עד היום תקשורת הבלוטות' הייתה נחשבת לתקשורת מאובטחת מפני פריצות, עד שהגיעו חוקרים בפקולטה למדעי המחשב בטכניון שהצליחו לפרוץ את הטכנולוגיה, במסגרת עבודת המאסטר של הסטודנט ליאור נוימן בהנחיית פרופ' אלי ביהם, ראש מרכז המחקר לאבטחת סייבר בטכניון. טכנולוגיית הבלוטות' שפותחה בשנות התשעים, הפכה לפלטפורמה פופולרית להעברת קבצים וחיבור להתקנים, הודות לפשטות התפעול של הטכנולוגיה. כעת הצליחו נוימן ופרופ' ביהם, לאחר שנה של עבודה תאורטית וניסויית, לפתח התקפה החושפת פגיעות בתקשורת הבלוטות' על כל גרסאותיה העדכניות. לדברי פרופ' ביהם, מהחוקרים הבולטים בתחום הקריפטוגרפיה כיום, "הטכנולוגיה שפיתחנו מגלה את מפתח ההצפנה המשותף לשני המכשירים ומאפשרת לנו, או למכשיר שלישי, להצטרף לשיחה. כך אנחנו יכולים לצותת לשיחה או לחבל בה. כל עוד לא נשתתף בה באופן פעיל, המשתמש לא יוכל לדעת שיש כאן גורם שלישי שמאזין." שוחחנו עם פרופסור ביהם שיענה על השאלות החשובות באמת.
מי נמצא בסכנה?
מהרגע שהתקן הזה התברר שהוא לא בטוח כל מי שמשתמש בבלוטות באופן מאובטח ומסתמך על האבטחה הזאת, הוא חשוף לפרצה. כפי שאמרתי, כשאתה מתחבר לאוטו, הוא מבקש ממך להקליד כמה ספרות על המסך כדי לוודא שהצד השני הוא הנכון, אתה סומך על זה שזה הצד הנכון ופתאום מישהו מחובר אליך מבלי שאתה יודע, שהוא מאזין לשיחות שלך, הוא יכול לקבל עותק של אנשי הקשר שלך בטלפון ויכול לקבל עותק של ההודעות שלך הוא יכול להתחבר לאינטרנט דרך הטלפון שלך. הוא נתקע לך באופן שכל דבר שניתן לעשות בבלוטות, גם לו מותר.
כתוצאה מכך המון דברים שאתה חושב שהם מאובטחים אצלך, הם פשוט לא. מכשירים מסוגים אחרים, תחשוב על זה, שעונים חכמים מתחברים לטלפון ומשתפים עמו פעולה במגוון רחב של נושאים כמו מדידת קצב לב ועניינים רפואיים אחרים. לעיתים הם שומרים מידע לאורך זמן, כלומר כל ההיסטוריה שלך מאז שקנית את המכשיר. כנראה מי שתחבר אליך יכול לקבל את הנתונים הרפואיים שלך ששמורים שם, מה שהמכשיר מדד. וכמעט כל דבר שבלוטות יכול להעביר, ומדובר בהמון סוגים של אינפורמציה, המתחבר בתקיפה יכול לקבל עותק של המידע הזה וגם לתחמן ולהכניס נתוני קצב לב שגויים רק בשביל לשלוח אותך לבית חולים ולהכניס אותך לפאניקה.
האם עכשיו התקן מאובטח?
בימים האחרונים גופי התקינה של הבלוטות הוסיפו דרישה להוסיף את התיקון שאנחנו ביקשנו לתוך הדרישות של התקן כך שהתקן לא ייחשב עומד בתקן אם הבעיה שתיארנו תקרה. כלומר אני מניח שמהיום כל המכשירים שיצאו עם התקן לא יהיו בעיתיים יותר. ולכן הם יהיו מאובטחים, שכן יצרניות החלו לעדכן גם את הרכיבים החומרתיים שלהם. ולכן כל מכשיר חדש שתקנה יהיה בסדר וחלק מהדברים אחורה גם יהיו בסדר. התיקון לא מסובך ומוגדר מאוד היטב ובמובן הזה מה שמצאנו יהיה ניתן לתיקון די בקלות תוך פיתוח נכון של המערכות ובשימוש נכון בתקן המתוקן.
אילו יצרניות החלו לעבוד על העדכון?
הודענו ליצרניות כבר בדצמבר והרוב דיברו עמנו והכינו תיקונים לפרצה. גוגל הוציאה עדכון לאנדרואיד הוציאו לפני כחודש וחצי. אפל הוציאה עדכון לאייפון שלשום, גם למחשבי המק. וכן חברות חומרה כמו קוואלקום וברודקום עבדו על עדכון בשביל לתקן את החומרה שלהם, במובן הזה חברות השקיעו כדי שמוצרים חדשים יהיו מוגנים. כרגע, לדעתי, רוב החברות השקיעו בלתקן את הפרוטוקולים שעובדים עם השעונים החכמים תחילה, וטרם עברו לעבוד על אלו שבשיחות טלפון למשל. ולתקן את הפרוטוקול הזה של שיחות טלפון צריך לשנות את הגרסה של הצ'יפ המובנה בחומרה, וזה יותר קשה לעשות.
למזלנו צריך ששני המכשירים יהיו בעייתיים כדי שמה שעשינו יעבוד. מספיק שצד אחד יהיה תקין. כך שגם אלו המשתמשים בדיבוריות ישנות שכבר לא מקבלות עדכונים, יוכלו להיות רגועים שהמכשיר שלהם מאובטח במידה והוא מעודכן לגרסה האחרונה ביותר הכוללת את התיקון.