Des centaines de millions d'appareils audio nécessitent un correctif pour empêcher le piratage et le suivi sans fil.
infohightech ·
Google a conçu le protocole sans fil Fast Pair qui optimise les connexions en un clin d'œil : il permet aux utilisateurs de connecter leurs appareils Bluetooth à des appareils Android et ChromeOS d'un simple clic. Or, une équipe de chercheurs a découvert que ce même protocole permet également à des pirates informatiques de se connecter aussi facilement à des centaines de millions d'écouteurs, de casques et d'enceintes. Il en résulte une immense quantité d'appareils audio compatibles Fast Pair qui permettent à n'importe quel espion ou harceleur de prendre le contrôle des enceintes et des microphones, voire, dans certains cas, de suivre la localisation d'une cible à son insu, même s'il s'agit d'un utilisateur d'iPhone n'ayant jamais possédé de produit Google.
Aujourd'hui, des chercheurs en sécurité du groupe Sécurité informatique et cryptographie industrielle de l'université KU Leuven, en Belgique, révèlent une série de vulnérabilités découvertes dans 17 accessoires audio utilisant le protocole Fast Pair de Google et commercialisés par 10 entreprises différentes : Sony, Jabra, JBL, Marshall, Xiaomi, Nothing, OnePlus, Soundcore, Logitech et Google. Les techniques de piratage mises au point par les chercheurs, qu'ils nomment WhisperPair, permettraient à toute personne se trouvant à portée Bluetooth de ces appareils (environ 15 mètres lors de leurs tests) de s'y connecter discrètement et de les détourner.
Selon l'accessoire utilisé, un pirate pourrait prendre le contrôle ou perturber des flux audio ou des conversations téléphoniques, diffuser son propre contenu audio via les écouteurs ou les haut-parleurs de la victime au volume de son choix, ou encore s'emparer discrètement des microphones pour écouter son environnement. Pire encore, certains appareils vendus par Google et Sony, compatibles avec la fonction de géolocalisation de Google, Find Hub, pourraient également être exploités pour permettre une surveillance furtive et de haute résolution.
« Vous marchez dans la rue avec vos écouteurs, vous écoutez de la musique. En moins de 15 secondes, nous pouvons pirater votre appareil », explique Sayon Duttagupta, chercheur à la KU Leuven. « Cela signifie que je peux activer le microphone et écouter ce qui se passe autour de vous. Je peux injecter du son. Je peux vous géolocaliser. »
« L’attaquant est désormais propriétaire de cet appareil », ajoute le chercheur Nikola Antonijević, « et peut en gros faire tout ce qu’il veut avec. »
Les chercheurs font la démonstration de leurs techniques de piratage et de suivi dans la vidéo ci-dessous :
Google a publié aujourd'hui un avis de sécurité en collaboration avec les chercheurs, reconnaissant leurs découvertes et décrivant les efforts déployés pour corriger le problème. Depuis que les chercheurs ont initialement divulgué leurs travaux à l'entreprise en août, Google semble avoir alerté au moins certains fabricants d'appareils vulnérables, dont plusieurs ont mis à disposition des mises à jour de sécurité.
Cependant, étant donné que très peu de consommateurs pensent à mettre à jour le logiciel de leurs objets connectés tels que casques, écouteurs ou enceintes, les chercheurs de la KU Leuven préviennent que les vulnérabilités de WhisperPair pourraient persister dans les accessoires vulnérables pendant des mois, voire des années.
Dans la plupart des cas, l'application de ces mises à jour nécessite l'installation d'une application du fabricant sur un téléphone ou un ordinateur — une étape que la plupart des utilisateurs n'effectuent jamais et dont ils ignorent souvent même l'existence. « Si vous n'avez pas l'application Sony, vous ne saurez jamais qu'une mise à jour logicielle est disponible pour votre casque Sony », explique Seppe Wyns, chercheur à la KU Leuven. « Et vous resterez vulnérable. »
Contacté par WIRED, Google a reçu la réponse d'un porte-parole qui remerciait les chercheurs et confirmait leurs conclusions concernant WhisperPair. « Nous avons collaboré avec ces chercheurs pour corriger ces vulnérabilités et nous n'avons constaté aucune exploitation en dehors du contexte de laboratoire décrit dans ce rapport », a déclaré le porte-parole. « Nous évaluons et améliorons constamment la sécurité de Fast Pair et de Find Hub. »
Google a également indiqué avoir déployé des correctifs pour ses accessoires audio vulnérables ainsi qu'une mise à jour de Find Hub sur Android, censée empêcher les personnes malveillantes d'utiliser WhisperPair pour suivre leurs victimes. Cependant, quelques heures seulement après que Google a informé les chercheurs de ce correctif, ces derniers ont révélé avoir trouvé une faille et être toujours capables d'utiliser leur technique de suivi via Find Hub.
Concernant l'affirmation de Google selon laquelle il n'avait pas constaté d'exploitation de la vulnérabilité WhisperPair en conditions réelles, les chercheurs font remarquer que Google n'aurait aucun moyen d'observer le détournement d'accessoires audio qui n'impliquait pas d'appareils Google.
WIRED a également contacté les neuf autres entreprises dont les accessoires ont été identifiés comme vulnérables par les chercheurs de la KU Leuven. Xiaomi a répondu dans un communiqué qu'elle « est en contact avec Google et d'autres parties concernées et travaille avec ses fournisseurs pour déployer des mises à jour à distance » pour ses écouteurs Redmi. JBL, filiale de Harman Audio, a déclaré : « Google a informé JBL de failles de sécurité potentielles susceptibles d'affecter des appareils tels que des casques et des enceintes. Nous avons reçu les correctifs de sécurité de Google et le logiciel sera mis à jour via les applications JBL dans les prochaines semaines. »
Jabra a répondu dans un communiqué avoir déployé des correctifs pour les failles de sécurité Bluetooth de la puce Airoha utilisée dans ses accessoires en juin et juillet. Cependant, étant donné que les chercheurs n'ont divulgué leurs résultats qu'en août, ils suggèrent que Jabra pourrait confondre leurs travaux avec des découvertes sans lien avec ceux de juin .
Logitech a déclaré avoir intégré un correctif de firmware pour les prochains modèles et précise que son appareil concerné, l'enceinte Wonderboom 4, ne possède pas de microphone susceptible d'être utilisé à des fins d'écoute clandestine. OnePlus a indiqué à WIRED que l'entreprise examinait le problème. Marshall, Nothing et Sony n'ont pas répondu à la demande de commentaires de WIRED.
L'attaque WhisperPair mise au point par les chercheurs exploite plusieurs failles dans l'implémentation de Fast Pair sur les appareils testés. Plus précisément, la spécification de Google pour Fast Pair stipule qu'un appareil ne devrait pas pouvoir se connecter à un nouvel ordinateur ou téléphone s'il est déjà connecté. Or, pour les 17 appareils vulnérables, n'importe qui peut se connecter discrètement à l'appareil cible, même s'il est déjà connecté.
En exploitant les vulnérabilités de Fast Pair découvertes par les chercheurs, un attaquant n'aurait besoin que d'être à portée Bluetooth et d'obtenir l'identifiant de modèle (Model ID) spécifique à l'appareil cible. Les chercheurs précisent que cet identifiant peut être obtenu si l'attaquant possède ou achète un appareil du même modèle que celui de la cible. Ils notent également que, dans certains cas, cet identifiant est partagé par l'appareil lorsqu'un ordinateur ou un téléphone tente de s'y connecter. Outre ces deux méthodes permettant d'obtenir l'identifiant de modèle d'un appareil cible, les chercheurs ont également constaté qu'il était possible d'interroger une API Google publique pour obtenir tous les identifiants de modèle possibles et les déterminer pour tous les appareils.
Dans leurs expériences, l'équipe de la KU Leuven a utilisé un mini-ordinateur Raspberry Pi 4 à bas coût pour tester sa technique. Ils ont tenté de se connecter à 25 appareils Fast Pair déjà appariés, provenant de 16 fournisseurs différents, et ont constaté que la majorité des appareils et des fournisseurs testés étaient vulnérables. Ils ont effectué leurs appariements à environ 14 mètres de la cible – bien qu'ils pensent que des distances plus importantes seraient probablement possibles – et les prises de contrôle ont duré entre 10 et 15 secondes.
Les écouteurs Google Pixel Buds Pro 2 et cinq modèles d'écouteurs et de casques Sony testés présentaient également une faille de sécurité distincte et inquiétante. Si ces appareils n'étaient pas préalablement associés à un compte Google (par exemple, parce qu'ils étaient utilisés uniquement avec un iPhone), un pirate pouvait utiliser WhisperPair pour non seulement les appairer, mais aussi les lier à son propre compte Google.
Le système de Google est conçu pour identifier le premier appareil Android qui se connecte aux écouteurs, ou à d'autres périphériques, comme étant leur propriétaire. Cette manipulation permettrait au pirate d'utiliser la fonctionnalité Localiser de Google, qui suit la géolocalisation de l'appareil en fonction de ses connexions aux appareils environnants, et de suivre les déplacements de l'utilisateur ciblé. « Cela signifie que je peux désormais voir votre appareil sur mon réseau Localiser où que vous soyez, à tout moment », explique Duttagupta.
Grâce à cette technique de suivi, la victime pourrait recevoir une notification sur son smartphone l'informant qu'un appareil Find Hub la suit, en raison des mesures de sécurité mises en place par Google et Apple pour empêcher l'utilisation de ces appareils à des fins de filature. Cependant, les chercheurs affirment que toute victime qui vérifierait l'alerte constaterait que Google ou Apple l'avertit qu'il s'agit de son propre appareil et supposerait probablement qu'il s'agit d'un simple bug.
Pour tous ces problèmes, il n'existe aucune modification simple des paramètres des accessoires permettant aux utilisateurs de se protéger. « Il est impossible de désactiver Fast Pair, même si vous ne l'utilisez jamais », explique Wyns. « Vous pouvez réinitialiser votre appareil aux paramètres d'usine, ce qui supprimera l'accès de l'attaquant et l'obligera à recommencer l'attaque. Cependant, cette fonction est activée par défaut sur tous les appareils compatibles. »
Les vulnérabilités de WhisperPair semblent provenir d'un ensemble complexe et interdépendant de problèmes. Les chercheurs soulignent qu'il est fréquent que les fabricants de périphériques et de puces commettent des erreurs lors de la mise en œuvre de la norme technique Fast Pair. Toutes ces erreurs n'entraînent pas de failles de sécurité, mais l'ampleur de la confusion soulève des questions quant à la robustesse de la norme, affirment les chercheurs.
Google propose une application de validation sur le Play Store, que les fabricants doivent utiliser pour que leurs produits soient certifiés compatibles avec Fast Pair. Selon sa description, l'application « vérifie que Fast Pair a été correctement implémenté sur un appareil Bluetooth » et génère des rapports indiquant si un produit a réussi ou échoué à l'évaluation de son implémentation Fast Pair. Les chercheurs soulignent que tous les appareils testés dans le cadre de leurs travaux étaient certifiés Fast Pair par Google.
Cela signifie, vraisemblablement, que l'application de Google les a classés comme conformes, malgré des failles critiques dans leur implémentation. De plus, les appareils certifiés Fast Pair sont ensuite testés dans des laboratoires sélectionnés par Google. Ces laboratoires examinent les rapports de réussite, puis évaluent directement des échantillons physiques avant la production à grande échelle afin de confirmer leur conformité à la norme Fast Pair.
Google affirme que la spécification Fast Pair définissait des exigences claires et que l'application Validator était principalement conçue comme un outil d'aide à la décision pour les fabricants afin de tester les fonctionnalités essentielles. Suite aux révélations des chercheurs de la KU Leuven, l'entreprise indique avoir ajouté de nouveaux tests d'implémentation spécifiquement adaptés aux exigences de Fast Pair.
En définitive, selon les chercheurs, il est difficile de déterminer si les problèmes de mise en œuvre qui ont conduit aux vulnérabilités de WhisperPair proviennent d'erreurs commises par les fabricants d'appareils ou les fabricants de puces.
WIRED a contacté tous les fabricants de puces qui produisent les chipsets utilisés par les accessoires audio vulnérables — Actions, Airoha, Bestechnic, MediaTek, Qualcomm et Realtek — mais aucun n'a répondu. Dans ses commentaires à WIRED, Xiaomi a indiqué : « Nous avons confirmé en interne que le problème que vous mentionnez était dû à une configuration non standard des fournisseurs de puces concernant le protocole Google Fast Pair. » Airoha est le fabricant de la puce utilisée dans les Redmi Buds 5 Pro que les chercheurs ont identifiés comme vulnérables.
Peu importe qui est responsable des vulnérabilités de WhisperPair, les chercheurs soulignent qu'une modification conceptuellement simple de la spécification Fast Pair permettrait de résoudre le problème plus fondamental de WhisperPair : Fast Pair devrait imposer cryptographiquement les appariements prévus par le propriétaire de l'accessoire et ne pas permettre à un « propriétaire » secondaire et malveillant d'effectuer un appariement sans authentification.
Pour l'instant, Google et de nombreux fabricants d'appareils proposent des mises à jour logicielles pour corriger les vulnérabilités spécifiques. Cependant, l'installation de ces correctifs risque d'être inégale, comme c'est presque toujours le cas en matière de sécurité des objets connectés. Les chercheurs incitent tous les utilisateurs à mettre à jour leurs accessoires vulnérables et les invitent à consulter un site web qu'ils ont créé, qui propose une liste consultable des appareils affectés par WhisperPair. Ils précisent d'ailleurs que WhisperPair devrait servir de rappel général pour la mise à jour de tous leurs objets connectés.
Selon eux, le principal enseignement de leurs recherches est que les fabricants d'appareils doivent privilégier la sécurité lorsqu'ils ajoutent des fonctionnalités facilitant l'utilisation. En effet, le protocole Bluetooth lui-même ne présentait aucune des vulnérabilités qu'ils ont découvertes ; seule la fonction « One-Tap » (un clic) ajoutée par Google pour simplifier l'appairage en était atteinte.
« Oui, nous voulons nous simplifier la vie et améliorer le fonctionnement de nos appareils », explique Antonijević. « La facilité d'utilisation n'est pas forcément synonyme de sécurité moindre. Mais dans notre quête de facilité, nous ne devons pas négliger la sécurité. »
https://www.wired.com/story/google-fast-pair-bluetooth-audio-accessories-vulnerability-patches