Inicio / Alertas / BLURtooth: una nueva vulnerabilidad que permite a los atacantes sobrescribir las claves de autenticación

BLURtooth: una nueva vulnerabilidad que permite a los atacantes sobrescribir las claves de autenticación

Investigadores de seguridad de la École Polytechnique Fédérale de Lausanne (EPFL) y la Universidad de Purdue descubrieron vulnerabilidades relacionadas con la derivación de claves de transporte cruzado (CTKD) con Bluetooth BR / EDR y LE en las especificaciones de Bluetooth 4.0 a 5.0.

Bluetooth BR / EDR y LE que utilizan la derivación de claves de transporte cruzado (CTKD) son vulnerables a la sobrescritura de claves, lo que permite a los atacantes obtener acceso adicional a los perfiles al reducir la fuerza del cifrado.
Ataque BLURtooth

De acuerdo con las especificaciones de las versiones 4.2 y 5.0 de Bluetooth, CTKD se utiliza para emparejar dispositivos que admiten los métodos de transporte de baja energía (BLE) y de velocidad básica / velocidad de datos mejorada (BR / EDR).

Al usar CTKD, permite que los dispositivos se emparejen una vez mediante el método de transporte mientras se generan las claves BR / EDR y LE Long Term Keys (LTK) sin necesidad de emparejarse una segunda vez.

Para lanzar un ataque exitoso, el dispositivo debe residir dentro del rango inalámbrico de un dispositivo Bluetooth vulnerable que admita transportes BR / EDR y LE que admitan CTKD entre los transportes y permita el emparejamiento en el transporte BR / EDR o LE, ya sea sin autenticación o sin acceso controlado por el usuario.

La vulnerabilidad se puede rastrear como CVE-2020-15802, se conoce como BLURtooth y el grupo de ataques se conoce como ataques BLUR.

Bluetooth SIG recomienda pruebas de conformidad adicionales para las claves de autenticación, no permite la sobrescritura de LTK o LK.

El SIG de Bluetooth recomienda además que los dispositivos restrinjan cuándo se pueden emparejar en el transporte a los momentos en que la interacción del usuario coloca el dispositivo en un modo de emparejamiento o cuando el dispositivo no tiene vínculos o conexiones existentes con un dispositivo emparejado.

Se recomienda a los usuarios de Bluetooth que hayan instalado las últimas actualizaciones de los fabricantes del dispositivo y del sistema operativo.

Vea También

Engaño por WhatsApp hace creer que Carrefour está regalando tarjetas con dinero

Un nuevo engaño está circulando a través de WhatsApp en el que los delincuentes utilizan …

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.