HACKING BLUETOOTH SEGURIDAD EN TELÉFONOS MÓVILES. ALBERTO MORENO TABLADO

Transcripción

1 HACKING BLUETOOTH SEGURIDAD EN TELÉFONOS MÓVILES ALBERTO MORENO TABLADO

2 INTRODUCCIÓN AL ESTÁNDAR BLUETOOTH IDENTIFICACIÓN DE DISPOSITIVOS BLUETOOTH VULNERABILIDADES Y ATAQUES A TELÉFONOS MÓVILES MARKETING DE PROXIMIDAD BASADO EN BLUETOOTH

3 ESTÁNDAR BLUETOOTH DEFINICIÓN DE BLUETOOTH QUÉ ES BLUETOOTH?: Bluetooth es la especificación que define un estándar global de comunicaciones inalámbricas para redes de área personal que permite la transmisión de voz y datos entre diferentes equipos mediante un enlace por radiofrecuencia en entornos de comunicaciones móviles y estáticos. ETIMOLOGÍA: El nombre Bluetooth procede del rey danés del siglo X llamado Harald Blatand (traducido como Harold Bluetooth), conocido por unificar las tribus en guerra de Noruega, Suecia y Dinamarca e iniciar el proceso de cristianización de la sociedad vikinga. HISTORIA: : Primeros estudios de Ericsson para comunicaciones inalámbricas : Se funda el SIG Bluetooth : Especificación Bluetooth Posteriormente, sucesivas versiones: 1.1, 1.2 y 2.0.

4 ESTÁNDAR BLUETOOTH ESPECIFICACIÓN DE BLUETOOTH FRECUENCIA DE RADIO: Bluetooth trabaja a 2.4 GHz de la banda ISM disponible a nivel mundial y que no requiere licencia de operador, lo que significa una compatibilidad universal entre dispositivos Bluetooth. POTENCIA DE TRANSMISIÓN: se divide en 3 clases de productos: Clase 1: 100 mw, con un rango de ~100 m. También m. Clase 2: 2.5 mw, con un rango de ~10 m. Clase 3: 1 mw, con un rango de ~1 m. TOPOLOGÍA DE RED: Bluetooth es una tecnología de redes PAN (Personal Area Network) Comunicación stand-alone a nivel mundial entre dos dispositivos Hasta 8 dispositivos se pueden conectar formando una Piconet La unión de varias Piconets se denomina Scatternet DOS TIPOS DE ENLACES: Enlace asíncrono sin conexión (ACL) para transmisión de datos. Enlace síncrono orientado a conexión (SCO) para tráfico de audio + datos.

5 ESTÁNDAR BLUETOOTH DISPOSITIVOS BLUETOOTH BLUETOOTH presente en multitud de dispositivos de la vida cotidiana:

6 ESTÁNDAR BLUETOOTH PILA DE PROTOCOLOS BLUETOOTH 2 ZONAS: MÓDULO Bluetooth: Encargado del interfaz de radiofrecuencia HOST Bluetooth: Encargado de las capas superiores de enlace y aplicación Host Bluetooth (software) Módulo Bluetooth (hardware)

7 ESTÁNDAR BLUETOOTH BLUEZ: LA PILA DE PROTOCOLOS BLUETOOTH PARA LINUX Sobre la pila de protocolos específicos de Bluetooth cada fabricante puede implementar su capa de protocolos de aplicación propietarios. Windows Stacks: Widcomm, Toshiba, Microsoft Windows XP, IVT Bluesoleil Linux Stacks: BlueZ, OpenBT, Affix (Nokia) BlueZ, adecuada para auditoría de seguridad en dispositivos Bluetooth Proyecto Open Source Incluye un conjunto de herramientas para funciones Bluetooth Bluepin: Gestión de suminitro del PIN en emparejamientos Hciconfig: Configuración de dispositivos Bluetooth locales Hcidump: Sniffer local de tráfico HCI Hcitool: Gestión del descubrimiento y enlace con otros dispositivos L2ping: Envío de solicitudes echo request a nivel L2CAP Rfcomm: Gestión de conexiones RFCOMM Sdptool: Gestión de SDP y descubrimiento de servicios Bluetooth Proporciona librerías para el desarrollo de aplicaciones bluez-libs-devel

8 ESTÁNDAR BLUETOOTH MECANISMOS DE SEGURIDAD EN BLUETOOTH AUTENTICACIÓN: es el proceso por el cual un dispositivo Bluetooth verifica su identidad en otro dispositivo para poder acceder a los servicios que ofrece. EMPAREJAMIENTO DE DISPOSITIVOS: Intercambio de PIN Generación de la clave de enlace (linkkey) AUTORIZACIÓN: es el procedimiento que determina los derechos que tiene un dispositivo Bluetooth para acceder a los servicios que ofrece un sistema. Se gestiona mediante LISTA DE DISPOSITIVOS DE CONFIANZA DISPOSITIVOS DE CONFIANZA: acceso sin restricciones DISPOSITIVOS NO CONFIABLES: requieren autorización CIFRADO DE DATOS: garantiza la confidencialidad de la información transmitida sobre un enlace Bluetooth CLAVE DE CIFRADO

9 ESTÁNDAR BLUETOOTH COMANDOS AT Los COMANDOS AT GSM son un juego de instrucciones codificadas que permiten configurar el teléfono móvil. Basados en los comandos AT - Hayes para configuración de modems (1977) Permiten establecer una configuración en el terminal y enviarle instrucciones a ejecutar El soporte viene dado por el equipo, los comandos son ejecutados con independencia del canal de comunicaciones: Bluetooth, IrDA, Puerto Serie, En Bluetooth se accede a la capa de comandos AT a través de RFCOMM Algunos ejemplos: AT+CGMI: Identificación del fabricante AT+CGMM: Identificación del modelo AT+CPBR=1: Devuelve la primera entrada en la agenda de contactos AT+CPBS= MC ;+CPBR=1: Devuelve la última llamada perdida AT+CMGR=1: Devuelve el primer mensaje SMS en bandeja de entrada ATD ;: Realiza una llamada de voz a un número de teléfono AT+CCFC=0,3, ,145,7: Configura un desvío de llamadas Implementación de los comandos AT en los teléfonos se hace por bloques: Bloque básico: Información y configuración del terminal, llamadas. Bloque de gestión de la agenda de contactos: leer, añadir, eliminar, Bloque de gestión de mensajes SMS: leer, eliminar, enviar,

10 ESTÁNDAR BLUETOOTH COMANDOS AT Una sesión de comandos AT sigue el modelo petición / respuesta

12 IDENTIFICACIÓN DE DISPOSITIVOS QUÉ SE ENTIENDE POR IDENTIFICACIÓN? La IDENTIFICACIÓN DE DISPOSITIVOS comprende el conjunto de actividades que permiten obtener información relevante de un dispositivo Bluetooth remoto. INFORMACIÓN PÚBLICA: Estado de visibilidad del dispositivo: Visible / Oculto Nombre del dispositivo Fabricante del chip Bluetooth Naturaleza del equipo Servicios ofrecidos por el dispositivo / Perfiles Bluetooth disponibles INFORMACIÓN IMPLÍCITA: Marca y modelo del dispositivo

13 IDENTIFICACIÓN DE DISPOSITIVOS INFORMACIÓN PÚBLICA DEL DISPOSITIVO (1) DETECCIÓN DE DISPOSITIVOS: Proceso de descubrimiento de equipos situados dentro del radio de cobertura de nuestro módulo Bluetooth. DETECCIÓN DE DISPOSITIVOS EN MODO VISIBLE O DISCOVERABLE Responsabilidad de la capa HCI El equipo origen envía paquetes inquiry y se mantiene en espera Los equipos destino en modo visible cambian a estado inquiry_response y envían una respuesta con su dirección MAC y otros parámetros Los equipos destino en modo oculto nunca entran en modo inquiry_response DETECCIÓN DE DISPOSITIVOS EN MODO OCULTO O NON DISCOVERABLE Que no se vea no significa que no esté ahí Ciertos paquetes Bluetooth obligan al dispositivo que los recibe a devolver una respuesta independientemente de su estado de visibilidad (Ejemplo: La función de resolución de nombre: hci_read_remote_name) Técnica: Ataque por fuerza bruta a un rango de direcciones MAC - Redfang

14 IDENTIFICACIÓN DE DISPOSITIVOS INFORMACIÓN PÚBLICA DEL DISPOSITIVO (3) IDENTIFICACIÓN DEL TIPO DE DISPOSITIVO Naturaleza del equipo Cada dispositivo incorpora en la cabecera de nivel Banda Base de sus paquetes el campo Class of Device, que consta de dos subcampos: MAJOR DEVICE CLASSES: identifica el tipo genérico de dispositivo MINOR DEVICE CLASSES: identifica el tipo específico de dispositivo Spec:

15 IDENTIFICACIÓN DE DISPOSITIVOS INFORMACIÓN PÚBLICA DEL DISPOSITIVO (4) EJEMPLO DE IDENTIFICACIÓN DEL TIPO DE DISPOSITIVO MAJOR MINOR Nº bit: Valor: x representado en binario es

16 IDENTIFICACIÓN DE DISPOSITIVOS INFORMACIÓN PÚBLICA DEL DISPOSITIVO (5) DESCUBRIMIENTO DE SERVICIOS: Capacidad de buscar y encontrar servicios disponibles en dispositivos Bluetooth. A través de los servicios, dos dispositivos pueden ejecutar aplicaciones comunes e intercambiar datos. Responsabilidad del SDP (Service Discovery Protocol) SERVICE CLASS (Clase de servicio) Describe los servicios genéricos soportados por un dispositivo A través del campo Class of Service Spec:

17 IDENTIFICACIÓN DE DISPOSITIVOS INFORMACIÓN PÚBLICA DEL DISPOSITIVO (6) SERVICE RECORD (Registro de servicio) Describe los atributos de un determinado servicio: nombre, descripción, canal, 2 tipos de operaciones SDP relacionadas con el descubrimiento de servicios: Búsqueda de servicios: encontrar dispositivos que ofrecen un servicio Enumeración de servicios: conocer los servicios que ofrece un dispositivo

18 IDENTIFICACIÓN DE DISPOSITIVOS BLUEZSCANNER BLUEZSCANNER es un sencillo escáner de dispositivos Bluetooth basado en BlueZ Se distribuye libremente bajo licencia GNU. Implementa las siguientes funciones: Descubrimiento de dispositivos Bluetooth cercanos Resolución del nombre de dispositivo Fabricante del chip Bluetooth incorporado Identificación de la naturaleza del equipo Descubrimiento de servicios / perfiles bluetooth Más info: el Blog de Gospel

19 DEMO 1 BLUEZSCANNER

21 ATAQUES A TELÉFONOS MÓVILES POR QUÉ ES IMPORTANTE CUIDAR LA SEGURIDAD? EL TELÉFONO MÓVIL... INSTRUMENTO INDISPENSABLE DE COMUNICACIÓN CON OTRAS PERSONAS Necesidad de disponibilidad en todo momento Realizar / recibir llamadas Enviar / recibir SMS CONTIENE INFORMACIÓN CONFIDENCIAL Agenda de contactos (nº de teléfonos e incluso direcciones) Mensajes SMS/MMS con contenidos personales Calendario de citas Multimedia: fotografías, videos, grabaciones de voz,... Nuevos contenidos y mayor capacidad: s, contraseñas almacenadas,... RIESGOS Consumo del saldo: llamadas de voz, GPRS, envío de SMS,... Acceso a información confidencial: lectura, modificación, borrado. Inutilización temporal del terminal (Denial of Service)

22 ATAQUES A TELÉFONOS MÓVILES TIPOS DE ATAQUES BLUESNARFING: Snarf: Acceso, robo, copia de ficheros de datos del teléfono móvil Agenda de contactos, calendario de citas, imágenes,... EJECUCIÓN DE COMANDOS AT Precedente: Ataque Bluebug Comandos AT, juego de instrucciones que permiten configurar el teléfono Permiten realizar llamadas, acceso a agenda de contactos y mensajes SMS, Control total del terminal, equivale a obtener una shell de comandos en un PC ATAQUES DoS Denial of Service (Denegación de Servicio) Generalmente se deben a desbordamientos de búfer: Ping of the Death,... Inutilización temporal del teléfono: bloqueo, reinicio del terminal o cuelgue de servicios SPAM / BLUEJACKING Envío de archivos sin consentimiento: vcard, publicidad comercial,... Requiere autorización para recibir el archivo, se puede evitar Más que un ataque es una molestia, si se padece en exceso

23 ATAQUES A TELÉFONOS MÓVILES TIPOS DE ATAQUES 1) ATAQUES A LOS PRIMEROS TELÉFONOS MÓVILES BLUETOOTH Vulnerabilidades basadas en implementación incorrecta de los fabricantes Ataque BLUESNARF Ataque BLUEBUG Ataque HELOMOTO 2) ATAQUES A TELÉFONOS MÓVILES BLUETOOTH ACTUALES No hay vulnerabilidades importantes, los fabricantes se preocupan Tendencia actual: Saltarse las mecanismos de seguridad de Bluetooth Ataque BLUELINE Ataque BLUE MAC SPOOFING

24 ATAQUES A TELÉFONOS MÓVILES ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: BLUESNARF El ataque BLUESNARF se basa en la extracción de archivos de un teléfono móvil Bluetooth a través del Perfil de Carga de Objetos (OBEX Object Push) sin autorización del usuario propietario. El Perfil de Carga de Objetos (OPUSH, Object Push Profile) permite la carga y descarga de objetos de datos entre dispositivos Bluetooth. La vulnerabilidad se basa en una implementación incorrecta del Perfil de Carga de Objetos, que carece de mecanismos de autenticación y autorización, y que permite a un atacante descargarse archivos de nombre conocido, como la agenda de contactos almacenada en el terminal o el calendario de citas.

25 ATAQUES A TELÉFONOS MÓVILES ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: BLUEBUG BLUEBUG es una vulnerabilidad que permite a un atacante establecer una conexión RFCOMM a un canal oculto sin necesidad de autenticación y ejecutar comandos AT en el teléfono comprometido. Explotando esta vulnerabilidad, un atacante podría realizar las siguientes funciones: Información básica: Marca, modelo, IMEI, Llamadas de voz, desvío de llamadas, Agenda de contactos: Leer, escribir, borrar, Agenda de llamadas: Últimas llamadas perdidas, recibidas o realizadas. SMS: Leer bandeja de entrada, escribir y enviar, borrar,

26 DEMO 2 ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: BLUEBUG

27 ATAQUES A TELÉFONOS MÓVILES ATAQUES A TELÉFONOS MÓVILES ANTIGUOS: HELOMOTO HELOMOTO es un ataque que sólo afecta a teléfonos móviles Motorola La vulnerabilidad se basa en una implementación incorrecta de la gestión de la lista de dispositivos de confianza. El ataque se desarrolla del siguiente modo: El atacante inicia una conexión al Perfil de Carga de Objetos (OBEX Object Push) con la intención de enviar una tarjeta de visita o vcard. De forma automática el dispositivo atacante es añadido a la lista de dispositivos de confianza del terminal, aunque la conexión no finalice con éxito. Con su equipo incluido en la lista de dispositivos de confianza, el atacante puede conectarse a perfiles que requieran autorización, como el Perfil de Pasarela de Voz (Voice Gateway Profile). Una vez establecida la conexión con el Perfil de Pasarela de Audio, el atacante puede acceder a la ejecución de comandos AT en el teléfono móvil.

28 ATAQUES A TELÉFONOS MÓVILES ATAQUES A TELÉFONOS MÓVILES ACTUALES En los teléfonos móviles actuales la seguridad se visto mejorada notablemente: Casi la totalidad de los servicios requiere autenticación. Las excepciones son algunos servicios en los que se omite este nivel de seguridad por comodidad del modelo de uso, como el Perfil de Carga de Objetos (OBEX Object Push) o el Perfil de Pasarela de Voz (Voice Gateway Profile). Todos los servicios requieren autorización. Si un dispositivo no confiable intenta conectarse a cualquier servicio, el usuario recibirá una notificación en pantalla para que autorice dicha conexión explícitamente. Algunos modelos, como los nuevos teléfonos móviles Motorola, deniegan automáticamente cualquier intento de conexión proveniente de cualquier equipo no incluido en el histórico de dispositivos conectados anteriormente. TENDENCIA ACTUAL: Intentar saltarse los mecanismos de seguridad de Bluetooth Engañando al usuario para que autorice la conexión: Ataque BLUELINE Suplantando a otros equipos de confianza: Ataque BLUE MAC SPOOFING

29 ATAQUES A TELÉFONOS MÓVILES ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUELINE BLUELINE es un ataque que afecta a teléfonos móviles Motorola como RAZR o PEBL El objetivo del ataque BLUELINE es saltarse la autorización de acceso al Perfil de Pasarela de Voz (Voice Gateway Profile) y poder ejecutar comandos AT en el teléfono móvil. En los teléfonos móviles actuales, el mecanismo de autorización exige que todo dispositivo no confiable sea autorizado explícitamente por el usuario para permitir el acceso a los servicios que requieran este nivel de seguridad.

30 ATAQUES A TELÉFONOS MÓVILES ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUELINE El ataque BLUELINE permite provocar una falsificación o spoofing del interfaz sustituyendo el mensaje original por un texto malicioso capaz de engañar al usuario. La falsificación se consigue explotando un tratamiento incorrecto del juego de caracteres en el sistema operativo al incluir el carácter de escape 0x0d en el nombre del dispositivo atacante. hciconfig hci0 name `perl -e 'print "Pulse\x0daceptar\x0dpara\x0ddeshabilitar\x0dsilencio\x0d\x0d"'` Si el usuario cae en el engaño, aceptará la conexión al Perfil de Pasarela de Voz y el atacante dispondrá de autorización para ejecutar comandos AT en el terminal.

31 DEMO 3 ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUELINE

32 ATAQUES A TELÉFONOS MÓVILES ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUE MAC SPOOFING El ataque BLUE MAC SPOOFING permite a un atacante suplantar la identidad de un dispositivo de confianza para atacar un teléfono móvil y utilizar sus credenciales para acceder a servicios que requieren autenticación y/o autorización. El ataque BLUE MAC SPOOFING se puede desarrollar en dos niveles: Suplantación de la dirección MAC de un dispositivo de confianza para acceder a servicios que requieren autorización. Suplantación de la dirección MAC de un dispositivo de confianza y obtención de la clave de enlace (linkkey), generada durante el emparejamiento del dispositivo suplantado con el teléfono móvil, para acceder a servicios que requieren autenticación. El principal inconveniente es que los adaptadores Bluetooth convencionales no permiten modificar la dirección MAC del módulo.

33 DEMO 4 ATAQUES A TELÉFONOS MÓVILES ACTUALES: BLUELINE

35 MARKETING DE PROXIMIDAD ESO QUÉ ES LO QUE ES? Se denomina MARKETING DE PROXIMIDAD BASADO EN BLUETOOTH al envío de contenidos de información y publicidad a teléfonos móviles Bluetooth. Marca corporativas: Estrategia de promoción y publicidad Instituciones: Envío de información en puntos de interés general Se sitúan HotSpots en puntos estratégicos de elevado tránsito de personas Alcance de ~100m Se envían archivos a través del Perfil de Carga de Objetos (OBEX Object Push) No necesita autenticación, los usuarios sólo deben autorizar el envío Los objetos de información son de diversa naturaleza: Archivos de texto Imágenes Archivos de audio y tonos Videos Paquetes instalables (.sis,.jar, ) Algunos HotSpots inteligentes son capaces de identificar la marca y el modelo del teléfono objetivo y adaptar el contenido del objeto a los formatos soportados

36 IDENTIFICACIÓN DE DISPOSITIVOS BLUEZSPAMMER BLUEZSPAMMER es un sencillo HotSpot basado en BlueZ capaz de enviar archivos a teléfonos móviles Bluetooth con soporte para el Perfil de Carga de Objetos (OBEX Object Push) Se distribuye libremente bajo licencia GNU. Implementa las siguientes funciones: Descubrimiento de dispositivos Bluetooth cercanos Filtro de teléfonos móviles y smart phones Modo Demo, solo descubre dispositivos susceptibles de recibir spam Filtro de códigos MAC de fabricantes de chips Bluetooth Envío de archivos a través del Perfil de Carga de Objetos con ObexPush Más info: el Blog de Gospel

37 DEMO 5 BLUEZSPAMMER

38 MARKETING DE PROXIMIDAD PROYECTO TROYANO BLUETOOTH El proyecto persigue el desarrollo de una aplicación troyano para sistemas Symbian Serie s60. Se trata de un proyecto de desarrollo conjunto de El objetivo es concienciar a la gente de que el Marketing de Proximidad puede ser utilizado como una estrategia de envío masivo de aplicaciones maliciosas y virus. Promovemos mantener una actitud prudente a la hora de aceptar envíos a nuestro teléfono móvil provenientes de fuentes desconocidas, aunque en apariencia parezcan de confianza. El proyecto será una Prueba de Concepto, con el fin de demostrar que se podría desarrollar una aplicación con interfaz amigable pero que por debajo ejecute acciones maliciosas que perjudiquen al usuario. La plataforma de desarrollo será Symbian C++ para teléfonos móviles Serie s60, muy extendidos.

39 MARKETING DE PROXIMIDAD PROYECTO TROYANO BLUETOOTH El interfaz de la aplicación troyano mostrará contenidos de ocio y publicidad de una importante marca corporativa. La acción maliciosa consistirá en: Añadir a la lista de dispositivos emparejados en el teléfono móvil objetivo una dirección MAC predefinida Especificar una clave de enlace predefinida Marcar esa dirección MAC como dispositivo de confianza Si la acción se lleva a cabo con éxito, el atacante podrá utilizar la dirección MAC y clave de enlace predeterminadas para acceder a servicios del teléfono móvil comprometido sin necesidad de autenticación o autorización. Advertencias: El desarrollo de la aplicación troyano se realizará con fines didácticos y éticos. No se publicará el código fuente de la aplicación, pero sí que se liberará una versión de Prueba de Concepto capada.

40 CONCLUSIONES Bluetooth es un estándar de comunicaciones robusto y seguro. Las fallas de seguridad se encuentran en la implementación de los fabricantes en los productos que comercializan. Con el tiempo, la seguridad mejora y resulta más difícil encontrar vulnerabilidades. En caso de encontrar vulnerabilidades, el impacto es muy grande ya que es complicado proteger los dispositivos Bluetooth mediante parches de actualización. RECOMENDACIONES DE SEGURIDAD: Desactivar Bluetooth mientras no se utilice Configurar el dispositivo en modo oculto, para que no pueda ser descubierto por atacantes No aceptar conexiones de dispositivos no conocidos

41 LINKS el Blog de Gospel Bluehack: the Spanish Bluetooth Security Group Foro de Bluetooth en elhacker.net Trifinite Group Digital Munition BlueZ: la pila de protocolos Bluetooth oficial para Linux

42 DUDAS?