BLESA: nuovo attacco ai dispositivi Bluetooth

Pochi giorni dopo la comparsa di BLURtooth ecco un’altra grave vulnerabilità che prende di mira Bluetooth. Il nome attribuitole dai ricercatori che l’hanno scoperta è BLESA, acronimo che per esteso si legge “Bluetooth Low Energy Spoofing Attack”. Sono miliardi i dispositivi potenzialmente esposti a un attacco: smartphone, tablet, computer desktop e laptop, apparecchi di smart home e Internet of Things, indossabili e tutti quelli che si basano sulla tecnologia per finalità legate a connessione o trasmissione dati.

BLESA: Bluetooth Low Energy Spoofing Attack

Fa leva su una falla identificata nel protocollo BLE (Bluetooth Low Energy) messo a punto per garantire un’ottimizzazione dei consumi. Sette accademici della Purdue University (Indiana) si sono concentrati sul processo di riconnessione dei device che sono già stati accoppiati in precedenza, un’azione che avviene di continuo: basti pensare ad esempio a quando uno smartphone si allontana troppo dall’altoparlante wireless usato per la riproduzione della musica uscendo dal suo raggio di copertura, per poi entrarvi nuovamente. Sono due i problemi emersi in questa fase:

• l’autenticazione tramite scambio di chiavi crittografiche è opzionale e non obbligatoria;
• l’autenticazione può essere elusa se uno dei due dispositivi non è in grado di forzare l’altro a portare a termine correttamente la procedura prima di avviare la trasmissione.

L’attacco in questione sfrutta questa dinamica bypassando la verifica, inviando informazioni non corrette e che possono essere interpretate in modo errato dal device preso di mira, inducendolo ad accettare la connessione attraverso la quale potrebbero poi essere perpetrate azioni malevole. Per ovvi motivi è necessario trovarsi nelle dirette vicinanze, a pochi metri dal bersaglio. Di seguito una dimostrazione.

Stando a quanto emerso, nel mese di giugno Apple ha etichettato la vulnerabilità come CVE-2020-9770 intervenendo sul software destinato ai propri prodotti per risolvere la situazione con il rilascio di iOS 13.4 e iPadOS 13.4, mentre quelli basati su Android risultano ancora esposti. Il team al lavoro su BlueZ (lo stack Bluetooth per Linux) ha confermato di voler rendere deprecata la porzione di codice responsabile dell’anomalia. Windows è stato invece sempre immune al problema.

Considerando che la maggior parte dei device non è in grado di ricevere e installare gli aggiornamenti in modo automatico, rimarrà in balia della falla. Maggiori informazioni a proposito di BLESA sono consultabili nel documento intitolato “BLESA: Spoofing Attacks against Reconnections in Bluetooth Low Energy” presentato alla conferenza USENIX WOOT 2020 del mese scorso.