Bluetooth cihazları eşleştirmek bazen zahmetli olabilse de, Google'ın Hızlı Eşleştirme (Fast Pair) özelliği bu süreci neredeyse kusursuz hale getiriyor. Ancak, bu özellik kulaklıklarınızı uzaktan hacklenmeye karşı savunmasız bırakabilir. Belçika'daki KU Leuven Üniversitesi'nden bir grup güvenlik araştırmacısı, 'WhisperPair' adını verdikleri bir güvenlik açığını ortaya çıkardı. Bu açık sayesinde saldırganlar, Hızlı Eşleştirme destekli cihazları ele geçirerek kullanıcıları gizlice dinleyebiliyor.
Hızlı Eşleştirme özelliği yaygın olarak kullanılıyor ve siz hiç Google ürünü kullanmamış olsanız bile cihazınız bu açıktan etkilenebilir. Bu hata, Sony, Nothing, JBL, OnePlus ve hatta Google'ın kendi ürünleri de dahil olmak üzere 10 farklı üreticiden bir düzineden fazla cihazı etkiliyor. Google, bu açığı kabul ettiğini ve iş ortaklarını tehlikeye karşı bilgilendirdiğini belirtti. Ancak aksesuarları için güncelleme hazırlamak bu şirketlerin sorumluluğunda. Güvenlik açığından etkilenen cihazların tam listesi, projenin web sitesinde bulunuyor.
Araştırmacılara göre, savunmasız bir Hızlı Eşleştirme cihazını kontrol altına almak sadece birkaç saniye sürüyor. Bu süre, ortalama 10 saniye olarak ölçülmüş. Saldırılar, 14 metreye kadar olan mesafelerden gerçekleştirilebiliyor. Bu mesafe, Bluetooth protokolünün sınırlarına yakın ve hedef kişinin çevresinde kimsenin fark etmeyeceği kadar uzak.
Bir saldırgan savunmasız bir ses cihazına bağlantı kurmayı başardıktan sonra, ses akışını kesintiye uğratmak veya istediği sesi çalmak gibi görece zararsız eylemler gerçekleştirebilir. Ancak WhisperPair, konum takibi ve mikrofon erişimine de izin veriyor. Böylece saldırgan, konuşmalarınızı dinleyebilir ve cebinizdeki Bluetooth cihazı aracılığıyla sizi takip edebilir. Araştırmacılar, WhisperPair'ın habersiz insanları nasıl dinlemek için kullanılabileceğini gösteren açıklayıcı bir video da hazırladılar.
Güvenlik açığı, Hızlı Eşleştirme standardının eksik bir uygulamasından kaynaklanıyor. Hızlı Eşleştirme bağlantı isteği alan Bluetooth cihazlarının, sadece eşleştirme modundayken kabul etmesi gerekiyor. Ancak araştırmacılar, birçok cihazın bu kontrolü atladığını ve bağlantıyı yine de kabul ettiğini belirtiyor. WhisperPair, normal Bluetooth eşleştirme süreci aracılığıyla bağlantıyı zorluyor.
Güncelleme Beklentisi
Telefon veya bilgisayar yazılımlarındaki güvenlik açıkları bulunduğunda, genellikle kritik sorunlar için otomatik güncellemeleri destekleyen çoğu cihaz sayesinde güncellemelerin dağıtılması nispeten kolay oluyor. Ancak aksesuarlar söz konusu olduğunda durum biraz daha farklı. Birçok kişi, cihazlarına aksesuar uygulamaları yüklemiyor, bu nedenle orijinal firmware'in ötesine geçemiyorlar.
WhisperPair, desteklenen cihazlarda Hızlı Eşleştirme özelliğini devre dışı bırakma seçeneği olmadığı için daha da sorunlu bir hale geliyor. Yapabileceğiniz tek şey, eşlik eden uygulamayı yükleyip bir güncelleme beklemek. Google, kendi savunmasız cihazlarına bir güncelleme gönderdiğini söyledi. Ancak araştırmacılar, bu güncellemeler için kolay bir çözüm bulunduğunu belirtiyor. Tüm etkilenen cihazların tam olarak düzeltilmesi haftalar veya aylar sürebilir; özellikle de neyin düzeltilmesi gerektiği konusunda bu kadar kafa karışıklığı varken.
Google, WhisperPair'ın henüz aktif olarak kullanılmadığını belirtti. Ancak, bu bilgilerin kamuya açıklanmasıyla risk artıyor. Eğer kulaklıklarınıza bu açıktan faydalanılarak erişildiğinden endişe ediyorsanız, yapabileceğiniz tek şey cihazınızı fabrika ayarlarına döndürmek. Bu, saldırganın hack işlemini yeniden yapmasını gerektirecektir. Ayrıca, üretici uygulamasını yüklemeye devam etmek ve üretici yazılım güncellemelerini alır almaz yüklemek akıllıca olacaktır.
