Invisível no ar: um assinador que nenhum scanner encontra

O problema dos rádios

O Bluetooth deixa a mesa prática. Também transforma o celular numa coisa que fala. Um aparelho que anuncia um nome como "Wallet" com um endereço fixo é um aparelho que pode ser encontrado, reconhecido, seguido de um dia para o outro e escolhido como alvo que vale a pena atacar. Para escanear aparelhos Bluetooth, basta um celular e um app gratuito. Um malware no desktop também consegue.

Queríamos a conveniência sem o farol. O design tem três partes: quando o celular fica no ar, o que ele diz quando está e quem consegue entender o que ele diz.

Nada no ar a menos que você abra o app

O celular só se anuncia enquanto o AirNox Vault está aberto, desbloqueado e em primeiro plano. Bloqueie o celular e ele fica em silêncio. Mude para outro app e ele fica em silêncio. Coloque-o virado para baixo numa gaveta e nada é transmitido. Não há serviço em segundo plano mantendo um canal aquecido.

Quando ele se anuncia, faz isso com baixa potência de transmissão. O alcance é a mesa. É uma escolha deliberada sobre quem pode ouvi-lo, não um substituto para a criptografia.

O que ele diz quando fala

Três coisas tornam o anúncio inútil para um estranho.

Ele não leva nome de aparelho. Nada no ar diz AirNox, carteira ou qualquer outra coisa.

Ele usa um endereço Bluetooth aleatório, que o sistema gera de novo a cada vez. Não há endereço fixo para anotar e procurar de novo amanhã.

E o identificador de serviço que ele anuncia é calculado, não fixo. Ele é derivado do pareamento (pairing) que o celular compartilha com o seu desktop e da janela de tempo atual, então muda a cada poucos minutos, e só um desktop que tem esse pareamento consegue descobrir qual é o valor atual. Para todos os outros, é um número com cara de aleatório que logo vai virar outro número com cara de aleatório.

O que um scanner vê

Um scanner na sala ao lado vê um endereço aleatório sem nome, com um identificador que parece aleatório. Alguns minutos depois, vê outro endereço com outro identificador. Nada liga um ao outro. Nada marca o aparelho como uma carteira, em vez de qualquer outra das coisas sem nome que usam Bluetooth. Não há nada para lembrar da próxima vez.

O que um malware no desktop vê

O desktop que consideramos infectado não enxerga melhor. Um malware nele não tem nome para procurar, nem endereço fixo para lembrar, nem nada para encontrar até você trazer o app para o primeiro plano. O software da carteira sabe reconhecer o celular porque estava lá no pareamento. Um malware que roube a configuração desse software continua precisando esperar você abrir o app, ao alcance, e depois esbarra na sessão, que o próximo artigo explica.

Por que, no fim, encontrar o celular não adianta nada

Suponha que um atacante perceba o celular enquanto você está usando. Encontrá-lo, por si só, não rende nada. Todo pedido continua chegando na tela do celular, decodificado a partir dos bytes que serão assinados, onde você lê e pressiona Accept (Aceitar), ou não. O rádio transporta tráfego criptografado dentro de uma sessão que foi autenticada no pareamento. Estar perto o bastante para ouvir não é o mesmo que conseguir entrar.

A invisibilidade é a primeira camada. O papel dela é garantir que, na maior parte do tempo, não haja nada para atacar e que, quando houver, não pareça nada em especial.