Bluetooth® wichtige Verwundbarkeit bei Verhandlungen
Sicherheitsforscher haben eine Schwachstelle bei Bluetooth® wichtigen Absprachen mit dem CERT-Koordinationszentrum und der Bluetooth®industrie identifiziert.
Neu durchgeführte Forschungen zu einer branchenweiten Schwachstelle von Informatikern an der University of Botschaft von Universität Von Universität Von Bedeutung werden vom 14. bis 16. August 2019 im USENIX Security Botschaft veröffentlicht. Diese Forschung wird als "Bluetooth® Key Negotiation Vulnerability" oder "KNOB" bezeichnet und erläutert eine branchenweite Schwachstelle, die die Verhandlungen über Bluetooth® Basic Rate /Enhanced Data Rate (BR/EDR) bei Verschlüsselungsschlüsseln beeinflusst. Diese Schwachstelle hat keine Auswirkungen auf Bluetooth® Low Energy (BLE). Intel Produkte, die Bluetooth BR/EDR unterstützen, gehören zu den von dieser branchenweiten Schwachstelle betroffenen Produkten. Wir erwarten, dass bereits (von Betriebssystemanbietern) Maßnahmen zur Behebung dieser Schwachstelle verfügbar gemacht wurden.
Als Mitglied der Bluetooth Special Interest Group arbeiten wir eng mit der SIG und anderen wichtigen SIG-Mitgliedern zusammen, um Maßnahmen zur Risikominderung zu entwickeln. Der Schutz unserer Kunden und die Gewährleistung der Sicherheit unserer Produkte haben für Intel eine wichtige Priorität.
Betroffene Produkte:
- Intel® Wireless-AC (Produktreihe 3000, 7000er Reihe, 8000er Reihe, 9000er Reihe)
- Intel® Wi-Fi 6 Produkte (AX200, AX201)
- Intel® Wireless Gigabit (Produktreihe 17000, 18000)
- Intel® Atom x3-C3200 Prozessoren
Intel empfiehlt Endbenutzern und Systemadministratoren, Updates nach ihrer verfügbaren Verwendung anzuwenden und sich im Allgemeinen an gute Sicherheitspraktiken zu halten.
Fragen und Antworten
Q1. Was ist die Schwachstelle?
Im Rahmen des wichtigen Aushandelns von Bluetooth® BR/EDR (Basic Rate/Enhanced Data Rate) wurde eine neue Schwachstelle entdeckt. Angreifer mit physischer Nähe (in der Regel innerhalb von 30 Metern) oder Sichtfeld können sich über ein angrenzendes Netzwerk unbefugten Zugriff verschaffen und Datenverkehr abfangen, um gefälschte Vermittlungsnachrichten zwischen zwei anfälligen Bluetooth-Geräten zu senden.
2. Quartal. Was sind die Folgen, wenn ein Bluetooth-fähiges Gerät aufgrund dieser Schwachstelle kompromittiert wird?
Dies kann zur Offenlegung von Daten, zur Erhöhung von Berechtigungen und/oder zu einer Denial-of-Service-Nutzung (Denial of Service) führen. Beispielsweise können Bluetooth-Kopfhörer oder -Tastaturen erfasst oder geändert werden.
Q3. Kann die Schwachstelle ausgebeutet werden, wenn nur eines der beiden Geräte, die verbunden sind, anfällig ist?
Nein. Beide Geräte müssen anfällig sein. Wenn eines (oder beide) der Geräte nicht anfällig ist (sind), ist der Angriff während der Schlüsselverhandelung fehlgeschlagen.
4. Quartal. Was unternutzt Intel, um diese Bluetooth® anz.
Dies ist ein Problem mit Branchenspezifikationen. Intel geht eine Partnerschaft mit anderen Mitgliedern der Bluetooth Special Interest Group (SIG) ein, um die Bluetooth Core-Spezifikation zu verstärken.
Q5. Was ist die erwartete Risikominderung für diese Schwachstelle?
Die Bluetooth SIG arbeitet an der Aktualisierung der BT-Spezifikation, um dieses Problem zu beheben, und die Anbieter von Betriebssystemen und Bluetooth-fähigen Geräten arbeiten bereits an Maßnahmen zur Risikominderung.
6. Quartal. Wann sind diese Maßnahmen bereits vorbereitet?
Intel kommentiert keine Kommentare im Namen Dritter, wenden Sie sich bitte an Ihren Betriebssystem- oder Gerätehersteller. Intel hat die Risikominderung für den BlueZ-Stack bereits öffentlich verfügbar gemacht. BlueZ ist der offizielle Linux Bluetooth-Protokollstapel und bietet Unterstützung für die wichtigsten Bluetooth-Ebenen und -Protokolle. Unterstützung für BlueZ finden Sie in vielen Linux Distributionen und ist im Allgemeinen mit jedem Linux-System auf dem Markt kompatibel. Die Einführung der BlueZ-Risikominderung in einzelnen Linux-Distributionen kann variieren.
Weitere Einzelheiten finden Sie unter:
Intel® Bluetooth® Security – Empfehlung einer Schlüsselgröße für Verschlüsselung
Einblicke in die Intel® Developer es Zone
Wenn Sie zusätzliche Unterstützung benötigen, wenden Sie sich an den Intel Kundensupport, indem Sie auf den unten stehenden Link klicken.
