EURECOM हायर स्कूल ऑफ इंजीनियरिंग के शोधकर्ताओं ने ब्लूटूथ कनेक्शन पर हमलों के छह तरीके विकसित किए हैं जो अतीत और भविष्य के कनेक्शन से समझौता करते हुए डेटा को अवरोधन और डिक्रिप्ट करने की अनुमति देते हैं। हमलों को सामूहिक रूप से BLUFFS कहा गया।
ब्लूटूथ मानक में दो पूर्व अज्ञात कमजोरियों की खोज से BLUFFS हमले संभव हो गए, जो सत्र कुंजी के अधिग्रहण से संबंधित थे, जिनका उपयोग एक्सचेंज के दौरान डेटा को डिक्रिप्ट करने के लिए किया जाता है। ये कमजोरियाँ हार्डवेयर या सॉफ़्टवेयर के कॉन्फ़िगरेशन से संबंधित नहीं हैं, लेकिन मूलभूत स्तर पर ब्लूटूथ मानक की वास्तुकला तक पहुँचती हैं - उन्हें नंबर दिया गया है CVE-2023-24023, और वे ब्लूटूथ विनिर्देश संस्करण 4.2 (दिसंबर 2014 को जारी) से 5.4 (फरवरी 2023) तक प्रभावित करते हैं, हालांकि शोषण की थोड़ी अलग संस्करण रेंज पर काम करने की पुष्टि की गई है। प्रोटोकॉल के व्यापक प्रसार और इसके संस्करणों के आधार पर हमलों की विस्तृत श्रृंखला के कारण, BLUFFS स्मार्टफोन और लैपटॉप सहित अरबों उपकरणों पर काम कर सकता है।
कारनामों की BLUFFS श्रृंखला का उद्देश्य अतीत और भविष्य के डिवाइस कनेक्शन की गोपनीयता से समझौता करते हुए, ब्लूटूथ संचार सत्रों की सुरक्षा का उल्लंघन करना है। सत्र कुंजी प्राप्त करने की प्रक्रिया में चार कमजोरियों का फायदा उठाकर परिणाम प्राप्त किया जाता है - इसे कमजोर और पूर्वानुमानित होने के लिए मजबूर किया जाता है। यह हमलावर को "क्रूर बल" विधि द्वारा उसे चुनने, पिछले संचार सत्रों को समझने और भविष्य में हेरफेर करने की अनुमति देता है। हमले का परिदृश्य मानता है कि एक हमलावर दोनों उपकरणों की ब्लूटूथ रेंज में है और एक निरंतर विविधता के साथ न्यूनतम संभव कुंजी एन्ट्रापी मान की पेशकश करके सत्र कुंजी बातचीत के दौरान पार्टियों में से एक का प्रतिरूपण करता है।
BLUFFS श्रृंखला के हमलों में प्रतिरूपण परिदृश्य और मिटएम (मैन-इन-द-मिडिल) हमले शामिल हैं - वे इस बात की परवाह किए बिना ट्रिगर होते हैं कि पीड़ित एक सुरक्षित कनेक्शन बनाए रखते हैं या नहीं। EURECOM शोधकर्ताओं ने GitHub पर कारनामों की कार्यक्षमता को प्रदर्शित करने वाले उपकरणों का एक सेट प्रकाशित किया है। संलग्न लेख (पीडीएफ) संस्करण 4.1 से 5.2 तक स्मार्टफोन, लैपटॉप और ब्लूटूथ हेडसेट सहित विभिन्न उपकरणों पर BLUFFS परीक्षणों के परिणाम प्रस्तुत करता है, जिनमें से सभी छह में से कम से कम तीन कारनामों के लिए अतिसंवेदनशील हैं। शोधकर्ताओं ने वायरलेस प्रोटोकॉल सुरक्षा विधियों का प्रस्ताव दिया है जिन्हें पहले से जारी कमजोर उपकरणों के लिए बैकवर्ड संगतता के सिद्धांत को बनाए रखते हुए लागू किया जा सकता है। ब्लूटूथ एसआईजी, संचार मानक के लिए जिम्मेदार संगठन, ने काम का अध्ययन किया और एक बयान प्रकाशित किया जिसमें उसने इसके कार्यान्वयन के लिए जिम्मेदार निर्माताओं से एन्क्रिप्शन की बढ़ी हुई विश्वसनीयता की सेटिंग्स का उपयोग करके सुरक्षा बढ़ाने और "केवल सुरक्षित कनेक्शन" मोड का उपयोग करने का आह्वान किया। युग्मन के दौरान.
यह भी पढ़ें: