Estado del arte de los Ataques a Manos Libres Auriculares

El pasado Octubre, durante el evento SANS NS2007 en Las Vegas, Joshua Wright realizó una presentación sobre Seguridad en Bluetooth dirigida fundamentalmente a mostrar el estado del arte de los ataques a Manos Libres, que parece ser la línea de investigación en la que se está centrando últimamente.

En su entrada del blog sobre el evento, recoge algunas experiencias interesantes atacando diferentes modelos de Manos Libres:

- El Manos Libres Jawbone parece que acepta solicitudes de emparejamiento de cualquier equipo aunque el dispositivo no se encuentre en modo visible (discoverable). Para ello, es necesario conocer su dirección BD_ADDR. Si el dispositivo está en modo oculto (non discoverable) no podrá ser descubierto con un HCI inquiry y puede llevarse a cabo un ataque de fuerza bruta sobre un rango de direcciones BD_ADDR con Redfang para poder detectarlo e intentar el emparejamiento una vez conocida la BD_ADDR. Simple. Es interesante porque el Jawbone es supuestamente el mejor equipo Manos Libres del mercado, basado en tecnología militar para filtrar acústicamente el ruido de ambiente, y toda la gente guay tiene uno. La demo del producto es impresionante.

- Los Manos Libres Motorola y Jabra, a pesar de no estar basados en tecnología militar son más seguros. :P No aceptan solicitudes de emparejamiento de dispositivos desconocidos a menos que el equipo se encuentre en modo visible (discoverable), para lo cual suele ser necesario apretar una combinación de botones. Sin embargo, en modo oculto (non discoverable), aceptan solicitudes de re-emparejamiento con dispositivos con los que anteriormente se han emparejado, es decir, dispositivos conocidos. Por tanto, se deduce que llevando a cabo un ataque BD_ADDR Spoofing de primer nivel y suplantando la dirección BD_ADDR del teléfono móvil con el que usualmente se comunica el Manos Libres, el atacante estaría en disposición de emparejarse con el dispositivo y acceder a sus funciones de audio. Sólo hace falta suplantar la dirección BD_ADDR de un dispositivo conocido, no hace falta suplantar la clave de enlace compartida ya que se genera una nueva tras el emparejamiento, así que el ataque Blue MAC Spoofing es sencillo de ejecutar.

En ambos casos, recuerdo que para poder emparejarse pasivamente con el Manos Libres el atacante debe conocer el PIN por defecto implantado en este dispositivo, algo fácil de saber consultando el manual del fabricante.

Una vez conocido el PIN, el atacante se empareja con el Manos Libres (siempre que este esté encendido pero no en uso con un teléfono móvil en ese momento) y puede acceder a las funciones de audio, con capacidad para:

- Capturar el audio recogido por el micrófono del dispositivo
- Inyectar audio que sería reproducido por el auricular

Esta es la demo que llevó a cabo Josh en el evento SANS NS2007. Podéis descargaros la presentación original desde aquí o con anotaciones desde aquí.

Video Headsets Hijacking

A través del blog de Collin Mulliner, experto en seguridad Bluetooth y en Pocket PCs, he llegado a un video de Joshua Wright en el que se muestra lo sencillo que resulta comprometer la seguridad de un dispositivo Manos Libres Auriculares. Esta técnica, conocida como Headsets Hijacking, no es nueva. De hecho, ya hablé de ella en mi Proyecto de Fin de Carrera a nivel teórico basándome en las experiencias de Kevin Finisterre con varios Manos Libres.

El ataque es sencillo de entender y se desarrolla del mismo modo que el ataque Car Whisperer contra dispositivos Manos Libres de Automóvil. Básicamente...

La primera vez que dos dispositivos Bluetooth intentan establecer comunicación, se utiliza un procedimiento de emparejamiento para crear una clave de enlace común a partir de un código de seguridad Bluetooth (clave PIN), que es requerido a cada dispositivo y que debe ser el mismo para los dos. Posteriormente, cuando los mismos dispositivos se comuniquen, utilizarán la clave de enlace para funciones de autenticación y cifrado.

El hecho de incorporar una clave PIN por defecto (por ejemplo, 0000) en un dispositivo Bluetooth significa que cualquier usuario con conocimiento de esa clave estándar puede emparejarse con el dispositivo y comunicarse con él de forma autorizada. En el caso de un Manos Libres Auriculares, un atacante podría acceder a las funciones de audio implementadas en el terminal y llevar a cabo las siguientes acciones con fines maliciosos:

Capturar el audio recogido por el micrófono del dispositivo



Inyectar audio que sería reproducido por el auricular.



Como bien comenta Josh, es importante que el dispositivo Manos Libres esté activado pero no en uso en el momento del ataque, es decir, que no esté cursando una llamada telefónica.

Para llevar el ataque, Josh hace uso de tres elementos importantes:
- La herramienta Car Whisperer del grupo Trifinite, para Linux.
- Una antena unidireccional para incrementar el alcance del adaptador Bluetooth y detectar dispositivos a mayor distancia.
- Una Tablet PC Nokia 770, que corre sobre Linux, para controlar el portatil de su mochila de forma inalámbrica y pasar desapercibido mientras lleva a cabo el ataque.

Realmente hace un poco el paripé ya que el ataque podría ser desarrollado perfectamente desde la Tablet PC Nokia 770 si la herramienta Car Whisperer estuviera portada a Maemo, la plataforma de desarrollo de las Tablet PC de Nokia con Linux, al igual que otras herramientas del grupo Trifinite.

Sin más, os dejo con el vídeo:

Qué cachondo el tío... me encanta la dramatización, pillastre!!