Сейчас самое подходящее время обновить все ваши Bluetooth-аудиоустройства. В четверг Wired сообщил об уязвимости в 17 моделях наушников и колонок, которая может позволить хакерам получить доступ к вашим устройствам, включая их микрофоны. Уязвимость связана с некорректной реализацией протокола Google Fast Pair (сопряжение в одно касание).

Исследователи безопасности из группы по компьютерной безопасности и промышленной криптографии Католического университета Лёвена в Бельгии, обнаружившие уязвимость, назвали ее WhisperPair. По их словам, для ее эксплуатации хакеру в радиусе действия Bluetooth потребуется только (легкодоступный) номер модели устройства и несколько секунд.

«Вы идете по улице в наушниках, слушаете музыку. Менее чем за 15 секунд мы можем перехватить ваше устройство», — рассказал Wired исследователь из KU Leuven Сэйон Дуттагупта. «Это означает, что я могу включить микрофон и слушать звуки вокруг вас. Я могу вставлять звук. Я могу отслеживать ваше местоположение». Исследователи уведомили Google об уязвимости WhisperPair в августе, и компания работает с ними с тех пор.

Fast Pair должен разрешать только новые соединения, когда аудиоустройство находится в режиме сопряжения. (Правильная реализация этого предотвратила бы данную уязвимость.) Однако представитель Google заявил Engadget, что уязвимость возникла из-за неправильной реализации Fast Pair некоторыми аппаратными партнерами компании. Это могло позволить устройству хакера выполнить сопряжение с вашими наушниками или колонкой после того, как оно уже было сопряжено с вашим устройством.

«Мы ценим сотрудничество с исследователями безопасности в рамках нашей программы вознаграждений за обнаружение уязвимостей, которая помогает обеспечивать безопасность наших пользователей», — написал представитель Google в заявлении, отправленном Engadget. «Мы работали с этими исследователями над устранением этих уязвимостей и не видели доказательств какой-либо эксплуатации за пределами лабораторных условий, описанных в этом отчете. В качестве лучшей практики безопасности мы рекомендуем пользователям проверять наличие последних обновлений прошивки для своих наушников. Мы постоянно оцениваем и улучшаем безопасность Fast Pair и Find Hub».

Исследователи создали видео ниже, чтобы продемонстрировать, как работает уязвимость

В электронном письме Engadget Google заявил, что шаги, необходимые для доступа к микрофону или аудиоустройству, сложны и включают несколько этапов. Злоумышленникам также пришлось бы оставаться в пределах досягаемости Bluetooth. Компания добавила, что предоставила своим OEM-партнерам рекомендуемые исправления в сентябре. Google также обновил свой инструмент сертификации Validator и требования к сертификации.

Исследователи говорят, что в некоторых случаях риск применим даже к тем, кто не использует телефоны Android. Например, если аудиоаксессуар никогда не был сопряжен с учетной записью Google, хакер мог бы использовать WhisperPair не только для сопряжения с аудиоустройством, но и для привязки его к своей собственной учетной записи Google. Затем они могли бы использовать инструмент Google Find Hub для отслеживания местоположения устройства (а следовательно, и вашего).

Google заявил, что развернул исправление для своей сети Find Hub, чтобы устранить этот конкретный сценарий. Однако исследователи сообщили Wired, что в течение нескольких часов после выпуска исправления они нашли обходной путь.

17 затронутых устройств произведены 10 различными компаниями, все из которых получили сертификацию Google Fast Pair. Среди них Sony, Jabra, JBL, Marshall, Xiaomi, Nothing, OnePlus, Soundcore, Logitech и Google. (Google заявляет, что его затронутые Pixel Buds уже исправлены и защищены). Исследователи опубликовали поисковый инструмент, который позволяет узнать, уязвимы ли ваши аудиоаксессуары.

В заявлении, отправленном Engadget, OnePlus заявил, что расследует проблему и «примет соответствующие меры для защиты безопасности и конфиденциальности наших пользователей». Мы также связались с другими производителями аксессуаров и обновим эту статью, если получим ответ.

Исследователи рекомендуют регулярно обновлять свои аудиоустройства. Однако их беспокоит то, что многие люди никогда не будут устанавливать приложение стороннего производителя (необходимое для обновлений), оставляя свои устройства уязвимыми.

Полный отчет Wired подробно изложен в Wired и заслуживает внимания.