Una vulnerabilità critica è stata individuata nel protocollo Fast Pair di Google, utilizzato da numerosi produttori per la connessione rapida di dispositivi audio Bluetooth. Questa falla consente a malintenzionati di accedere agli accessori audio senza autorizzazione, con il rischio di intercettare conversazioni private o localizzare gli utenti.
vulnerabilità fast pair e attacchi whisperpair
Il gruppo di ricerca COSIC dell’università belga KU Leuven ha reso pubblici i dettagli su una serie di attacchi denominati WhisperPair, che sfruttano un difetto nell’implementazione del protocollo Fast Pair. Questo meccanismo permette a un dispositivo “seeker” (come smartphone o laptop) di inviare richieste di associazione a dispositivi “provider” (auricolari, cuffie o altoparlanti Bluetooth). Sebbene la specifica preveda che i dispositivi provider accettino richieste solo in modalità pairing, molti modelli le ricevono anche quando sono semplicemente accesi, aprendo così la porta agli attacchi.
Gli aggressori possono quindi connettersi ai dispositivi target senza necessità di accesso fisico, controllando l’uscita audio o ascoltando tramite microfono integrato. Inoltre, i dispositivi compromessi possono essere inseriti nella rete Google Find Hub per tracciare gli spostamenti delle vittime.
dispositivi interessati e impatto sugli utenti android e ios
I ricercatori hanno confermato che numerosi prodotti noti risultano vulnerabili a WhisperPair. Tra questi figurano:
- Sony WH-1000XM6
- Pixel Buds Pro 2
- Jabra Elite 8 Active
- Soundcore Liberty 4 NC
L’attacco sembra funzionare principalmente su dispositivi mai associati precedentemente tramite Fast Pair con un dispositivo sorgente Android. Pertanto, gli auricolari già collegati ad uno smartphone Android potrebbero risultare più protetti. Al contrario, quelli abbinati esclusivamente a dispositivi Apple restano esposti poiché iOS non utilizza Fast Pair.
misure correttive e aggiornamenti firmware necessari
Dall’agosto scorso COSIC ha informato Google della problematica e ha collaborato con il colosso tecnologico per risolvere la falla. Molti produttori hanno già distribuito aggiornamenti firmware per correggere il problema sui propri dispositivi interessati.
Sebbene non siano stati rilevati casi reali di sfruttamento della vulnerabilità al di fuori degli ambienti di laboratorio, è fortemente consigliato procedere tempestivamente all’aggiornamento dei propri accessori audio compatibili con Fast Pair per garantire sicurezza.
- Aggiornare regolarmente il firmware degli auricolari e cuffie Bluetooth;
- Verificare direttamente con il produttore la disponibilità di patch contro WhisperPair;
- Mantenere sotto controllo eventuali notifiche sospette relative alla posizione sui dispositivi Android.
sintesi dei rischi legati alla vulnerabilità whisperpair fast pair
- Accesso non autorizzato remoto ai device audio;
- Eavesdropping sulle conversazioni tramite microfoni integrati;
- Tracciamento della posizione attraverso Google Find Hub;
- Nessuna necessità di contatto fisico per avviare l’attacco;
- Danno potenziale esteso a diverse marche e modelli popolari.
Lascia un commento