Agence nationale
de la sécurité des
systèmes d'information
No CERTA-2007-INF-003
| S . G . D . S . N Agence nationale de la sécurité des systèmes d'information |
|
Paris, le 01 août
2007 No CERTA-2007-INF-003 |
Affaire suivie par :
CERTA
Objet : Sécurité des
réseaux sans fil Bluetooth
| Conditions d'utilisation de ce document : | http://www.certa.ssi.gouv.fr/certa/apropos.html |
| Dernière version de ce document : | http://www.certa.ssi.gouv.fr/site/CERTA-2007-INF-003 |
Une gestion de version détaillée se trouve à la fin de ce document.
La technologie Bluetooth est un système de
communication radio à courte portée
destinée au réseau personnel (WPAN --
Wireless Personal Area Network).
Créée dans le but de remplacer les connexions
filaires entre toutes sortes d'équipements, cette
technologie est peu coûteuse (
euros) et peu consommatrice
d'énergie. Ces deux atouts lui ont permis d'être
rapidement et largement mise en œuvre dans de nombreux
équipements (500 millions d'appareils
équipés de la technologie Bluetooth en
2005)1
À ce jour, les dispositifs utilisant la technologie Bluetooth peuvent être des téléphones portables, ordinateurs portables, imprimantes, périphériques de saisies mais également des équipements tels que les récepteurs GPS (Global Positioning System), les appareils photos, les assistants personnels numériques (PDA -- Personal Digital Assistant), certains équipements médicaux et systèmes embarqués (système audio, kit main-libre, etc.) dans les véhicules automobiles. La liste et le nombre de ces appareils continue de s'accroitre.
La technologie Bluetooth est normalisée par le Bluetooth Special Interest Group (SIG). Il s'agit d'une association créée en 1998, elle compte aujourd'hui plus de 8000 membres et a pour mission de promouvoir le développement de cette technologie sans pour autant être partie prenante dans sa conception.
La techonologie sans fil Bluetooth fonctionne sur la bande de fréquence des 2,4GHz identique à celle utilisée par certaines normes IEEE 802.11. La fonction «saut de fréquence» définie dans la spécification Bluetooth permet de limiter les interférences et d'améliorer la qualité de service.
Les appareils équipés de la technologie Bluetooth communiquent entre eux en formant des réseaux ad-hoc (maître-esclave) de faible portée nommés picoréseaux. Un périphérique esclave peut avoir plusieurs maîtres, mais ne sera pas en mesure de communiquer directement avec un autre esclave.
Ces picoréseaux permettent à 8 périphériques (1 maître et 7 esclaves) de communiquer de façon simultanée. La limitation des picoréseaux à 8 périphériques actifs est due à l'utilisation de trois 3 bits2. Cependant ces picoréseaux peuvent contenir jusqu'à 255 équipements Bluetooth en mode parked.
Un équipement Bluetooth appartenant à un picoréseau qui ne necessite plus de communiquer peut rester synchronisé à celui-ci pour, à terme, communiquer à nouveau. Un équipement Bluetooth en mode parked est identifiable par son adresse Parked Member3. Si cette adresse est nulle, l'équipement en mode parked reste identifiable via son adresse MAC4.
Toutefois, un périphérique peut appartenir à plusieurs picoréseaux ce qui constitue alors un scatternet (réseau chaîné). Les scatternet et picoréseaux se font et se défont de façon dynamique au fil des connexions et des déconnexions des périphériques Bluetooth.
![\includegraphics[scale=0.25]{piconet}](img2.png)
Les équipements Bluetooth connectés à un picoréseau peuvent se transmettre simultanément des informations de type voix et données (comme défini dans la spécification du protocol Bluetooth). (cf. Section 6)
En novembre 2003, la version 1.2 de la spécification Bluetooth a été adoptée. Cette version permet des taux de transfert de l'ordre de 1Mbits/s, en pratique cela se traduit par un débit de 720kbits/s. Un an plus tard, c'est la version 2.0 qui est adoptée à son tour. Cette nouvelle version permet des transferts plus rapides, le taux de transfert peut aller jusqu'à 3Mbits/s théorique.
La technologie sans fil Bluetooth est destinée à des réseaux personnels de courte portée. La distance maximun spécifiée entre les équipements peut varier de quelques mètres à une centaine de mètres pour les appareils les plus puissants. La distance est directement liée à la puissance d'émission et à la sensibilité de réception des dispositifs Bluetooth (cf. Section 4.2).
La technologie Bluetooth, à l'inverse de la technologie infrarouge, ne requiert pas des appareils communicants qu'ils soient sur ligne directe et dégagée, en effet, cette technologie est omnidirectionnelle et les ondes radio sont capables de traverser des objets massifs tels que des murs.
Les appareils Bluetooth sont divisés en trois catégories définies par leur puissance d'émission et donc par leur portée. Les équipements dont la puissance est la plus faible sont appelés Classe 3 tandis que ceux dont la puissance est la plus importante sont appelés Classe 1.
|
Ces données sont théoriques et le matériel peut être modifié de manière à étendre la portée en réception (cf. Section 4.2).
Dans la spécification Bluetooth, au moment de la rédaction de ce document, il existe 33 profils Bluetooth qui offrent des fonctionnatilités variées. Parmis ces profils Bluetooth, on retrouve des services permettant :
Cette liste de profils Bluetooth on peut expliquer l'engouement des industriels pour cette technologie aux multiples possiblités. Pour les utilisateurs, cette technologie permet d'échanger, de partager, d'accéder à un grand nombre d'informations et de données à tout moment avec une facilité poussée. Cependant, ces informations qui transitent dans l'atmosphère doivent être protégées afin d'assurer un niveau minimum de sécurité (confidentialité et intégrité).
Le fait d'intégrer la technologie Bluetooth et toutes les fonctionnalités associées dans de plus en plus d'équipements a contribué à transformer ces mêmes équipements en systèmes d'information communicants. Avec leur capacité de stockage, leurs services et leurs connectivités, il est primordial de prendre en considération la sécurité des équipements Bluetooth.
La spécification Bluetooth propose 3 modes de sécurité. Il est à noter que ces modes de sécurité sont déployés ou non dans les équipements Bluetooth selon la décision prise par les fabricants. Les modes de sécurité sont les suivants :
Le mode de sécurité 3 intervient sur la couche de liaison du modèle OSI, il permet d'établir une connexion avec authentification et chiffrement au moyen d'une clé.
Le mode de sécurité 2 permet de sécuriser de façon logicielle5 le dispositif Bluetooth en paramétrant les profils Bluetooth.
Le mode de sécurité 1 permet à un appareil Bluetooth d'offrir ses services à tous dispositifs Bluetooth à portée.
Deux dispositifs Bluetooth destinés à communiquer ensemble fréquement devront être couplé6 au moyen d'une clé symétrique. Cette étape permet aux deux appareils de partager une clé secrète utilisée pour chiffrer et déchiffrer les données. Cette clé secrète est conçue au moyen d'un algorithme mettant en œuvre l'adresse physique des dispositifs jumelés, de nombres aléatoires mais surtout d'un sésame fournit par l'utilisateur (code PIN7, mot de passe, etc...).
Le sésame symétrique requis lors de l'opération de jumelage est directement subordonné au périphérique utilisé :
Un dispositif Bluetooth peut activer ou non le mode découverte. Ce mode de fonctionnement permet à un appareil Bluetooth de manifester sa présence en répondant aux requêtes destinées à découvrir les équipements Bluetooth à portée.
La désactivation de ce mode peut s'avérer très utile lorsque l'on souhaite établir une communication entre deux appareils Bluetooth sans pour autant révéler leur présence aux autres équipements Bluetooth à portée. Le mode découverte est de plus en plus souvent désactivé par défaut sur les équipements Bluetooth tels que les oreillettes Bluetooth.
L'utilisation de cette technologie, avec tous les services qu'elle propose, est assortie à des risques bien réels de voir des informations dérobées par des individus qu'il sera très difficile d'identifier, car les équipements en question sont conçus pour être petits, légers et mobiles. Rares sont les équipements qui journalisent les connexions et les activités Bluetooth.
De nombreuses vulnérabilités liées aux dispositifs Bluetooth ont été découvertes depuis la création et l'utilisation des équipements Bluetooth. Ces vulnérablités ont d'ailleurs été suivies par l'apparition d'attaques à l'intitulé accrocheur. Les principales attaques sont détaillées ci-dessous :
Cette première attaque, qui s'apparente à du pourriel, consiste à détourner l'utilisation principale liée au profil OBEX Object Push Service (cf. Section 2.4).
Ce profil Bluetooth permet d'envoyer des éléments (contacts, carte de visite, rendez-vous ...) entre périphériques compatibles.
Un utilisateur malintentionné peut remplir arbitrairement les champs de sa carte de visite et faire afficher ce texte sur un appareil Bluetooth choisi.
Cette attaque consiste en l'exploitation d'une vulnérabilité présente dans des piles réseau Bluetooth. Un utilisateur malintentionné peut fabriquer des paquets spécialement conçus pour réaliser un déni de service de la pile réseau Bluetooth ou sur l'équipement vulnérable.
Cette attaque affecte principalement les téléphones portables équipés d'une interface Bluetooth. Un utilisateur ayant accès au profil Bluetooth vulnérable d'un téléphone portable peut exécuter arbitrairement toutes sortes de commandes lui donnant ainsi un contrôle total sur l'équipement ciblé. Les actions auxquelles l'individu pourrait avoir accès sont :
Cette attaque permet à un utilisateur malintentionné de télécharger arbitrairement depuis l'équipement Bluetooth vulnérable un ou plusieurs fichiers.
Ces attaques8 ont beaucoup perdu en furtivité depuis que les fabricants d'équipements Bluetooth implémentent par défaut le mode sécurité 2. Pour arriver à ses fins un utilisateur malintentionné devra associer à ces attaques de l'ingénierie sociale.
Le savoir-faire permettant de modifier physiquement un dispositif Bluetooth de type clé USB de manière à augmenter considérablement sa portée de réception est disponible sur l'Internet.
Par l'un de ces procédés, il est possible de modifier la portée de réception d'une clé USB Bluetooth de Classe 3 en y apportant quelques modifications visant à augmenter le gain en dB lié à l'antenne. Une clé USB Bluetooth ainsi modifiée peut voir sa portée de réception passer d'une dizaine de mètres à une centaine de mètres, voir au-delà du kilomètre.
Ces expériences mettent en évidence que les ondes radio émises par un équipement Bluetooth peuvent être captées largement au-delà de la portée théorique, l'élément important lors de ces expérimentations est la sensibilité du récepteur Bluetooth.
Le savoir-faire, ainsi que les moyens matériels nécessaire pour casser un sésame utilisé par deux périphériques Bluetooth jumelés peuvent être réunis. Avec ces ressources, un utilisateur distant malintentionné peut compromettre la confidentialité d'un sésame. Par ce procédé, un sésame de type code PIN de 4 caractères peut être cassé en moins d'une seconde. Le temps de calcul maximum nécessaire pour casser un code PIN est exponentiel en fonction du nombre de caractères.
Certains dispositifs Bluetooth exigent de l'utilisateur de saisir à chaque connexion le sésame symétrique déjà utilisé lors du jumelage des équipements. Cependant cette méthode introduit des risques suplémentaires qui peuvent être exploités aux moyens d'attaques Bluetooth spécifiques (basées sur une attaque en force brute) visant à casser le sésame.
Un équipement Bluetooth ayant désactivé le mode «découverte» reste tout de même détectable par un utilisateur malintentionné. Pour un utilisateur non averti, le fait de désactiver le mode découverte donne une fausse impression de sécurité car un périphérique Bluetooth sous tension reste joignable.
Une attaque consiste a envoyer une requête spécifique qui ne peut être ignorée par les périphériques Bluetooth à portée, même avec le mode découverte désactivé. Ainsi, une personne malveillante va tenter de balayer une ou plusieurs plages d'adresses physiques prédéfinies associées aux dispositifs Bluetooth afin de détecter leur présence. Cette attaque de type force brute est coûteuse en temps pour l'attaquant mais reste efficace.
La technologie Bluetooth est encore récente et reste largement orientée par les considérations de marketing, et ce, au détriment de la sécurité.
http://www.bluetooth.com/bluetooth/
http://trifinite.org/
http://secuobs.com/news/05022006-bluetooth1.shtml
http://www.secuobs.com/pres_eurosec06_bluetooth_pbetouin_version_slides.pdf
http://www.thebunker.net/resources/bluetooth
http://www.bluetooth.com/Bluetooth/Learn/Benefits/
