Schwachstelle im Bluetooth-Pairing Bluetooth-Sicherheitslücke betrifft Millionen Endgeräte

Durch eine Sicherheitslücke beim Verbinden von zwei Bluetooth-Geräten besteht die Gefahr, dass unberechtigte Personen den dabei ent­ste­hen­den Datenverkehr in Klartext verfolgen und auch ändern können. Betroffen sind bekannte Hersteller wie Apple, Intel, Broadcom und Google. Das Problem entsteht dadurch, weil die Hersteller die sichere Verbindung zwischen den Geräten nicht korrekt aufbauen.

Anbieter zum Thema

Intel Deutschland GmbH

Dell GmbH

Insider Research

Verbinden sich zwei Bluetooth-Geräte (Pairing) wird dabei ein Schlüsselaustausch durchgeführt. Das soll sicherstellen, dass nur die gewünschten Geräte miteinander kommunizieren. Dabei wird auf Elliptic-Curve Diffie-Hellman (ECDH) gesetzt. Allerdings arbeiten nicht alle Hersteller korrekt mit dieser Sicherheitslösung. Dadurch ist es möglich, dass Angreifer über einen Man-in-the-Middle-Angriff in den Datenverkehr eingreifen können. Die Schwachstelle ist in der Vulnerability Notes Database dokumentiert.

Eigentlich kann das Pairing über Elliptic-Curve Diffie-Hellman (ECDH) nicht so einfach übernommen werden. Wenn aber beide Geräte von Herstellern kommen, die nicht alle Optionen korrekt abfragen, kann ein Angreifer erfolgreich Daten abgreifen. Sobald die Verbindung erfolgreich aufgebaut wurde, spielt die Schwachstelle keine Rolle mehr. Gefährlich ist die Lücke nur im Pairing-Vorgang. Das Problem wird nach und nach behoben. Dazu müssen die beteiligten Betriebssysteme aktualisiert werden. Apple-Geräte sind ab iOS/tvOS 11.4 gesichert, beziehungsweise ab macOS X 10.13.5.

Auch die Treiber für die Geräte sollten aktualisiert werden. Intel bietet dazu bereits ein Update an. Die Treiber stellen sicher, dass Windows- und Linux-Rechner mit Intel-Bluetooth-Chips nicht mehr angegriffen werden können. Die Bluetooth Special Interest Group (SIG) hat im Rahmen dieser Lücke Änderungen an den Spezifikationen für Bluetooth vorgenommen. Das soll verhindern, dass in Zukunft Lücken dieser Art ausgenutzt werden.

(ID:45424667)