มีตำนานและความเข้าใจผิดมากมายเกี่ยวกับ Bluetooth ตั้งแต่ปี 1989 ผ่านการพัฒนามาหลายรุ่น ปัญหาเก่าๆ หลายอย่างตอนนี้ไม่เกี่ยวข้องแล้ว
แต่แต่ละรุ่นใหม่ก็อาจมีช่องโหว่ความปลอดภัยใหม่ จึงผิดที่จะคิดว่า Bluetooth ปลอดภัยแล้ว มันไม่ได้
เราไม่แนะนำให้เลิกใช้ Bluetooth โดยสิ้นเชิง มันมีประโยชน์หลายอย่าง เช่น ลำโพง Bluetooth สะดวก เพิ่มการเชื่อมต่อมือถือ และมีประโยชน์มากมาย
เราเพียงแค่เตือนให้รู้จักความเสี่ยง นี่คือวิธีคุ้มครองตัวเองขณะใช้ Bluetooth
1. การเชื่อมต่อที่ปลอดภยังไม่เพียงพอ
เมื่อ Bluetooth 2.1 เปิดตัวในปี 2007 ได้นำเสนอฟีเจอร์ความปลอดภัยใหม่ชื่อ Secure Simple Pairing (SSP) อุปกรณ์ที่ใช้ Bluetooth 2.0 หรือก่อนหน้าไม่รองรับ SSP จึงไม่ปลอดภัยเลย แม้แต่อุปกรณ์ที่ ใช้ SSP ก็ไม่รับประกันความปลอดภัย
กลับพบว่าอัลกอริทึมเข้ารหัสใน Bluetooth 2.1 (เหมือนรุ่นก่อน) ไม่ปลอดภัย นำไปสู่อัลกอริทึมใหม่ (AES-CCM) ใน Bluetooth 4.0 แต่อัลกอริทึมนี้ก็มีข้อบกพร่องที่ถูกใช้ประโยชน์ได้ เพราะไม่รวม SSP
ต่อมา Bluetooth 4.1 เพิ่มฟีเจอร์ Secure Connections ให้อุปกรณ์ non-LE และ Bluetooth 4.2 เพิ่มให้ LE devices ตั้งแต่ Bluetooth 4.2 ทุกอุปกรณ์ใหม่รองรับ SSP และ AES-CCM การเข้ารหัส ดูดีไหม?
ไม่ใช่ทั้งหมด ปัญหาคือ มี 4 วิธีจับคู่ภายใต้ SSP...
- Numeric Comparison (เปรียบเทียบตัวเลข)
- Just Works (ทำงานได้เลย)
- Out-of-Band (ช่องทางอื่น)
- Passkey Entry (ป้อนรหัสผ่าน)
...และแต่ละวิธีมีข้อบกพร่อง: Numeric Comparison ต้องมีหน้าจอ (ไม่ใช่ทุกอุปกรณ์มี) Just Works รุกรานต่อการโจมตี Out-of-Band ต้องการช่องทางสื่อสารแยก (ไม่รองรับทุกอุปกรณ์) Passkey Entry ถูกแอบฟังได้ (ในสภาพปัจจุบัน)
โอ๊ย
ทำอย่างไรดี? หลีกเลี่ยงการเชื่อมต่อกับอุปกรณ์ที่ใช้ Bluetooth รุ่นเก่า (ณ ปัจจุบัน คือก่อนมาตรฐาน 4.2) อัปเดตเฟิร์มแวร์อุปกรณ์ Bluetooth ทั้งหมดเป็นรุ่นล่าสุด หากทำไม่ได้ ให้ทิ้งหรือใช้อย่างระมัดระวัง
2. เวกเตอร์การโจมตีหลายอย่างยังคงมีอยู่
ช่องโหว่ด้านความปลอดภัยข้างต้นไม่ใช่เพียงอย่างเดียวที่ยังคงมีอยู่ในอุปกรณ์ Bluetooth ความจริงคือหลายเวกเตอร์โจมตีในรุ่นก่อนหน้ายังคงมีอยู่ - แค่ทำได้ด้วยวิธีที่ต่างออกไป
- Eavesdropping (แอบฟัง) -- โจมตีสามารถดักฟังข้อมูล Bluetooth ที่ส่งผ่าน และอ่าน/ฟังข้อมูลนั้นได้ หากคุณพูดคุยผ่านหูฟัง Bluetooth เช่นกัน อาจถูกแอบฟัง
- Bluesnarfing -- โจมตีสามารถเข้าถึงและขโมยข้อมูลจากอุปกรณ์ Bluetooth หลังจับคู่แล้ว การเชื่อมต่อมักเกิดขึ้นโดยคุณไม่รู้ ทำให้ข้อมูลติดต่อ รูปภาพ วิดีโอ ปฏิทิน ถูกขโมย
- Bluebugging -- โจมตีสามารถควบคุมอุปกรณ์จากระยะไกล โทร/ส่งข้อความออกา นำสายเข้า เปลี่ยนการตั้งค่า ดูหน้าจอและการกดปุ่ม ได้
- Denial of service (ปฏิเสธบริการ) -- โจมตีส่งข้อมูลขยะเต็มอุปกรณ์ บล็อกการสื่อสาร เสียแบตเตอรี่ หรือทำให้อุปกรณ์แฮงค์
การโจมตีเหล่านี้ส่งผลต่ออุปกรณ์ที่ใช้ Bluetooth อยู่ ทั้งหูฟัง ลำโพง คีย์บอร์ด เมาส์ และสำคัญที่สุดคือสมาร์ทโฟน
ทำอย่างไรดี? หากเปลี่ยนรหัสผ่าน Bluetooth ของอุปกรณ์ได้ (ทำได้บนโทรศัพท์ แท็บเล็ต นาฬิกาอัจฉริยะ) ให้เปลี่ยนทันที เลือก PIN ที่ปลอดภัย! สามารถลดความเสี่ยงบางส่วน แต่การป้องกันที่แน่ใจที่สุดคือปิด Bluetooth ไว้
บันทึกเพิ่ม: หากสงสัยว่า Bluetooth ไม่ปลอดภัยแค่ไหน ลองดูจำนวนช่องโหว่ Bluetooth ที่ยังมีอยู่!
3. แม้ซ่อนไว้ ก็ยังถูกค้นพบได้
การมาถึงของการส่งสัญญาณ Low Energy ใน Bluetooth 4.0 ได้รับการต้อนรับเพราะทำให้แบตเตอรี่ทนทานขึ้น แต่ LE Bluetooth ไม่ปลอดภัยกว่า Bluetooth แบบคลาสสิก หากไม่ใช่แย่กว่า
เรื่องของ Bluetooth คือ เมื่อเปิดใช้งาน มันจะกระจายข้อมูลตลอดเวลา เพื่อให้อุปกรณ์ใกล้เคียงรู้จักตัวตน นี่คือสิ่งที่ทำให้ Bluetooth สะดวก
ปัญหาคือ ข้อมูลกระจายก็มีรายละเอียดเฉพาะตัวอุปกรณ์ รวมถึง Universally Unique Identifier (UUID) รวมกับ Received Signal Strength Indicator (RSSI) ทำให้การเคลื่อนที่ของอุปกรณ์ถูกสังเกตและติดตามได้
ส่วนใหญ่คิดว่าตั้ง Bluetooth เป็น "undiscoverable" (ไม่สามารถค้นพบได้) จะซ่อนตัวจากสิ่งนี้ได้ แต่ไม่จริง Ars Technica พิสูจน์ недавноว่ามีเครื่องมือโอเพนซอร์สที่สามารถสืบค้นคุณได้แม้ในโหมด undiscoverable
เพื่อนบ้านใหม่ใช้ AirDrop ส่งไฟล์จากโทรศัพท์ไป iMac ผมยังไม่ได้แนะนำตัว แต่รู้ชื่อเขาแล้ว ขณะเดียวกัน คนใดคนหนึ่งสวม Pebble watch เดินผ่าน และ "Johnny B" หยุดรถ Volkswagen Beetle ที่ไฟแดงมุมถนน ใช้ Garmin Nuvi นำทาง อีกคนใช้ Apple Pencil กับ iPad ที่ร้านใกล้เคียง และอีกคนเพิ่งเปิดทีวีอัจฉริยะ Samsung ผมรู้ทั้งหมดนี้เพราะทุกคนโฆษณาตัวตนทางไร้สาย... และผมกำลังรันเครื่องมือโอเพนซอร์สชื่อ Blue Hydra
ทำอย่างไรดี? ไม่มีทาง ยกเว้นปิด Bluetooth ตลอดเวลา เมื่อเปิดใช้งาน คุณจะกระจายข้อมูลทั้งหมดไปยังบริเวณรอบข้าง
Bluetooth อาจไม่ใช่อนาคต
ทางเลือกที่ปลอดภัยกว่าอาจเป็น Wi-Fi Direct การเชื่อมต่ออุปกรณ์ต่ออุปกรณ์ระยะสั้นด้วย Wi-Fi ยังไม่แพร่หลายเท่า Bluetooth แต่มีศักยภาพ ควรติดตาม Wi-Fi Aware ด้วย
เคยเจอปัญหาจาก Bluetooth หรือไม่? ความเสี่ยงเหล่านี้พอทำให้เลิกใช้หรือไม่? หรือจะใช้ต่อไปเหมือนเดิม? บอกเราในความคิดเห็น!
