Bluetooth® Principale vulnérabilité dans la négociation
Type de contenu: Information et documentation de produit | ID de l'article: 000055198 | Dernière révision: 24/04/2025
Les chercheurs en sécurité ont identifié une vulnérabilité dans Bluetooth® négociation clé pour le centre de coordination CERT et Bluetooth®'industrie des fournisseurs.
Les recherches récemment menées par des informaticiens de l’Université d’Oxford sur une vulnérabilité à l’échelle du secteur seront rendues publiques lors du USENIX Security Symposium, qui se tiendra du 14 au 16 août 2019. Appelée « Vulnérabilité de négociation de clé de Bluetooth® » ou « KNOB », cette étude détaille une vulnérabilité à l’échelle du secteur qui affecte la négociation de clé de chiffrement d’Bluetooth® débit de base/débit de données amélioré (BR/EDR). Cette vulnérabilité n’affecte pas Bluetooth® faible énergie (BLE). Les produits Intel qui prennent en charge Bluetooth BR/EDR sont parmi ceux qui sont touchés par cette vulnérabilité à l’échelle de l’industrie. Nous nous attendons à ce que des mesures d’atténuation visant à remédier à cette vulnérabilité aient déjà été mises à disposition (par les fournisseurs de systèmes d’exploitation).
En tant que membre du groupe d’intérêt spécial Bluetooth, nous travaillons en étroite collaboration avec le SIG et d’autres membres clés du SIG pour développer des mesures d’atténuation. Protéger nos clients et contribuer à assurer la sécurité de nos produits est une priorité essentielle pour Intel.
Produits touchés :
Intel recommande aux utilisateurs finaux et aux administrateurs système d’appliquer les mises à jour dès qu’elles sont disponibles et de suivre les bonnes pratiques de sécurité en général.
Q&R
1er trimestre. Quelle est cette vulnérabilité ?
Une nouvelle vulnérabilité a été découverte au cours de la procédure de négociation de clé Bluetooth® BR/EDR (Basic Rate/Enhanced Data Rate). Un attaquant se trouvant à proximité physique (généralement à moins de 30 mètres) ou dans une ligne de visée directe peut obtenir un accès non autorisé via un réseau adjacent et intercepter le trafic pour envoyer de faux messages de négociation entre deux périphériques Bluetooth vulnérables.
2e trimestre. Quelles sont les conséquences si un appareil compatible Bluetooth est compromis en raison de cette vulnérabilité ?
Cela peut entraîner une divulgation d’informations, une élévation de privilèges et/ou un déni de service. Par exemple, les données peuvent être capturées ou modifiées sur les casques ou les claviers Bluetooth.
T3. La vulnérabilité peut-elle être exploitée si un seul des deux appareils connectés est vulnérable ?
Non. Les deux appareils doivent être vulnérables. Si l’un des périphériques (ou les deux) n’est pas vulnérable, l’attaque pendant la négociation de clé échouera.
T4. Que fait Intel pour corriger cette vulnérabilité Bluetooth® ?
Il s’agit d’un problème de spécifications industrielles. Intel s’associe à d’autres membres du groupe d’intérêt spécial Bluetooth (SIG) pour renforcer la spécification Bluetooth Core.
Q5. Quelles sont les mesures d’atténuation attendues pour cette vulnérabilité ?
Le SIG Bluetooth travaille à la mise à jour de la spécification BT pour résoudre ce problème et les fournisseurs de systèmes d’exploitation et d’appareils compatibles Bluetooth travaillent déjà sur les atténuations.
Q6. Quand ces mesures d’atténuation seront-elles prêtes ?
Intel ne commente pas au nom de tiers, veuillez contacter le fournisseur de votre système d’exploitation ou de votre appareil. Intel a déjà rendu publique l’atténuation de la pile BlueZ. BlueZ est la pile de protocoles Bluetooth Linux officielle et prend en charge les couches et protocoles Bluetooth de base. La prise en charge de BlueZ peut être trouvée dans de nombreuses distributions Linux et il est généralement compatible avec n’importe quel système Linux sur le marché. L’adoption de l’atténuation BlueZ dans les distributions Linux individuelles peut varier.
De plus amples informations sont disponibles à l’adresse suivante :
Intel® Bluetooth® Security – Recommandation relative à la taille de clé de chiffrement
Informations sur la zone des développeurs Intel®
Si vous avez besoin d’une aide supplémentaire, contactez-Intel Customer Support en cliquant sur le lien ci-dessous.