Twoje słuchawki w rękach hakerów! Poważna luka zabezpieczeń

Eksperci odkryli groźną lukę w Google Fast Pair. Popularne słuchawki Bluetooth mogą umożliwiać podsłuch i śledzenie użytkowników bez ich wiedzy.

Protokół Fast Pair od Google, który od lat uchodzi za jeden z najwygodniejszych sposobów parowania słuchawek i głośników Bluetooth, okazał się mieć poważne luki bezpieczeństwa. Badacze z KU Leuven University odkryli zestaw podatności nazwanych WhisperPair, które mogą umożliwić przejęcie kontroli nad wybranymi akcesoriami audio – często bez wiedzy użytkownika.

• Złap przedpremierowy rabat od Huawei! FreeClip 2 za kilka dni w Polsce
• Słuchawki i głośnik w jednym?! Z tym sprzętem to możliwe!

Google Fast Pair z luką bezpieczeństwa. Chodzi o słuchawki bezprzewodowe

Fast Pair został zaprojektowany tak, by maksymalnie uprościć łączenie urządzeń. W teorii nowe połączenia powinny być możliwe wyłącznie wtedy, gdy akcesorium znajduje się w trybie parowania. Problem polega na tym, że część producentów nie wdrożyła tego mechanizmu poprawnie. W praktyce oznacza to, że podatne słuchawki lub głośniki mogą przyjąć próbę parowania nawet wtedy, gdy są już połączone z innym telefonem.

Fast Pair/ fot. Google

Jak opisują naukowcy, atak WhisperPair nie wymaga specjalistycznego sprzętu. Wystarczy dowolne urządzenie z Bluetooth, np. laptop czy Raspberry Pi, oraz znajomość modelu akcesorium. Osoba znajdująca się w zasięgu Bluetooth może w ciągu kilkunastu sekund sparować się z cudzym sprzętem. Skutki mogą być poważne, od zakłócania odtwarzania dźwięku, przez wymuszanie włączenia własnego audio, aż po dostęp do mikrofonu i podsłuchiwanie otoczenia.

Szczególnie niepokojący jest do tego także wątek lokalizacji. Niektóre urządzenia korzystają z sieci Find Hub, co w określonych scenariuszach pozwalałoby śledzić ich położenie. Co istotne, zagrożenie dotyczy nie tylko użytkowników Androida – celem ataku jest samo akcesorium, a nie telefon.

Fast Pair/ fot. Google

Jakie urządzenia mogą być zagrożone?

Według doniesień, podatność dotyczy co najmniej 17 modeli słuchawek i głośników od 10 producentów. Na liście znalazły się m.in. produkty marek Sony, JBL, Xiaomi, Nothing, OnePlus oraz samego Google. Firma podkreśla, że nie zaobserwowano realnych ataków poza warunkami laboratoryjnymi, a partnerzy sprzętowi otrzymali rekomendowane poprawki już we wrześniu.

Google zapewnia również, że zaktualizowało swoje narzędzia certyfikacyjne oraz elementy Find Hub, choć badacze twierdzą, że część zabezpieczeń dało się obejść. Eksperci są zgodni co do jednego: użytkownicy powinni jak najszybciej zaktualizować swoje słuchawki i głośniki. Problemem pozostaje fakt, że wiele osób nigdy nie instaluje aplikacji producentów, które są niezbędne do przeprowadzenia aktualizacji.

Źródło