hacking bluetooth - el gran foro del wireless de...

HACKING BLUETOOTHSEGURIDAD EN TELÉFONOS MÓVILES

ALBERTO MORENO [email protected]

INTRODUCCIÓN AL ESTÁNDAR BLUETOOTH

IDENTIFICACIÓN DE DISPOSITIVOS BLUETOOTH

VULNERABILIDADES Y ATAQUES A TELÉFONOS MÓVILES

MARKETING DE PROXIMIDAD BASADO EN BLUETOOTH

ESTÁNDAR BLUETOOTH

DEFINICIÓN DE BLUETOOTH

¿QUÉ ES BLUETOOTH?: Bluetooth es la especificación que define un estándar global de comunicaciones inalámbricas para redes de área personal que permite la transmisión de voz y datos entre diferentes equipos mediante un enlace por radiofrecuencia en entornos de comunicaciones móviles y estáticos.

ETIMOLOGÍA: El nombre Bluetooth procede del rey danés del siglo X llamado Harald Blatand (traducido como Harold Bluetooth), conocido porunificar las tribus en guerra de Noruega, Suecia y Dinamarca e iniciar el proceso de cristianización de la sociedad vikinga.

HISTORIA: - 1994: Primeros estudios de Ericsson para comunicaciones inalámbricas- 1998: Se funda el SIG Bluetooth

- 1999: Especificación Bluetooth 1.0- Posteriormente, sucesivas versiones: 1.1, 1.2 y 2.0.

ESTÁNDAR BLUETOOTH

ESPECIFICACIÓN DE BLUETOOTH

FRECUENCIA DE RADIO: Bluetooth trabaja a 2.4 GHz de la banda ISM disponible a nivel mundial y que no requiere licencia de operador, lo que significa una compatibilidad universal entre dispositivos Bluetooth.

POTENCIA DE TRANSMISIÓN: se divide en 3 clases de productos:• Clase 1: 100 mW, con un rango de ~100 m. También 125 – 150m.• Clase 2: 2.5 mW, con un rango de ~10 m.• Clase 3: 1 mW, con un rango de ~1 m.

TOPOLOGÍA DE RED:• Bluetooth es una tecnología de redes PAN (Personal Area Network)• Comunicación stand-alone a nivel mundial entre dos dispositivos• Hasta 8 dispositivos se pueden conectar formando una Piconet• La unión de varias Piconets se denomina Scatternet

DOS TIPOS DE ENLACES:• Enlace asíncrono sin conexión (ACL) para transmisión de datos.• Enlace síncrono orientado a conexión (SCO) para tráfico de audio + datos.

ESTÁNDAR BLUETOOTH

DISPOSITIVOS BLUETOOTH

BLUETOOTH presente en multitud de dispositivos de la vida cotidiana:

ESTÁNDAR BLUETOOTH

PILA DE PROTOCOLOS BLUETOOTH

2 ZONAS:• MÓDULO Bluetooth: Encargado del interfaz de radiofrecuencia• HOST Bluetooth: Encargado de las capas superiores de enlace y aplicación

Módulo Bluetooth(hardware)

Host Bluetooth(software)

ESTÁNDAR BLUETOOTH

BLUEZ: LA PILA DE PROTOCOLOS BLUETOOTH PARA LINUX

Sobre la pila de protocolos específicos de Bluetooth cada fabricante puede implementar su capa de protocolos de aplicación propietarios.

• Windows Stacks: Widcomm, Toshiba, Microsoft Windows XP, IVT Bluesoleil• Linux Stacks: BlueZ, OpenBT, Affix (Nokia)

BlueZ, adecuada para auditoría de seguridad en dispositivos Bluetooth

• Proyecto Open Source http://www.bluez.org

• Incluye un conjunto de herramientas para funciones Bluetooth• Bluepin: Gestión de suminitro del PIN en emparejamientos• Hciconfig: Configuración de dispositivos Bluetooth locales• Hcidump: Sniffer local de tráfico HCI• Hcitool: Gestión del descubrimiento y enlace con otros dispositivos• L2ping: Envío de solicitudes echo request a nivel L2CAP• Rfcomm: Gestión de conexiones RFCOMM• Sdptool: Gestión de SDP y descubrimiento de servicios Bluetooth

• Proporciona librerías para el desarrollo de aplicaciones• bluez-libs-devel

ESTÁNDAR BLUETOOTH

MECANISMOS DE SEGURIDAD EN BLUETOOTH

AUTENTICACIÓN: es el proceso por el cual un dispositivo Bluetooth verifica su identidad en otro dispositivo para poder acceder a los servicios que ofrece.

• EMPAREJAMIENTO DE DISPOSITIVOS:• Intercambio de PIN• Generación de la clave de enlace (linkkey)

AUTORIZACIÓN: es el procedimiento que determina los derechos que tiene un dispositivo Bluetooth para acceder a los servicios que ofrece un sistema.

• Se gestiona mediante LISTA DE DISPOSITIVOS DE CONFIANZA• DISPOSITIVOS DE CONFIANZA: acceso sin restricciones• DISPOSITIVOS NO CONFIABLES: requieren autorización

CIFRADO DE DATOS: garantiza la confidencialidad de la información transmitida sobre un enlace Bluetooth

• CLAVE DE CIFRADO

ESTÁNDAR BLUETOOTH

COMANDOS AT

Los COMANDOS AT GSM son un juego de instrucciones codificadas que permiten configurar el teléfono móvil.

• Basados en los comandos AT - Hayes para configuración de modems (1977) • Permiten establecer una configuración en el terminal y enviarle instrucciones a ejecutar• El soporte viene dado por el equipo, los comandos son ejecutados con independencia del canal de comunicaciones: Bluetooth, IrDA, Puerto Serie, …• En Bluetooth se accede a la capa de comandos AT a través de RFCOMM• Algunos ejemplos:

• AT+CGMI: Identificación del fabricante• AT+CGMM: Identificación del modelo• AT+CPBR=1: Devuelve la primera entrada en la agenda de contactos• AT+CPBS=“MC”;+CPBR=1: Devuelve la última llamada perdida• AT+CMGR=1: Devuelve el primer mensaje SMS en bandeja de entrada• ATD619000000;: Realiza una llamada de voz a un número de teléfono• AT+CCFC=0,3,+34619000000,145,7: Configura un desvío de llamadas

• Implementación de los comandos AT en los teléfonos se hace por bloques:• Bloque básico: Información y configuración del terminal, llamadas.• Bloque de gestión de la agenda de contactos: leer, añadir, eliminar, …• Bloque de gestión de mensajes SMS: leer, eliminar, enviar, …

ESTÁNDAR BLUETOOTH

COMANDOS AT

• Una sesión de comandos AT sigue el modelo petición / respuesta

IDENTIFICACIÓN DE DISPOSITIVOS

¿QUÉ SE ENTIENDE POR “IDENTIFICACIÓN”?

La IDENTIFICACIÓN DE DISPOSITIVOS comprende el conjunto de actividades que permiten obtener información relevante de un dispositivo Bluetooth remoto.

INFORMACIÓN PÚBLICA:• Estado de visibilidad del dispositivo: Visible / Oculto• Nombre del dispositivo• Fabricante del chip Bluetooth• Naturaleza del equipo

• Servicios ofrecidos por el dispositivo / Perfiles Bluetooth disponibles

INFORMACIÓN IMPLÍCITA:• Marca y modelo del dispositivo

INFORMACIÓN PÚBLICA DEL DISPOSITIVO (1)


DETECCIÓN DE DISPOSITIVOS: Proceso de descubrimiento de equipos situados dentro del radio de cobertura de nuestro módulo Bluetooth.

DETECCIÓN DE DISPOSITIVOS EN MODO VISIBLE O DISCOVERABLE

• Responsabilidad de la capa HCI• El equipo origen envía paquetes inquiry y se mantiene en espera• Los equipos destino en modo visible cambian a estado inquiry_response y envían una respuesta con su dirección MAC y otros parámetros• Los equipos destino en modo oculto nunca entran en modo inquiry_response

DETECCIÓN DE DISPOSITIVOS EN MODO OCULTO O NON DISCOVERABLE

• Que no se vea no significa que no esté ahí• Ciertos paquetes Bluetooth obligan al dispositivo que los recibe a devolver una respuesta independientemente de su estado de visibilidad(Ejemplo: La función de resolución de nombre: hci_read_remote_name)• Técnica: Ataque por fuerza bruta a un rango de direcciones MAC

- Redfang



IDENTIFICACIÓN DEL TIPO DE DISPOSITIVO

• Naturaleza del equipo

• Cada dispositivo incorpora en la cabecera de nivel Banda Base de sus paquetes el campo Class of Device, que consta de dos subcampos:

• MAJOR DEVICE CLASSES: identifica el tipo genérico de dispositivo• MINOR DEVICE CLASSES: identifica el tipo específico de dispositivo

• Spec: https://www.bluetooth.org/foundry/assignnumb/document/baseband



EJEMPLO DE IDENTIFICACIÓN DEL TIPO DE DISPOSITIVO

0x320114 representado en binario es001100100000000100010100

Nº bit: 23 22 21 20 19 18 17 16 15 14 13 | 12 11 10 09 08 07 | 06 05 04 03 02 | 01 00Valor: 0 0 1 1 0 0 1 0 0 0 0 | 0 0 0 0 1 0 | 0 0 1 0 1 | 0 0

MAJOR MINOR



DESCUBRIMIENTO DE SERVICIOS: Capacidad de buscar y encontrar servicios disponibles en dispositivos Bluetooth. A través de los servicios, dos dispositivos pueden ejecutar aplicaciones comunes e intercambiar datos. Responsabilidad del SDP (Service DiscoveryProtocol)

SERVICE CLASS (Clase de servicio)• Describe los servicios genéricos soportados por un dispositivo• A través del campo Class of Service• Spec: https://www.bluetooth.org/foundry/assignnumb/document/baseband



SERVICE RECORD (Registro de servicio)• Describe los atributos de un determinado servicio: nombre, descripción, canal, …• 2 tipos de operaciones SDP relacionadas con el descubrimiento de servicios:

• Búsqueda de servicios: encontrar dispositivos que ofrecen un servicio• Enumeración de servicios: conocer los servicios que ofrece un dispositivo

BLUEZSCANNER


BLUEZSCANNER es un sencillo escáner de dispositivos Bluetooth basado en BlueZ

Se distribuye libremente bajo licencia GNU.

Implementa las siguientes funciones:• Descubrimiento de dispositivos Bluetooth cercanos• Resolución del nombre de dispositivo• Fabricante del chip Bluetooth incorporado• Identificación de la naturaleza del equipo • Descubrimiento de servicios / perfiles bluetooth

Más info: el Blog de Gospel

DEMO 1

BLUEZSCANNER

¿POR QUÉ ES IMPORTANTE CUIDAR LA SEGURIDAD?

ATAQUES A TELÉFONOS MÓVILES

EL TELÉFONO MÓVIL...

INSTRUMENTO INDISPENSABLE DE COMUNICACIÓN CON OTRAS PERSONAS• Necesidad de disponibilidad en todo momento• Realizar / recibir llamadas• Enviar / recibir SMS

CONTIENE INFORMACIÓN CONFIDENCIAL• Agenda de contactos (nº de teléfonos e incluso direcciones)• Mensajes SMS/MMS con contenidos personales• Calendario de citas• Multimedia: fotografías, videos, grabaciones de voz, ...

• Nuevos contenidos y mayor capacidad: emails, contraseñas almacenadas, ...

RIESGOS

• Consumo del saldo: llamadas de voz, GPRS, envío de SMS, ...• Acceso a información confidencial: lectura, modificación, borrado.• Inutilización temporal del terminal (Denial of Service)

TIPOS DE ATAQUES


BLUESNARFING:• Snarf: Acceso, robo, copia de ficheros de datos del teléfono móvil• Agenda de contactos, calendario de citas, imágenes, ...

EJECUCIÓN DE COMANDOS AT• Precedente: Ataque Bluebug• Comandos AT, juego de instrucciones que permiten configurar el teléfono• Permiten realizar llamadas, acceso a agenda de contactos y mensajes SMS, …• Control total del terminal, equivale a obtener una shell de comandos en un PC

ATAQUES DoS• Denial of Service (Denegación de Servicio)• Generalmente se deben a desbordamientos de búfer: Ping of the Death, ...• Inutilización temporal del teléfono: bloqueo, reinicio del terminal o cuelgue de servicios

SPAM / BLUEJACKING• Envío de archivos sin consentimiento: vCard, publicidad comercial, ...• Requiere autorización para recibir el archivo, se puede evitar• Más que un “ataque” es una molestia, si se padece en exceso


TIPOS DE ATAQUES

1) ATAQUES A LOS PRIMEROS TELÉFONOS MÓVILES BLUETOOTH

• Vulnerabilidades basadas en implementación incorrecta de los fabricantes• Ataque BLUESNARF• Ataque BLUEBUG• Ataque HELOMOTO

2) ATAQUES A TELÉFONOS MÓVILES BLUETOOTH ACTUALES

• No hay vulnerabilidades importantes, los fabricantes se preocupan• Tendencia actual: Saltarse las mecanismos de seguridad de Bluetooth• Ataque BLUELINE• Ataque BLUE MAC SPOOFING

ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: BLUESNARF


El ataque BLUESNARF se basa en la extracción de archivos de un teléfono móvil Bluetootha través del Perfil de Carga de Objetos (OBEX Object Push) sin autorización del usuario propietario.

El Perfil de Carga de Objetos (OPUSH, Object Push Profile) permite la carga y descarga de objetos de datos entre dispositivos Bluetooth.

La vulnerabilidad se basa en una implementación incorrecta del Perfil de Carga de Objetos, que carece de mecanismos de autenticación y autorización, y que permite a un atacante descargarse archivos de nombre conocido, como la agenda de contactos almacenada en el terminal o el calendario de citas.

ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: BLUEBUG


BLUEBUG es una vulnerabilidad que permite a un atacante establecer una conexión RFCOMM a un canal oculto sin necesidad de autenticación y ejecutar comandos AT en el teléfono comprometido.

Explotando esta vulnerabilidad, un atacante podría realizar las siguientes funciones: • Información básica: Marca, modelo, IMEI, …• Llamadas de voz, desvío de llamadas, …• Agenda de contactos: Leer, escribir, borrar, …• Agenda de llamadas: Últimas llamadas perdidas, recibidas o realizadas.• SMS: Leer bandeja de entrada, escribir y enviar, borrar, …

DEMO 2

ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: BLUEBUG

ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: HELOMOTO


HELOMOTO es un ataque que sólo afecta a teléfonos móviles Motorola

La vulnerabilidad se basa en una implementación incorrecta de la gestión de la lista de dispositivos de confianza.

El ataque se desarrolla del siguiente modo:

El atacante inicia una conexión al Perfil de Carga de Objetos (OBEX Object Push) con la intención de enviar una tarjeta de visita o vCard.

De forma automática el dispositivo atacante es añadido a la lista de dispositivos de confianza del terminal, aunque la conexión no finalice con éxito.

Con su equipo incluido en la lista de dispositivos de confianza, el atacante puede conectarse a perfiles que requieran autorización, como el Perfil de Pasarela de Voz (Voice Gateway Profile).

Una vez establecida la conexión con el Perfil de Pasarela de Audio, el atacante puede acceder a la ejecución de comandos AT en el teléfono móvil.

ATAQUES A TELÉFONOS MÓVILES ACTUALES


En los teléfonos móviles actuales la seguridad se visto mejorada notablemente:

Casi la totalidad de los servicios requiere autenticación. Las excepciones son algunos servicios en los que se omite este nivel de seguridad por comodidad del modelo de uso, como el Perfil de Carga de Objetos (OBEX Object Push) o el Perfil de Pasarela de Voz (Voice Gateway Profile).

Todos los servicios requieren autorización. Si un dispositivo no confiable intenta conectarse a cualquier servicio, el usuario recibirá una notificación en pantalla para que autorice dicha conexión explícitamente.

Algunos modelos, como los nuevos teléfonos móviles Motorola, deniegan automáticamente cualquier intento de conexión proveniente de cualquier equipo no incluido en el histórico de dispositivos conectados anteriormente.

TENDENCIA ACTUAL: Intentar saltarse los mecanismos de seguridad de Bluetooth

• Engañando al usuario para que autorice la conexión: Ataque BLUELINE• Suplantando a otros equipos de confianza: Ataque BLUE MAC SPOOFING

ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUELINE


BLUELINE es un ataque que afecta a teléfonos móviles Motorola como RAZR o PEBL

El objetivo del ataque BLUELINE es saltarse la autorización de acceso al Perfil de Pasarela de Voz (Voice Gateway Profile) y poder ejecutar comandos AT en el teléfono móvil.

En los teléfonos móviles actuales, el mecanismo de autorización exige que todo dispositivo no confiable sea autorizado explícitamente por el usuario para permitir el acceso a los servicios que requieran este nivel de seguridad.



El ataque BLUELINE permite provocar una falsificación o spoofing del interfaz sustituyendo el mensaje original por un texto malicioso capaz de engañar al usuario.

La falsificación se consigue explotando un tratamiento incorrecto del juego de caracteres en el sistema operativo al incluir el carácter de escape 0x0d en el nombre del dispositivo atacante.

hciconfig hci0 name `perl -e 'print"Pulse\x0daceptar\x0dpara\x0ddeshabilitar\x0dsilencio\x0d\x0d"'`

Si el usuario cae en el engaño, aceptará la conexión al Perfil de Pasarela de Voz y el atacante dispondrá de autorización para ejecutar comandos AT en el terminal.

DEMO 3


ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUE MAC SPOOFING


El ataque BLUE MAC SPOOFING permite a un atacante suplantar la identidad de un dispositivo de confianza para atacar un teléfono móvil y utilizar sus credenciales para acceder a servicios que requieren autenticación y/o autorización.

El ataque BLUE MAC SPOOFING se puede desarrollar en dos niveles:

• Suplantación de la dirección MAC de un dispositivo de confianza para acceder a servicios que requieren autorización.

• Suplantación de la dirección MAC de un dispositivo de confianza y obtención de la clave de enlace (linkkey), generada durante el emparejamiento del dispositivo suplantado con el teléfono móvil, para acceder a servicios que requieren autenticación.

El principal inconveniente es que los adaptadores Bluetooth convencionales no permiten modificar la dirección MAC del módulo.

DEMO 4


¿ESO QUÉ ES LO QUE ES?

MARKETING DE PROXIMIDAD

Se denomina MARKETING DE PROXIMIDAD BASADO EN BLUETOOTH al envío de contenidos de información y publicidad a teléfonos móviles Bluetooth.

• Marca corporativas: Estrategia de promoción y publicidad• Instituciones: Envío de información en puntos de interés general• Se sitúan HotSpots en puntos estratégicos de elevado tránsito de personas• Alcance de ~100m• Se envían archivos a través del Perfil de Carga de Objetos (OBEX Object Push)• No necesita autenticación, los usuarios sólo deben autorizar el envío• Los objetos de información son de diversa naturaleza:

• Archivos de texto• Imágenes• Archivos de audio y tonos• Videos• Paquetes instalables (.sis, .jar, …)

• Algunos HotSpots inteligentes son capaces de identificar la marca y el modelo del teléfono objetivo y adaptar el contenido del objeto a los formatos soportados

BLUEZSPAMMER


BLUEZSPAMMER es un sencillo HotSpot basado en BlueZ capaz de enviar archivos a teléfonos móviles Bluetooth con soporte para el Perfil de Carga de Objetos (OBEX Object Push)

Se distribuye libremente bajo licencia GNU.

Implementa las siguientes funciones:• Descubrimiento de dispositivos Bluetooth cercanos• Filtro de teléfonos móviles y smart phones• Modo Demo, solo descubre dispositivos susceptibles de recibir spam• Filtro de códigos MAC de fabricantes de chips Bluetooth• Envío de archivos a través del Perfil de Carga de Objetos con ObexPush

Más info: el Blog de Gospel

DEMO 5

BLUEZSPAMMER

PROYECTO TROYANO BLUETOOTH


El proyecto persigue el desarrollo de una aplicación troyano para sistemas Symbian Serie s60.

Se trata de un proyecto de desarrollo conjunto de

El objetivo es concienciar a la gente de que el Marketing de Proximidad puede ser utilizado como una estrategia de envío masivo de aplicaciones maliciosas y virus.

Promovemos mantener una actitud prudente a la hora de aceptar envíos a nuestro teléfono móvil provenientes de fuentes desconocidas, aunque en apariencia parezcan de confianza.

El proyecto será una Prueba de Concepto, con el fin de demostrar que se podría desarrollar una aplicación con interfaz amigable pero que por debajo ejecute acciones maliciosas que perjudiquen al usuario.

La plataforma de desarrollo será Symbian C++ para teléfonos móviles Serie s60, muy extendidos.

PROYECTO TROYANO BLUETOOTH


El interfaz de la aplicación troyano mostrará contenidos de ocio y publicidad de una importante marca corporativa.

La acción maliciosa consistirá en:• Añadir a la lista de dispositivos emparejados en el teléfono móvil objetivo una dirección MAC predefinida• Especificar una clave de enlace predefinida• Marcar esa dirección MAC como dispositivo de confianza

Si la acción se lleva a cabo con éxito, el atacante podrá utilizar la dirección MAC y clave de enlace predeterminadas para acceder a servicios del teléfono móvil comprometido sin necesidad de autenticación o autorización.

Advertencias:• El desarrollo de la aplicación troyano se realizará con fines didácticos y éticos. • No se publicará el código fuente de la aplicación, pero sí que se liberará una versión de Prueba de Concepto capada.

CONCLUSIONES

Bluetooth es un estándar de comunicaciones robusto y seguro.

Las fallas de seguridad se encuentran en la implementación de los fabricantes en los productos que comercializan.

Con el tiempo, la seguridad mejora y resulta más difícil encontrar vulnerabilidades.

En caso de encontrar vulnerabilidades, el impacto es muy grande ya que es complicado proteger los dispositivos Bluetooth mediante parches de actualización.

RECOMENDACIONES DE SEGURIDAD:

• Desactivar Bluetooth mientras no se utilice• Configurar el dispositivo en modo oculto, para que no pueda ser descubierto por atacantes • No aceptar conexiones de dispositivos no conocidos

LINKS

el Blog de Gospelhttp://gospel.endorasoft.es

Bluehack: the Spanish Bluetooth Security Grouphttp://bluehack.endorasoft.es

Foro de Bluetooth en elhacker.nethttp://foro.elhacker.net

Trifinite Grouphttp://trifinite.org

Digital Munitionhttp://www.digitalmunition.com

BlueZ: la pila de protocolos Bluetooth oficial para Linuxhttp://www.bluez.org

DUDAS

¿?

hacking bluetooth - el gran foro del wireless de...

Documents