Die Datenschleuder #88 - Chaosradio - CCC

ALSO DER BLAUE ZAHN DAHINTEN... SIEHT NICHT GUT AUS!
Inside Bluetooth Security
18 18
Bastian Ballmann
Bluesnarfing, sprich unauthorisiertes Kopieren von Daten, und Bluebugging, die komplette
Kontrolle über ein Gerät mit Hilfe von AT Befehlen, sind eigentlich altbekannt [1].
Bluesnarfing wurde erstmals im November 2003 von Marcel Holtmann vorgestellt, Bluebugging
im März 2004 von Martin Herfurt. Derartige Techniken wurden auf dem 21C3
[2] präsentiert.
Obwohl die Hersteller informiert wurden und
Patches verfügbar sind, ist die Information, daß
die Implementationen von Bluetoothtechnologien
einiger Hersteller sehr leichtfertig brisante
Daten durch die Luft werfen, leider nicht bis
zum Konsumenten weitergeleitet worden. So ist
es nicht verwunderlich, daß derartige Attacken
[3] im Regierungsbezirk in Berlin das Herrschaftswissen
der Republik, wie es der Spiegel
nennt, preisgeben. Nur die Tatsache, daß es
nach wie vor keine Scriptkiddie-Tools für derartige
Attacken im Netz gibt, verhindert Schlimmeres
– oder ist sie vielleicht gar mit schuld an
der Misere? Ich weiß es nicht, das ist wohl fast
schon eine Glaubensfrage.
Auf jeden Fall stelle ich mir immer noch die
Frage, wie solche Sicherheitslücken zustande
kommen. Wieso kann man sich bei manchen
Handys auf einen Channel, der nicht via SDP
gelistet ist, verbinden und dem Telefon munter
Befehle senden, die es dann ungefragt ausführt?
Man kann diese Lücke sogar dazu ver-
C
wenden, dem Telefon mitzuteilen, daß es bitte
einfach abhebt, wenn man anruft. Dadurch ist
eine Raumüberwachung mit Hilfe einer Yagi-
Antenne auf knapp anderthalb Kilometern
Entfernung möglich! Fällt solch eine Eigenschaft
aus Versehen und unbemerkt in den
Code? Wurde sie zu Testzwekken implementiert
und nachher vergessen?
Daß es manche Hersteller irgendwie versäumt
haben, bei OBEX FTP eine Authentifizierung
einzubauen und man deshalb munter
das Telefonbuch sowie den Kalender auslesen
kann, kann ich mir ja noch vorstellen. Wie auch
immer solche Dinge zustande kommen mögen,
die Informationspolitik der entsprechenden
Unternehmen ist miserabel.
Dank Blooover [4] braucht man auch noch nicht
einmal mehr einen Laptop. Ein Mobiltelefon
mit Bluetooth und Java Unterstützung reicht
aus, um derartige Attacken fahren zu können.
Und wer sich ein wenig mit Bluetooth auskennt,
von wulffmorgenthaler.com
die datenschleuder. #88 / 2005