Conclusiones clave
- Los investigadores demuestran que las señales de Bluetooth se pueden identificar de forma única gracias a las pequeñas imperfecciones de los chips.
- Sin embargo, el proceso es más adecuado para el seguimiento de grupos de personas que de individuos, sugieren los expertos.
- Sugieren que debería usarse como otro ejemplo para impulsar regulaciones estrictas para frenar el rastreo.
Los investigadores han descubierto otra falla de Bluetooth, que podría representar un riesgo para su privacidad si fuera fácil convertirla en un arma.
En la reciente conferencia IEEE Security and Privacy, investigadores de la Universidad de California, San Diego, presentaron sus hallazgos acerca de los chips Bluetooth que tienen imperfecciones de hardware únicas que pueden tomarse como huellas dactilares. En teoría, esto permite a los atacantes rastrear a los usuarios a través de los chips Bluetooth integrados en sus dispositivos inteligentes, aunque los propios investigadores admiten que el proceso requiere una cantidad considerable de trabajo y una buena dosis de suerte.
"El 'seguimiento' de los dispositivos de los usuarios que describen es otra escalada en la carrera armamentista en curso entre los intermediarios de datos y los fabricantes de dispositivos preocupados por la privacidad", dijo Evan Krueger, jefe de ingeniería de Token, a Lifewire por correo electrónico. "Es poco probable que esta técnica se use para un ataque dirigido, como el acecho o la violencia de la pareja íntima en la forma en que la gente ha visto que se usan las AirTags de Apple recientemente".
Análisis forense de Bluetooth
Los investigadores argumentan que últimamente, los dispositivos móviles, incluidos los teléfonos inteligentes y los relojes inteligentes, se han duplicado como balizas de seguimiento inalámbricas, transmitiendo constantemente señales para aplicaciones como el seguimiento de contactos o la búsqueda de dispositivos perdidos.
Según los investigadores, nuestros dispositivos inteligentes emiten constantemente cientos de balizas por minuto. En sus pruebas con varios dispositivos inteligentes, registraron el iPhone 10 y enviaron más de 800 señales por minuto, mientras que el Apple Watch 4 emitió casi 600 balizas cada 60 segundos.
"Estas aplicaciones [Bluetooth] usan anonimato criptográfico que limita la capacidad de un adversario de usar estas balizas para acechar a un usuario", señalaron los investigadores. "Sin embargo, los atacantes pueden eludir estas defensas tomando las huellas dactilares de las imperfecciones únicas de la capa física en las transmisiones de dispositivos específicos".
La investigación es digna de mención, ya que ha ayudado a demostrar que las señales de Bluetooth tienen una huella digital distinta y rastreable.
Sin embargo, el proceso exacto para identificar la señal única de un dispositivo requiere algo de tiempo y no siempre se garantiza que funcione, ya que no todos los chips Bluetooth tienen la misma capacidad y alcance.
Tira y afloja
"Según la investigación, no parece probable que esta técnica se use en el mundo real sin algunas iteraciones para simplificar su uso y hacerla más estable", Matt Psencik, director, especialista en seguridad de puntos finales, en Tanium, le dijo a Lifewire por correo electrónico, después de leer el periódico.
Psencik ilustró su argumento diciendo que acaba de usar una aplicación BluetoothLE Scanner que detectó 165 dispositivos Bluetooth cerca de él mientras estaba en el tercer piso de un edificio de apartamentos. "Con esto en mente, usar este método para rastrear a alguien a través de lugares concurridos sería una hazaña que se lograría mejor con el seguimiento visual clásico de la línea de visión", dijo Psencik.
Él señaló que si bien los investigadores identificaron una falla en Bluetooth, su mecanismo de seguimiento generaría una gran cantidad de datos con poca recompensa.
Krueger estuvo de acuerdo y dijo que, en lugar de un exploit para rastrear personas individuales, el trabajo de los investigadores probablemente será de interés para las empresas de corredores de datos que intentan vigilar a las personas en masa y vender esos datos, o acceder a ellos, para publicidad. fines.
"Si bien un minorista puede ver el seguimiento de los clientes a través de huellas dactilares Bluetooth mientras se mueven por su tienda como inofensivo para los clientes y beneficioso para el negocio, las consecuencias de la vigilancia sin restricciones son realmente preocupantes", consideró Krueger.
Al explicar la gravedad de la situación, Krueger dijo que las personas están bastante en desventaja para combatir directamente este tipo de seguimiento, dado el nivel de sofisticación empleado por estas técnicas de toma de huellas dactilares y la ubicuidad de la baliza Bluetooth en productos que se han vuelto esenciales para nuestros vidas diarias.
La única opción que tiene la gente es buscar productos y servicios con un historial demostrable de priorizar la privacidad del usuario, de empresas que han expresado su apoyo a la legislación para frenar el seguimiento generalizado de personas, como se describe en el documento.
"Esos pueden parecer pasos pequeños o incluso intrascendentes para un individuo", reconoció Krueger, "pero este es un problema de acción colectiva, y solo puede abordarse a través de una presión regulatoria y de mercado acumulativa y sostenida".
