Des chercheurs ont découvert une autre faille dans les puces Bluetooth, qui pourrait représenter un risque pour votre vie privée si elle était facilement exploitable.
Lors de la récente conférence de l’IEEE sur la sécurité et la confidentialité, des chercheurs de l’université de Californie à San Diego ont présenté leurs conclusions sur les imperfections matérielles uniques des puces Bluetooth, dont on peut prendre l’empreinte. En théorie, cela permet aux attaquants de suivre les utilisateurs grâce aux puces Bluetooth intégrées dans leurs gadgets intelligents, bien que les chercheurs eux-mêmes admettent que le processus nécessite une quantité considérable de travail et une bonne dose de chance.
Le « suivi » des appareils des utilisateurs qu’ils décrivent est une nouvelle escalade dans la course aux armements en cours entre les courtiers en données et les fabricants d’appareils soucieux du respect de la vie privée », a déclaré Evan Krueger, responsable de l’ingénierie chez Token, par courriel. « Il est peu probable que cette technique soit utilisée pour une attaque ciblée, comme le harcèlement ou la violence entre partenaires intimes, de la manière dont les gens ont vu les AirTags d’Apple utilisés récemment. »
Qu’est-ce que le Bluetooth multipoint ?
La criminalistique Bluetooth
Les chercheurs affirment que ces derniers temps, les appareils mobiles, y compris les smartphones et les montres intelligentes, se sont transformés en balises de suivi sans fil, transmettant constamment des signaux pour des applications telles que la recherche de contacts ou d’appareils perdus.
Selon les chercheurs, nos appareils intelligents émettent constamment des centaines de balises par minute. Lors de leurs tests avec plusieurs appareils intelligents, ils ont chronométré l’iPhone 10, envoyant plus de 800 signaux par minute, tandis que l’Apple Watch 4 crachait près de 600 balises toutes les 60 secondes.
« Ces applications [Bluetooth] utilisent un anonymat cryptographique qui limite la capacité d’un adversaire à utiliser ces balises pour traquer un utilisateur », notent les chercheurs. « Cependant, les attaquants peuvent contourner ces défenses en prenant l’empreinte des imperfections uniques de la couche physique dans les transmissions de dispositifs spécifiques. »
Ces recherches sont dignes d’intérêt car elles ont contribué à démontrer que les signaux Bluetooth ont une empreinte digitale distincte et traçable.
Cependant, le processus exact d’identification du signal unique d’un appareil demande un peu de travail et n’est pas toujours garanti, car toutes les puces Bluetooth n’ont pas la même capacité ni la même portée.
Les meilleurs trackers Bluetooth 2022
La guerre des nerfs
« D’après les recherches, cette technique ne semble pas pouvoir être utilisée dans le monde réel sans quelques itérations pour simplifier son utilisation et la rendre plus stable », a déclaré Matt Psencik, directeur, spécialiste de la sécurité des points d’accès, chez Tanium, par courriel, après avoir parcouru le document.
Psencik a illustré son argument en disant qu’il venait d’utiliser une application BluetoothLE Scanner qui a détecté 165 appareils Bluetooth près de lui alors qu’il se trouvait au troisième étage d’un immeuble d’habitation. « En gardant cela à l’esprit, l’utilisation de cette méthode pour suivre quelqu’un dans des lieux bondés serait un exploit mieux accompli avec le suivi visuel classique en ligne de mire », a déclaré Psencik.
Il a noté que si les chercheurs ont identifié une faille dans le Bluetooth, leur mécanisme de suivi générerait un grand nombre de données avec peu de bénéfices.
M. Krueger a abondé dans le même sens, affirmant que plutôt qu’un exploit pour suivre des personnes individuelles, le travail des chercheurs intéressera probablement les sociétés de courtage de données qui tentent de surveiller les gens en masse et de vendre ces données, ou l’accès à celles-ci, à des fins publicitaires.
« Si un détaillant peut considérer que le suivi des clients par empreinte Bluetooth lors de leurs déplacements dans son magasin est inoffensif pour les clients et bénéfique pour l’entreprise, les conséquences d’une surveillance sans entrave sont en effet inquiétantes », estime M. Krueger.
Expliquant la gravité de la situation, M. Krueger a déclaré que les gens sont assez handicapés pour combattre directement ce type de suivi, étant donné le niveau de sophistication de ces techniques d’empreintes digitales et l’omniprésence du balisage Bluetooth dans des produits qui sont devenus essentiels à notre vie quotidienne.
La seule option qui s’offre à nous est de rechercher des produits et des services qui ont fait la preuve qu’ils accordent la priorité à la protection de la vie privée de l’utilisateur, auprès d’entreprises qui ont exprimé leur soutien à la législation visant à limiter le suivi ciblé généralisé des personnes, comme le décrit l’article.
« Ces mesures peuvent sembler modestes, voire sans conséquence, pour un individu », reconnaît M. Krueger, « mais il s’agit d’un problème d’action collective, qui ne peut être résolu que par une pression soutenue et cumulative du marché et de la réglementation. »
Le site est très bon, sans doute très rapidement il sera bien connu, en raison de son contenu caractéristique.