Bluetooth : de grosses failles laissent la technologie à la merci des pirates

L'ANSSI (Agence nationale de la sécurité des systèmes informatique) détaille dans son dernier rapport un série de failles de sécurité permettant de mener de redoutables attaques Man-in-the-Middle (MITM). Les problèmes touchent principalement les appareils bluetooth dotés de la technologie Mesh et Bluetooth Core.

Ça n'est pas tous les jours qu'un rapport de notre ANSSI nationale est repris par la presse du monde entier. Pourtant, c'est exactement ce qui vient de se passer ce matin, et pour cause : une série de failles de sécurité très graves a été découverte dans le protocole Bluetooth. Celles-ci affectent surtout les appareils basse consommation équipés des technologies Bluetooth Core et Mesh.

Selon l'université Carnegie Milton, elle aussi à l'origine d'un rapport sur le sujet, ces failles permettent à des hackers, entre autres, de se faire passer pour des appareils de confiance, mais aussi de “révéler des valeurs AuthValue” qui peuvent contenir des données chiffrées. En tout six failles critiques (CVE-2020-26555, CVE-2020-26556, CVE-2020-26557, CVE-2020-26558, CVE-2020-26559, CVE-2020-26560) sont rapportées par des chercheurs.

Lire également : Meilleures enceintes Bluetooth 2021 – quel modèle choisir ?

FAILLES BLUETOOTH : LES FABRICANTS COMMENCENT À DÉLIVRER DES CORRECTIFS
Ces failles ont fait réagir l'ensemble de l'industrie. Par exemple le projet Android AOSP explique que “ce problème est jugé très grave pour l'écosystème Android et un patch sera prochainement délivré via un futur bulletin de sécurité Android”. De nombreux acteurs industriels devraient proposer des correctifs dans les prochaines semaines.

Le problème semble en effet très répandu et il n'existe aucun moyen, en l'état, pour l'utilisateur de se protéger si ce n'est ne plus utiliser ses périphériques bluetooth jusqu'à ce qu'une mise à jour soit disponible. En raison de son usage spécialisé, plus limité que d'autres technologies sans fil comme le WiFi, le risque pour la plupart des utilisateurs est faible, et ne justifie pas de prendre des mesures particulières, si ce n'est installer la mise à jour dès que les différents constructeurs, fabricants et éditeurs le proposeront bientôt.

On attend rapidement des correctifs chez Intel, Cisco, Microchip ou encore Red Hat. Mais évidemment, compte-tenu du nombre d'appareils Bluetooth en circulation, cela peut prendre du temps, voire ne jamais arriver sur certains appareils. C'est d'ailleurs ce que l'on constate, encore, hélas, avec la technologie de sécurité WiFi WPA3 qui peine encore à se démocratiser plusieurs années après son lancement – quand bien même la sécurité des autres protocoles a été crackée.