Dipl.-Inform. Carsten Eilers

Angriffe auf Schwachstellen wie z.B. die in der vorherigen Folge vorgestellten aktuellen Schwachstellen, die die sog. "Fixed Coordinate Invalid Curve Attacks" erlauben, verhindert man zuverlässig, indem man die entsprechenden Patches oder Updates installiert. Wenn es denn welche gibt.

Gibt es keine, wird es schwierig. Teilweise hilft eine Absicherung der Konfiguration, teilweise ist gar kein Schutz möglich. Dann gilt es, die Gefährdung zu reduzieren.

Manche Angriffe, so z.B. auch die aktuelle "Fixed Coordinate Invalid Curve Attack", können nur während des Pairings durchgeführt werden. Dann hilft es, betroffene Geräte nur in einer sicheren Umgebung zu pairen. Also nicht gerade auf einer Konferenz oder Flughafen, sondern zu Hause oder im Büro. Denn zum einen muss der Angriff während des Pairings erfolgen und zum anderen muss der Angreifer dazu nah genug an die Geräte heran kommen. Wobei das relativ ist, wie sich auf den Sicherheitskonferenzen gezeigt hat.

Bluetooth absichern - die NIST-Vorschläge

Kommen wir nun zu den in der NIST Special Publication 800-121 Revision 2 vorgeschlagenen Schutzmaßnahmen. Dabei wird zwischen zwei Arten von Vorschlägen unterschieden: Zum einen denen, die immer empfohlen werden. Und zum anderen denen, die gut überlegt werden sollten. Weil diese Maßnahmen zwar die Sicherheit erhöhen und/oder als Defense-in-Depth-Maßnahmen wirken, dafür aber auch mit Einschränkungen wie einem Performanceverlust, schlechterer Bedienbarkeit oder höheren Kosten verbunden sind. Im Grunde dreht es sich also um die Frage, ob die höhere Sicherheit die Nachteile aufwiegt.

Management-Empfehlungen

• 1. Es sollte eine Security Policy für die drahtlose Kommunikation entwickelt werden, die auch Bluetooth abdeckt. Security Policies allgemein werde ich in einer zukünftigen Folge behandeln, vermutlich ab dem Herbst.
• 2. Bluetooth-Nutzer sollten über die Gefahren und ihre Verantwortung für die sichere Nutzung aufmerksam gemacht werden (also z.B. Geräte wenn möglich nur in sicheren Umgebungen zu pairen).
• 3. Es sollte regelmässig Überprüfungen des aktuellen Bluetooth-Sicherheitsstands geben: Welche Geräte sind vorhanden, und wie sicher sind sie?
• 4. Stellen Sie sicher, dass die drahtlosen Geräte und Netzwerke einschließlich Bluetooth verstanden und dokumentiert wurden ("Was wird weshalb genutzt, und welche Auswirkungen hat das auf die Sicherheit?")
• 5. Die Benutzer sollten darüber informiert werden, wie sie Handheld-Bluetoothgeräte vor Diebstahl schützen. Ich würde bei der Gelegenheit auch darauf hinweisen, dass das Verlieren der Geräte auch sehr ungünstig ist. Denn auch mit einem verlorenen Gerät kann u.U. unbefugt auf Geräte oder Netze zugegriffen werden, die diesem Gerät vertrauen.
• 6. Führen sie eine vollständige Inventarliste aller Bluetooth-Geräte samt ihrer Adresse (BD_ADDRs). Damit können sie zum einen im Rahmen eines Audits prüfen, ob unauthorisierte Geräte verwendet werden und zum anderen im Fall eines Diebstahls oder Verlusts feststellen, welche Adressen gesperrt werden müssen.

Operative Empfehlungen

Nicht wundern: Die Punkte 7 bis 27 sind technische Empfehlungen, und weil der Text damit doch arg zu lang wurde habe ich die in die nächste Folge verschoben.

• 28. Bluetooth-Fähigkeiten sollten ausgeschaltet werden, wenn sie nicht benötigt werden. Nicht nur, dass damit Angriffe darüber unmöglich werden, das spart auch noch Strom. Von dem man bei mobilen Geräte ja eigentlich immer zu wenig hat.
• 29. Pairing sollte nur in sicheren Umgebungen und so selten wie möglich durchgeführt werden.
• 30. BR/EDR Service-Level Security Mode 2 oder 4 sollten nur in sicheren Umgebungen verwendet werden. Security Mode 3 bietet Verbindungssicherheit bevor die Verbindung aufgebaut wurde, während Mode 2 und 4 Verbindungen erlauben, bevor die Authentifizierung durchgeführt oder die Verschlüsselung aktiviert ist.
• 31. Portable Geräte mit Bluetooth-Interface sollten durch ein Passwort geschützt sein.
• 32. Kommt ein Bluetooth-Gerät abhanden (egal ob verloren oder gestohlen) sollte es sofort bei allen anderen Geräte aus der Liste gepairter Geräte gelöscht werden.
• 33. Auf Bluetooth-fähigen Hosts sollten wenn möglich Virenscanner o.Ä. installiert werden, die die über Bluetooth übertragenen Daten überprüfen.
• 34. Patches und Updates für Bluetooth Software und Firmware sollte zügig getestet und installiert werden.
• 35. Die Benutzer sollten keine Verbindungsanfragen etc. von unbekannten oder verdächtigen Geräten akzeptieren.
• 36. Vor dem Ausrollen eines Sicherheitsfeatures oder -produkts sollten deren Auswirkungen vollständig verstanden werden. Im empfehle ja generell, nichts auszurollen, was man nicht vollständig verstanden und den Benutzern ausreichend erklärt hat.

Außerdem sollten Sie jemanden damit beauftragen, die aktuellen Entwicklungen im Bereich der Bluetooth-Sicherheit im Auge zu behalten. Was natürlich mit zusätzlichen Kosten verbunden ist, sofern derjenige das nicht aus purer Gefälligkeit und auf seine Kosten tut.

In der nächsten Folge geht es zum endgültigen Abschluss des Themas "Bluetooth-Sicherheit" noch um die technischen Empfehlungen aus dem NIST-Dokument.

Carsten Eilers