Recurso de conexión con Fast Pair- GOOGLE
MADRID, 16 Ene. (CIBERPRO) –
Un error en el protocolo de ‘Fast Pair’ de Google ha expuesto a auriculares, altavoces y otros dispositivos Bluetooth a ataques que permitirían el acceso y secuestro de estos aparatos.
Esta vulnerabilidad se ha originado por una implementación inadecuada de la función ‘Fast Pair’, que facilita a los usuarios conectar dispositivos Bluetooth con otros dispositivos Android y ChromeOS de manera más sencilla, emparejándose automáticamente, similar a lo que hacen los AirPods de Apple.
Investigadores del grupo de Seguridad Informática y Criptografía Industrial de la Universidad KU Leuven en Bélgica han hallado que mediante este mecanismo, los ciberdelincuentes pueden conectarse a cientos de millones de auriculares y altavoces, permitiendo el control de micrófonos y altavoces o el rastreo de la ubicación.
En total, son 17 modelos afectados por este problema de seguridad, incluyendo marcas como Sony, Jabra, JBL, Marshall, Xiaomi, Nada, OnePlus, Soundcore, Logitech y Google. Puedes verificar si tu dispositivo es vulnerable a través de este enlace.
La investigación, conocida como ‘WhisperPair’, revela que cualquier persona en el rango Bluetooth de esos dispositivos (aproximadamente 15 metros, según sus pruebas) podría emparejarse silenciosamente con estos periféricos de audio y tomar el control, incluso si ya estaban conectados previamente.
«Imagina que caminas por la calle con los auriculares puestos y escuchando música. En menos de 15 segundos, podemos tomar el control de tu dispositivo», comentó el investigador de KU Leuven Sayon Duttagupta en declaraciones a Wired.
«El atacante ahora tiene el control de este dispositivo», agregó el investigador Nikola Antonijevic, «y puede hacer lo que desee con él».
RESPUESTA DE GOOGLE
Ante esta vulnerabilidad, Google ha reconocido a Wired el trabajo del grupo de investigación, que notificó por primera vez en agosto pasado. La empresa ha confirmado que ya ha informado a algunas de las marcas afectadas y que varias de ellas han implementado actualizaciones de seguridad. Esto ha sido confirmado también por marcas como Xiaomi, JBL, Logitech y OnePlus a Wired.
En un correo a Engadget, Google ha aconsejado a los usuarios revisar sus auriculares para asegurar que tienen las últimas actualizaciones de ‘firmware’. «Continuamente evaluamos y mejoramos la seguridad de Fast Pair y Find Hub», puntualizó la compañía.
Además, Google ha asegurado a ambos medios que no han detectado ningún ataque fuera de los laboratorios del equipo de investigación belga. Sin embargo, los investigadores han respondido que Google no puede saber si se han producido ataques en dispositivos que no sean suyos.
QUÉ HACER SI TU DISPOSITIVO ES VULNERABLE
El investigador de KU Leuven Seppe Wyns ha advertido que el sistema ‘Fast Pair’ no puede desactivarse, pero se puede optar por restablecer a la configuración de fábrica los dispositivos. «Puedes restablecer de fábrica tu dispositivo, lo que eliminará el acceso del atacante, quien deberá intentar el ataque nuevamente. Sin embargo, (‘Fast Pair’) está activado por defecto en todos los dispositivos compatibles», explicó.
Por otro lado, Google cuenta con la aplicación ‘Fast Pair Validator’, que asegura que el acceso a ‘Fast Pair’ se ha implementado correctamente. No obstante, los investigadores han señalado que todos los dispositivos que han analizado ya contaban con esta aplicación.
Estos últimos han indicado que el problema podría resolverse con un refuerzo criptográfico en los emparejamientos deseados por el propietario del dispositivo y bloqueando el acceso a un «propietario secundario» sin autenticación.
