälp av standardinloggningsuppgifter (admin/admin, root/root) och använde dem för att genomföra omfattande DDoS-attacker. Varje oskyddad IoT-enhet kan vara en möjlig ingångspunkt.

Den effektivaste kontrollen på nätverksnivå för IoT-enheter är segmentering. IoT-enheter bör placeras i ett dedikerat VLAN med mycket restriktiva brandväggsregler som endast tillåter de specifika utgående anslutningar som krävs för deras funktion. Inkommande anslutningar från andra interna nätverkssegment bör blockeras helt. En smart termostat kan till exempel behöva utgående HTTPS till sin molntjänst, men bör aldrig kunna initiera anslutningar till interna filservrar eller databaser. Detta begränsar skadeomfattningen om en enhet komprometteras.

Zigbee (IEEE 802.15.4) och Z-Wave är mesh-nätverksprotokoll som används i stor utsträckning inom smarta hem och fastighetsautomation. Zigbee använder AES-128 för kryptering, men säkerheten beror på nyckelhanteringen: trust center-länknyckeln och nätverksnyckeln måste skyddas. Tidiga Zigbee-implementationer överförde nätverksnyckeln i klartext när enheter anslöts, vilket gjorde det möjligt för passiva avlyssnare att fånga upp den. Z-Wave S2 (Security 2) förbättrade detta avsevärt. Forskare har demonstrerat attacker, bland annat replay-attacker mot Z-Wave-dörrlås där upplåsningskommandon fångades upp och spelades upp igen.

NFC arbetar vid 13,56 MHz och har en räckvidd på cirka 4 cm. Tekniken används för kontaktlösa betalningar, passerkort och parkoppling av enheter. Trots den mycket korta räckvidden är NFC inte immunt mot attacker. Avlyssning av aktiv NFC-kommunikation har demonstrerats på avstånd upp till 1 meter med känsliga antenner. Reläattacker använder två samverkande enheter för att utöka NFC:s räckvidd, så att en angripare nära ett offer (till exempel i en folksamling) kan vidarebefordra NFC-signalen till en medhjälpare vid en betalterminal. Detta är ett känt hot mot kontaktlösa betalningssystem.

RFID (Radio Frequency Identification) används i passerkort, tillgångsspårning och leveranskedjor. Passiva RFID-taggar svarar när de strömförsörjs av en läsares radiofrekvensfält och har ingen egen strömkälla. Säkerhetsproblemen omfattar kloning (att kopiera ett äkta passerkort till en tom tagg med hjälp av en Proxmark eller liknande läsare), avlyssning (att fånga upp överföringar mellan tagg och läsare i närheten) och replay-attacker. Äldre HID-kort vid 125 kHz (EM4100, HID Prox) har ingen kryptering och kan enkelt klonas. Moderna smartkortsystem (13,56 MHz MIFARE DESFire, SEOS) använder AES-kryptering och ömsesidig autentisering.

Praktiska åtgärder för Bluetooth-säkerhet omfattar att ställa in enheter i icke-upptäckbart läge när de inte aktivt parkopplas, använda Secure Connections (Bluetooth 4.1+ med P-256 ECDH-nyckelutbyte) i stället för äldre Simple Pairing, kräva Numeric Comparison eller Passkey Entry i stället för Just Works-parkoppling, tillämpa en minsta längd för parkopplings-PIN-koden och snabbt installera uppdateringar av tillverkarens fasta programvara, eftersom många Bluetooth-sårbarheter åtgärdas genom uppdateringar av den fasta programvaran. För företagsenheter kan MDM inaktivera Bluetooth helt eller begränsa det till specifika användningsområden.

IoT-enheter används ofta i 5–15 år, men får uppdateringar av den fasta programvaran i endast 2–3 år, vilket skapar ett stort exponeringsfönster. Organisationer bör inkludera IoT i sin tillgångsförteckning och registrera modell, version av den fasta programvaran och datum för supportens slut. När leverantörens support upphör bör enheterna ersättas eller isoleras bakom strikta nätverkskontroller. För kritiska system kan ni använda IoT-specifika säkerhetsplattformar (Azure Defender for IoT, Armis, Claroty) som passivt kartlägger enheternas beteende och varnar för avvikelser utan att agenter behöver installeras på enheterna.

I den här lektionen har ni lärt er att Bluetooth-attacker, inklusive bluejacking, bluesnarfing och BIAS, utnyttjar sårbarheter i trådlös kommunikation på kort avstånd och motverkas genom att inaktivera upptäckbarhet och installera uppdateringar av den fasta programvaran; att IoT-enheter medför betydande risker på grund av standardinloggningsuppgifter, sällsynta uppdateringar och den stora omfattningen av sådana installationer – risker som motverkas med nätverkssegmentering och dedikerade IoT-VLAN; samt att RFID- och NFC-tekniker som används i passerkort och betalningar är utsatta för klonings- och reläattacker och därför kräver stark kryptering och ömsesidig autentisering. Nästa avsnitt handlar om phishing-, spear phishing- och whaling-attacker.