Bluetooth es uno de los estándares de comunicación inalámbrica más populares del mercado, pero nunca se lo reconoció como un recurso robusto en materia de seguridad. La última fisura de su armadura se manifiesta a través de BlueBorne, un nuevo vector de ataque descubierto por la compañía de seguridad Armis, el cual no requiere links, enlaces extraños, ni conexiones manuales. Todo lo que necesita para funcionar es que el usuario deje encendido a Bluetooth en un dispositivo vulnerable.
Las noticias sobre seguridad informática casi nunca son buenas cuando involucran a un estándar o un protocolo establecido. En el pasado hemos visto varios ejemplos de lo que puede suceder si una tecnología popular es vulnerada, pero en esta oportunidad el riesgo adquiere una dimensión completamente diferente. El soporte Bluetooth se encuentra integrado a miles de millones de dispositivos que van más allá de smartphones y/o tablets. Ordenadores de escritorio, sistemas inteligentes en coches, televisores e incluso frigoríficos poseen conectividad Bluetooth. Por ese motivo, el descubrimiento de un nuevo vector de ataque no nos entusiasma mucho que digamos.
La gente de Armis identificó a BlueBorne, un vector con el potencial de alcanzar a casi 5.300 millones de dispositivos Bluetooth (sobre un total de 8.200 millones) bajo diferentes versiones de Windows, Linux, iOS y Android. El detalle más relevante de BlueBorne es que no requiere descargas, clics en enlaces URL o la conexión a puntos de acceso sospechosos, sino que el usuario olvide a Bluetooth encendido. El proceso de explotación demanda menos de diez segundos en promedio, y funciona aún cuando el dispositivo bajo ataque está conectado a otro. Armis también detectó ocho nuevas vulnerabilidades 0-day, de las cuales cuatro fueron clasificadas como críticas. Un atacante con la habilidad suficiente podría usar a BlueBorne para introducir malware en un dispositivo y habilitar su rápida propagación a otras unidades cercanas, bajo un alcance máximo de diez metros.
Un detalle positivo que podemos sacar de todo esto es la respuesta de las principales compañías. Armis entró en contacto con Microsoft en abril, y el update correspondiente para Windows fue publicado en julio (un vocero de Microsoft indicó que BlueBorne no afecta a Windows Phone/Mobile). En el caso de Apple, todos los dispositivos iOS con versiones 9.3.5 o previas son vulnerables a BlueBorne, al igual que AppleTV 7.2.2 o inferior. La situación es mucho más compleja para los usuarios de Android y Linux en general. Google ya publicó sus parches, pero el resto queda en manos de los OEM, que siempre se demoran. Armis ha mantenido canales abiertos de comunicación con el equipo de seguridad del kernel Linux, y los hotfixes necesarios están en camino. En resumen, debemos actualizar nuestros sistemas, o como alternativa ante la falta de parches, minimizar el uso de Bluetooth.
