Notebooks, Smartphones und viele andere Bluetooth-fähigen Geräte sind betroffen (alle Bluetooth-Versionen 3.0 – 5.2). Wenn Bluetooth aktiviert und ein Angreifer in Funkreichweite ist, kann er das Gerät zum Absturz bringen und im Einzelfall auch Schadcode ausführen.
Falls der Bluetooth-Kopfhörer oder die Smartwatch nicht mehr reagiert, könnte das der Grund dafür sein :-(.
Updates sind noch nicht verfügbar und teilweise von den Herstellern auch nicht vorgesehen.
Updates für Geräte im Internet der Dinge / Internet of Things (IoT)
Zudem stellt sich bei vielen Geräten des Internets der Dinge (IoT) die Frage, ob und wie diese überhaupt gepatched werden können. Über Bluetooth oder WLAN/Mobiles Internet Updates einzuspielen erscheint nicht als geeigneter Weg, aber nicht jedes Gerät es lässt sich über USB verbinden und bei der Vielzahl an Geräten auch kein gangbarer Weg.
Problematisch ist zudem, dass es sich um sogenannte Firmware-Updates handelt (auch Treiber genannt), die für die oft separate Bluetooth-Komponente eines Gerätes installiert werden müssen.
Bislang hat sich noch kein sicheres Verfahren für Updates etabliert. Es zeichnet sich aber bereits jetzt ab, dass Updates „over-the-air (OTA)“ umgesetzt werden, d.h. sie werden direkt über WLAN/Mobiles Internet auf die Geräte aufgespielt. Dabei ist es wichtig, dass keine Schadsoftware auf die Geräte kommt – letztlich handelt es sich bei solch einem Update auch um Remote Code Execution, die gegen Mißbrauch abgesichert werden sollte.
Mittlerweile bieten zwar Cloud-Anbieter wie AWS und Azure Tools für IoT Device Management an, ob diese sicher genug sind, kann hinterfragt werden und hängt nicht zuletzt von den Fähigkeiten und implementierten Schutzmechanismen der IoT Devices ab.
In der Working Group Software Updates for Internet of Things (SUIT) der IEEE wird an Empfehlungen bis hin zu Standards gearbeitet. Ziel ist die Entwicklung einer sicheren Architektur für Updateprozesse, bei der u.a. kryptographische Signaturen für authorisierte Updates eingesetzt werden. Es scheint aber noch ein weiter Weg zu sein.
Weitere Informationen
- heise.de – Braktooth: Neue Bluetooth-Lücken bedrohen unzählige Geräte (2.9.2020; Hinweis: Die Webseite nutzt Aktivitätenverfolgung und bindet weitere externe Dienste ein)
- Study of Singapore University – BRAKTOOTH: Causing Havoc on Bluetooth Link Manager (2.9.2020; Hinweis: Die Webseite nutzt Aktivitätenverfolgung und bindet weitere externe Dienste ein)
Zu Updates von IoT-Geräten
- IEEE/Working Group SUIT – A Firmware Update Architecture for Internet of Things (2020, Draft; Hinweis: Die Webseite und bindet externe Dienste ein)
- IEEE – J. L. Hernández-Ramos, G. Baldini, S. N. Matheu and A. Skarmeta, „Updating IoT devices: challenges and potential approaches,“ 2020 Global Internet of Things Summit (GIoTS), 2020, pp. 1-5, doi: 10.1109/GIOTS49054.2020.9119514. (Volltext/PDF nur für Subscribers)