Mac-adres bluetooth-koptelefoon maakt volgen van mensen mogelijk
Eigenaren van een bluetooth-koptelefoon blijken eenvoudig te volgen, aangezien er van een vast mac-adres gebruik wordt gemaakt, zo stelt een Noorse onderzoeker. Voor zijn onderzoek maakte Bjorn Martin Hegnes gebruik van een zelf in elkaar gezet apparaat voor het opvangen van mac-adressen.
Een mac-adres dient als uniek identificatiemiddel op het lokale netwerk en wordt door fabrikanten aan een netwerkadapter toegekend. Vanwege het unieke kenmerk van het mac-adres, dat continu door apparaten wordt uitgezonden, is het mogelijk om mensen te volgen. Als oplossing werd het genereren van willekeurige mac-adressen bedacht. Veel koptelefoons maken hier echter nog geen gebruik van, ontdekte Hegnes.
Via zijn apparaat verzamelde hij in Oslo over een periode van twaalf dagen vijf miljoen datapunten van mac-adressen en wifi-netwerken. De onderzoeker zag allerlei apparaten voorbijkomen, waaronder smartphones, voertuigen, fitnesstrackers en koptelefoons. Volgens Hegnes is het eenvoudiger om mensen via hun koptelefoon te volgen dan hun smartphone, aangezien smartphones wel van willekeurige mac-adressen gebruikmaken.
De verzamelde data maakte het mogelijk om minstens 129 koptelefoons over een periode van meer dan 24 uur te volgen. "Wat interessant aan de data is, is dat het beste voorbeeld om bewegingen te tracken geen voertuigen, smartphones of fitnesstrackers zijn, maar headsets die geen willekeurig mac-adres hebben, wat het eenvoudiger maak om de bewegingen van een individuele headset te volgen dan de smartphone van het individu", aldus de onderzoeker.
"Voor mensen in een kwetsbare positie is dit met name beangstigend. Dit laat zien dat het niet helpt om alleen je telefoonnummer te wijzigen. Iemand kan gewoon rondrijden en zoeken naar mac-adressen van koelkasten, laptops, smart-tv's en koptelefoons", zegt Hegnes tegen de Noorse televisieomroep NRK. Verschillende fabrikanten van koptelefoons zijn inmiddels begonnen om ook willekeurige mac-adressen te gebruiken, maar andere, zoals Sennheiser, nog niet.
Verder krijgen gebruikers het advies om niet hun naam voor hun bluetooth-apparaat te gebruiken. Zeker 36 mensen hadden voor hun bluetooth-apparaat hun volledige naam gegeven, wat identificatie eenvoudig maakt. Verder waren er veel meer apparaten waarbij iemand zijn voor- of achternaam of andere potentiële identificeerbare informatie had gebruikt.
Naar aanleiding van zijn eigen onderzoek heeft Hegnes besloten om al zijn apparaten van generieke namen te voorzien die niet in de menigte opvallen. Daarnaast schakelt hij de draadloze mogelijkheden van zijn apparatuur uit als die niet nodig zijn en gebruikt hij een bedrade koptelefoon.
Ik kan me voorstellen dat wanneer je daar tijd voor maakt je vrouw er vandoor wilt.
Wel ik zal mijn headset maar dan uitschakelen als ik met de trein door Nederland reis met mijn OV-chipkaart langs alle camera's. (oh wacht...)
Het is leuk dat Hegnes zelf al zegt apparaten van generieke namen te voorzien om niet op te vallen. Dan hebben we het dus niet meer over bluetooth tracking maar WIFI tracking. Althans ik heb nog geen headset meegemaakt die ik kan hernoemen zonder te connecten met een PC waar het enkel lokaal hernoemd wordt.
En uiteraard werkt dit enkel als je overal beacons opzet want die do it yourself kit werkt tot 100 meter in bebouwd gebied dus dan mag je lekker lang gaan rond rijden tenzij je natuurlijk willekeurig mensen target.
Wat is de toegevoegde waarde vergeleken bij het plaatsen van een bug, beacon op materiaal waar je target mee beweegt en je enkel die data pakt?
Dit is dus niks anders dan wardriving en ook absoluut niet origineel.
https://nakedsecurity.sophos.com/2015/09/10/us-cop-goes-wardriving-to-sniff-out-stolen-gadgets-by-mac-address/
En je hoeft helemaal niet rond te rijden, leg een Bluetooth computer (smartphone, laptop, etc.) aan de straatzijde van je woning in een woonwijk en kijk wie er langskomt en wanneer. Auto's zijn zo makkelijk te volgen en je ziet sowieso apparatuur uit de hele omgeving. Bluetooth is niet uit te schakelen in bijna alle nieuwe auto's en de hardware is vaak al jaren oud in een nieuwe auto en het wordt niet bijgehouden gedurende de tijd dat auto rondrijdt. Vraag en klaag bij de autoproducent.
En je hoeft helemaal niet rond te rijden, leg een Bluetooth computer (smartphone, laptop, etc.) aan de straatzijde van je woning in een woonwijk en kijk wie er langskomt en wanneer. Auto's zijn zo makkelijk te volgen en je ziet sowieso apparatuur uit de hele omgeving. Bluetooth is niet uit te schakelen in bijna alle nieuwe auto's en de hardware is vaak al jaren oud in een nieuwe auto en het wordt niet bijgehouden gedurende de tijd dat auto rondrijdt. Vraag en klaag bij de autoproducent.
Het is wachten op de eerste drive-by / drive-past ransomware aanvallen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
