Onderzoekers van de KU Leuven hebben een kwetsbaarheid in een protocol van Google ontdekt waardoor het mogelijk is om bluetooth-apparaten af te luisteren en te volgen. Volgens de onderzoekers lopen honderden miljoenen bluetooth-apparaten risico, waaronder draadloze oortjes en koptelefoons van bekende fabrikanten. De kwetsbaarheid is aanwezig in de Google Fast Pair Service (GFPS). Via dit protocol kunnen gebruikers met één klik een apparaat koppelen en synchroniseren met hun Google-account.

Om een nieuw apparaat te koppelen verwacht het bluetooth-protocol dat gebruikers hun apparaat expliciet in de 'pairing modus' plaatsen, door bijvoorbeeld een knop ingedrukt te houden. Dit zorgt ervoor dat alleen vertrouwde apparaten kunnen pairen. De onderzoekers ontdekten dat deze controle bij veel Fast Pair gecertificeerde apparaten is te omzeilen. Een aanvaller kan zo met deze kwetsbare apparaten, tijdens normaal gebruik, zonder toestemming van de eigenaar pairen.

De onderzoekers ontwikkelden twee aanvallen, die ze de naam WhisperPair gaven, en misbruik van het probleem maken. Bij de eerste aanval kan een aanvaller in de buurt van een kwetsbare koptelefoon zonder interactie van de gebruiker met het apparaat pairen. Vervolgens kan zo de audioverbinding worden overgenomen en de microfoon worden gebruikt om een gesprek op te nemen. De aanval is volgens de onderzoekers binnen seconden uit te voeren en getest op een afstand van veertien meter.

De tweede aanval maakt het mogelijk om bluetooth-apparaten te tracken. Sommige apparaten ondersteunen het Find Hub-netwerk van Google, waarmee gebruikers verloren apparaten kunnen terugvinden. Als een slachtoffer, bijvoorbeeld een iPhone-gebruiker die een Fast Pair koptelefoon gebruikt, zijn koptelefoon nooit heeft verbonden met een Androidtoestel, kan een aanvaller zich draadloos registreren als de eigenaar van de koptelefoon.

"Omdat het Google-account van de aanvaller nu geregistreerd is als de eigenaar van het apparaat, kan de aanvaller de locatie van de koptelefoon (en de gebruiker) volgen via het Find Hub-netwerk", aldus de onderzoekers. Die merken op dat zowel Android als iOS anti-stalkerwaarschuwingen tonen, maar dat die meestal pas later worden getoond, waarbij een periode van 48 uur wordt genoemd. Daar komt bij dat deze waarschuwing het apparaat van de gebruiker zelf als tracker toont, waardoor de gebruiker kan denken dat er niets aan de hand is.

Voor het onderzoek werden 25 apparaten van zestien fabrikanten getest, met zeventien verschillende bluetooth-chipsets. Bij 68 procent van deze apparaten wisten de onderzoekers de verbinding over te nemen en de microfoon af te luisteren. "De Fast Pair specificatie verwacht dat de firmware van het apparaat controleert of de pairing modus is ingeschakeld (een verificatie op softwareniveau). Deze verificatie wordt vaak fout geïmplementeerd door fabrikanten van bluetooth-accessoires", merken de onderzoekers op. De onderzoekers informeerden Google. Het bedrijf zegt dat het, en partners, deze maand met beveiligingsupdates komen.