#336 Spårad och avlyssnad via Bluetooth-hörlurar

Förra veckan tillkännagavs en ny sårbarhet i Bluetooth-hörlurar från flera stora tillverkare, däribland Sony, JBL, Jabra och Marshall. De berörda hörlursmodellerna har alla stöd för Googles Fast Pair-teknik, och tillverkarna har implementerat tekniken på ett felaktigt vis. Det rör sig alltså inte om någon sårbarhet i själva Bluetooth-protokollet.

Sårbarheten har fått namnet Whisperpair. Namnet anspelar på konsekvenserna. En angripare som befinner sig inom Bluetooth-räckvidd kan i tysthet koppla ihop ovetande användares hörlurar med sin egen dator. Därigenom kan angriparen avlyssna vad som sägs.

Whisperpair-sårbarheten förvärras av att flera berörda hörlursmodeller har stöd för Googles Find Hub-nätverk (används för att hitta borttappade produkter). Sådana hörlurar måste kopplas till en Android-mobil för att registreras på mobilägarens Google-konto. Det är ett problem för Iphone-ägare som har köpt sårbara och Find Hub-kompatibla hörlurar. Deras hörlurar lämnas kvar i registrerbart läge.

Whisperpair-sårbarheten gör att en angripare (inom Bluetooth-avstånd) kan koppla oregistrerade hörlurar till sitt eget Google-konto och framgent spåra var ägarna befinner sig.

För att lösa problemet måste hörlurstillverkarna släppa firmware-uppgraderingar till de berörda modellerna. Hörlursägarna måste därefter också installera firmware-uppgraderingarna, vilket i sin tur förutsätter att ägarna har laddat ned de tillhörande apparna. Detta innebär att många hörlurar kommer att förbli sårbara.

I veckans poddavsnitt pratar Peter och Nikka om problemet med Whisperpair-sårbarheten. Den danska polisen ansåg att sårbarheten var så allvarlig att de rekommenderade alla anställda att stänga av Bluetooth på sina mobiler. Nikka förklarar varför det, i hans mening, är helt fel rekommendation och varför det ändå inte löser problemet.

Bli säker-podden instiftar däremot en annan rekommendation: välj Bluetooth-hörlurar som har en app för din mobils operativsystem.

Se fullständiga shownotes på https://go.nikkasystems.com/podd336.

Det här avsnittet är hämtat från ett öppet RSS-flöde och publiceras inte av Podme. Det kan innehålla reklam.

Avsnitt(375)

#375 Clickfix-skydd och Berlins 6 TB-läcka

I somras drabbades Berlin av ett allvarligt dataintrång. Utpressargruppen Rhysida stal nästan sex terabyte data och hotade med att läcka uppgifterna om gruppen inte fick betalt. Rhysida krävde över 20...

30 Okt 33min

#374 Infekterande annonser och PHP-haveriet

Förra veckan publicerade Citizenlab ett stort avslöjande. De presenterade världens första dokumenterade fall där enheter hade infekterats av kommersiella spionprogram genom annonsvisningar. Minst 45 e...

23 Okt 32min

#373 Starta bränder över internet

I filmens värld finns många exempel på cyberfysiska attacker. Onda angripare attackerar samhället genom att hacka sig in i styrsystem för fysisk utrustning. I måndags påminde SVT om att sådana attacke...

16 Okt 26min

#372 Nextcloud utmanar Microsoft (specialavsnitt)

I onsdags avslöjade Sveriges Radio att Skatteverket hade infört amerikanska molntjänster trots att de egna dataskyddsombuden hade avrått från det. Dataskyddsombuden hade varnat för att känsliga person...

9 Okt 34min

#371 Bank-id:s bedrägeribekämpning

I september rapporterade Plånboken i P1 om bedragare som hade lyckats lura en kvinna att överföra en större summa pengar. Bedragarna hade lurat henne att godkänna överföringen med sin Bank-id-app. Den...

2 Okt 32min

#370 Berget testar ai-modellers värderingar (specialavsnitt)

Det finns en uppsjö av ai-modeller att välja mellan. Vissa modeller är amerikanska. Andra är kinesiska. Ett fåtal är europeiska. Beroende på vem som har tränat modellerna kan de ge varierande svar, nå...

25 Sep 30min

#369 Apple Watch öppnar Pandoras ask

Förra veckan presenterade Apple sina senaste klockor: Apple Watch Series 12 och Apple Watch Ultra 4. Inuti dessa klockor sitter ett nytt chip som kallas S11. Det chippet har ai-stöd som gör att klocko...

18 Sep 33min

#368 Nya anklagelser om LG:s tv-avlyssning

I början av sommaren hamnade tv-jätten LG i blåsväder. LG:s appbutik innehöll appar med tveksamma affärsmodeller. Flera appar fungerade som så kallade residentiella proxyappar där apputvecklarna tjäna...

11 Sep 34min