Дослідники повідомили про виявлення нової вразливості під назвою WhisperPair, що стосується технології швидкого сполучення Google Fast Pair. Ця помилка у протоколі безпеки дозволяє зловмисникам перехоплювати контроль над бездротовими навушниками та іншими Bluetooth-аксесуарами за лічені секунди. Таку інформацію оприлюднив портал XiaomiTime.
Механізм злому та ризикиВразливість виникає через некоректну реалізацію Fast Pair окремими виробниками. Згідно зі стандартами, пристрій не повинен встановлювати нові з’єднання без ручної активації режиму сполучення. Проте тестування показало, що багато флагманських моделей ігнорують цю вимогу. Зловмисник, використовуючи недороге обладнання (наприклад, Raspberry Pi) на відстані до 14 метрів, може імітувати запит на підключення та перехопити пристрій менш ніж за 15 секунд.
Отримання контролю над гарнітурою створює серйозні загрози конфіденційності:
1. Прослуховування: Зловмисник отримує доступ до мікрофона і може чути приватні розмови.
2. Відстеження локації: Через механізм «Covert Account Binding» хакери можуть прив’язати навушники до власного облікового запису Google.
Це дозволяє відстежувати переміщення жертви через мережу Google Find My Device (Find Hub). Цей сценарій особливо актуальний для користувачів iPhone, чиї аксесуари часто не прив’язані до Google-акаунту власника.
Вразливі пристрої та вирішення проблемиПід загрозою опинилися пристрої популярних брендів, зокрема Xiaomi, Sony, JBL та Logitech. Загалом було протестовано 17 моделей. Компанія Google вже випустила виправлення для власних навушників Pixel Buds.
Вимкнути функцію Fast Pair на більшості аксесуарів неможливо, оскільки вона інтегрована у прошивку. Єдиним дієвим методом захисту є оновлення програмного забезпечення пристрою. Користувачам рекомендується перевірити наявність апдейтів через офіційні додатки виробників, такі як Sony Headphones Connect, JBL Headphones або Xiaomi Earbuds.
Читайте також:
Запис У навушниках Xiaomi та інших брендів виявлено критичну вразливість WhisperPair спершу з'явиться на ProstoMob.