Невидимий в ефірі: підписувач, якого не знайти скануванням

Проблема з радіо

Bluetooth робить роботу за столом зручною. А ще через нього телефон починає «говорити». Пристрій, що транслює ім’я на кшталт «Wallet» із постійною адресою, можна знайти, розпізнати, відстежувати з дня на день і виділити як вартий атаки. Щоб сканувати Bluetooth-пристрої, вистачить телефону й безкоштовного застосунку. Шкідливе ПЗ (malware) на комп’ютері теж так уміє.

Ми хотіли зручності без маяка. Рішення складається з трьох частин: коли телефон узагалі виходить в ефір, що він каже, коли виходить, і хто може це зрозуміти.

Ефір порожній, доки ви не відкрили застосунок

Телефон виходить в ефір, лише коли AirNox Vault відкритий, розблокований і на передньому плані. Заблокуйте телефон — і він замовкає. Перейдіть до іншого застосунку — і він замовкає. Покладіть його екраном донизу в шухляду — і нічого не передається. Немає фонової служби, яка тримала б канал напоготові.

Три стани: заблокований, у фоні та відкритий на передньому плані; лише в останньому щось є в ефірі, і з низькою потужністю — Три стани. Говорить лише в одному, з низькою потужністю, і тільки поки ви на нього дивитеся.

Навіть коли він виходить в ефір, то з низькою потужністю передавача. Його дальність — стіл. Це свідомий вибір того, хто може його почути, а не заміна шифруванню.

Що він каже, коли говорить

Три речі роблять його сигнал марним для стороннього.

Він не містить імені пристрою. Ніщо в ефірі не каже AirNox, гаманець чи щось інше.

Він використовує випадкову адресу Bluetooth, яку система щоразу генерує заново. Немає постійної адреси, яку можна записати й завтра шукати знову.

А ідентифікатор сервісу, який він оголошує, обчислюється, а не задається раз і назавжди. Він виводиться зі сполучення (pairing), яке телефон має з вашим комп’ютером, і з поточного часового вікна, тож змінюється кожні кілька хвилин, і лише комп’ютер, що має це сполучення, може визначити його поточне значення. Для всіх інших це число, схоже на випадкове, яке досить скоро стане іншим числом, теж схожим на випадкове.

Що бачить сканер

Сканер у сусідній кімнаті бачить безіменну випадкову адресу з ідентифікатором, що виглядає випадковим. За кілька хвилин він бачить іншу адресу з іншим ідентифікатором. Ніщо не пов’язує їх між собою. Ніщо не позначає пристрій як гаманець, а не як будь-яку з інших безіменних речей, що користуються Bluetooth. Запам’ятовувати на наступний раз нічого.

Що бачить шкідливе ПЗ на комп’ютері

Комп’ютер, який ми вважаємо зараженим, бачить не більше. Шкідливе ПЗ на ньому не має імені для пошуку, постійної адреси, яку можна запам’ятати, і нічого не знайде, доки ви не виведете застосунок на передній план. Програма гаманця вміє розпізнавати телефон, бо була присутня під час сполучення. Шкідливе ПЗ, яке вкраде конфігурацію цієї програми, однаково мусить чекати, поки ви відкриєте застосунок у межах досяжності, а потім зіткнеться із сесією, про яку йдеться в наступній статті.

Чому знайти телефон однаково нічого не дає

Припустімо, зловмисник таки помітить телефон, поки ви ним користуєтеся. Саме по собі це нічого не дає. Кожен запит однаково потрапляє на екран телефону, декодований із байтів, які буде підписано, і там ви його читаєте й натискаєте Accept (Прийняти) або ні. Радіо передає зашифрований трафік усередині сесії, автентифікованої під час сполучення. Бути достатньо близько, щоб чути, — не те саме, що змогти приєднатися.

Невидимість — перший рівень захисту. Вона має зробити так, щоб більшість часу атакувати було просто нічого, а в решту часу ціль нічим не вирізнялася.