Onderzoekers: Miljarden apparaten kwetsbaar door Bluetooth-aanval
Miljarden apparaten zijn kwetsbaar door een nieuwe Bluetooth-aanval genaamd BlueBorne, zo stellen onderzoekers van securitybedrijf Armis. Volgens de onderzoekers zijn er naar schatting 5,3 miljard apparaten die kwetsbaar zijn. Het gaat om laptops, desktops, smartphones, tablets en IoT-apparaten.
De BlueBorne-aanval bestaat uit acht kwetsbaarheden in de Bluetooth-implementaties van Android, Windows, Linux en iOS. Drie van de beveiligingslekken zijn als ernstig aangemerkt. Om de aanval uit te voeren is het niet nodig dat het aangevallen apparaat met het apparaat van de aanvaller is gepaird of in de 'discoverable mode' staat. Alleen Bluetooth ingeschakeld hebben staan is voldoende om te worden aangevallen en de aanval kan binnen 10 seconden worden uitgevoerd. Er is geen interactie van het slachtoffer vereist.
De aanval is mogelijk omdat Bluetooth-apparaten continu naar inkomende verbindingen zoeken, ook van apparaten waarmee ze niet zijn gepaird. Zodoende kan er een Bluetooth-verbinding zonder het pairen van de apparaten worden opgezet. Zodra de aanvaller het mac-adres van het aan te vallen apparaat heeft verkregen kan de kwetsbare Bluetooth-implementatie worden aangevallen. Zo kan een aanvaller bijvoorbeeld een man-in-the-middle-aanval uitvoeren en de communicatie van het apparaat controleren of het apparaat volledig overnemen.
Google en Microsoft werden op 19 april van dit jaar ingelicht. Updates voor Android verschenen op 4 september, terwijl Microsoft vanavond met updates voor Windows komt. Alle Windowsversies sinds Vista zijn kwetsbaar. In het geval van Apple is het probleem met iOS 10 al verholpen. Updates voor Linux zullen vandaag of de komende dagen verschijnen. In het geval er geen updates voor een Bluetooth-apparaat beschikbaar zijn wordt aangeraden Bluetooth uit te schakelen. Dit speelt met name bij Android-toestellen, waar een groot aantal apparaten geen updates meer van de leverancier ontvangt. Voor Android-gebruikers heeft Armis een app ontwikkeld die scant of het toestel kwetsbaar is.
<fanboy>Dit doet apple toch wel beter</fanboy>
Google zou dit op een betere manier moeten regelen vind ik,.
En ik zie niet waarom dit niet zou kunnen.
kheb slecht nieuws voor je..
En ik zie niet waarom dit niet zou kunnen.
Ookal zijn ze hier niet verplicht toe, is het niet hun verantwoordelijkheid en is het een extra kostenpost en last voor hen (Google dus) hebben ze toch gekozen om dit inderdaad te gaan doen, met de uitgave van de nieuwste Android versie (Android 8.0, uitgegekomen begin september) knippen ze hun systeem op in 2 delen: De Android kern (van Google) en de Toplaag (van de Fabrikant) en door dit los te knippen kan de kern, waar wel eens problemen zijn worden geupdate zonder dat de toplaag helemaal aangepast moet worden, wat er zal voor gaan zorgen dat de fabrikanten nóg makkelijker Android updates kan uitgeven.
Ik vind het goed dat Google dit gedaan heeft, ondanks dat ze er geen baat bij hebben en alleen een extra kostenpost.
WiFi hoeft niet aan te staan.
WiFi hoeft niet aan te staan.
Als het BlueTooth systeem actief is voor andere communicatie, dan is het BlueTooth MAC adres direct "uit de lucht te plukken".
Als apple dit al sinds 13 sep 2016 heeft gepatched (<a href="https://en.wikipedia.org/wiki/IOS_10" target="_blank" rel="noopener noreferrer">iOS 10</a>) en google & ms pas op 19 april 2017 zijn ingelicht, hoeveel/hoelang vrijspel heeft blueborne dan al gehad? Retorisch bedoeld natuurlijk, een fucking jaar, aangezien er door google & ms nog geen patches hiervoor zijn uitgebracht.
En de enduser is ook niet gewaarschuwd voor dit lek wat dus -iig- bij apple al een jaar bekend was.
Hoeveel van die 5,3 miljard kwetsbare apparaten (minus apple iOS 10 devices) zijn er in dat (>)jaar al besmet geraakt (en is blueborne actief) en is de besmetting dan ook wel verholpen (blueborne gedeactiveerd) als Uiteindelijk dit lek (om besmetting te voorkomen) wordt gepatched!?
En ik zie niet waarom dit niet zou kunnen.
Ik vind het goed dat Google dit gedaan heeft, ondanks dat ze er geen baat bij hebben en alleen een extra kostenpost.
Het baat wat hun er bij hebben is dat android veiliger word, populairder, etc.
eerder dus issues met de protocol standaard die teveel variaties toe laat met vaagheden dus...
Toch opvallend, dat een telefoon van EUR 170, direct vanaf de fabrikant, en binnen 14 dagen, de Android 7.1.2 September patch krijgt.
Dit zou dus iedere consument moeten overkomen, op deze manier automatisch de update ontvangen. Maar ik ben er een beetje bang voor dat we behoorlijk wat slachtoffers gaan krijgen.
Maar het kan dus wel, ook met Android. Uitdaging: Volgende keer nog een weekje sneller?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
