อุปกรณ์บลูทูธหลายล้านเครื่องได้รับผลกระทบจากช่องโหว่ของ SWEYNTOOTH

กลุ่มของช่องโหว่ที่พบในชุดพัฒนา Bluetooth Low Energy (BLE) (SDK) ที่หลากหลายของ system-on-a-chip (SoC) ที่สำคัญเจ็ดตัว ส่งผลกระทบต่ออุปกรณ์นับล้านทั่วโลก นับตั้งแต่ตัวติดตามบลูทูธแบบที่ใช้ทั่วไป รวมไปถึงอุปกรณ์ทางการแพทย์

BLE เป็นโปรโตคอลการสื่อสารที่ออกแบบมาเพื่อประหยัดพลังงาน โดยมีข้อจำกัดที่พบได้ทั่วไปก็คือ ไม่สามารถส่งข้อมูลออกไปได้มากนัก โดยทฤษฎีแล้ว BLE เป็นการเชื่อมต่อที่ปลอดภัย แต่นั่นไม่ได้หมายความว่ามันจะไม่มีช่องโหว่

SWEYNTOOTH เป็นชุดคำสั่งของช่องโหว่ที่ปรากฎออกมา โดยทำงานผ่าน SDK จากผู้ค้ารายใหญ่ทั้งหมดจากอุปกรณ์ที่ออกมาอย่างเป็นทางการ เช่น Texas Instruments, NXP, Cypress, Dialog Semiconductors, Microchip, STMicroelectronics และ Telink Semiconductor นักวิจัยจากมหาวิทยาลัยเทคโนโลยีและการออกแบบ จากประเทศสิงคโปร์ ได้อธิบายว่า รายชื่อผู้ขายนี้ไม่สมบูรณ์ และผู้ค้ารายอื่น ๆ ก็อาจได้รับผลกระทบเช่นกัน

“ในระหว่างการค้นพบของเรา เราได้ติดตามการเปิดเผยข้อมูลที่เราได้รับผิดชอบต่าง ๆ ซึ่งทำให้ผู้ขาย SoC เกือบทั้งหมดนั้น สามารถเผยแพร่แพตช์ตามลำดับต่อผู้ใช้งานทั่วไปได้แล้ว” นักวิจัยกล่าว “อย่างไรก็ตามผลิตภัณฑ์ IoT จำนวนมากที่ใช้ SoCs ที่ได้รับผลกระทบสำหรับการเชื่อมต่อ BLE จะยังคงต้องได้รับแพตช์จากผู้จำหน่ายตามลำดับ ตราบใดที่กลไกการอัพเดตของเฟิร์มแวร์ ได้รับการสนับสนุนจากผู้ขายนั้น ๆ

ปัญหาความปลอดภัยที่อาจเกิดขึ้น สามารถแบ่งออกเป็นสามประเภทขึ้นอยู่กับผลของการใช้ประโยชน์ ช่องโหว่สามารถทำให้เกิดความผิดพลาดได้ โดยการเปิดใช้งานข้อผิดพลาดนั้น อาจจะทำให้เกิดการหยุดชะงักของระบบ ที่ส่งผลต่อความพร้อมใช้งานของการเชื่อมต่อ BLE โดยไม่ทำให้เกิดความผิดพลาดอย่างรุนแรง หรือความเสียหายของหน่วยความจำต่าง ๆ

การบายพาสการตั้งค่าความปลอดภัย เป็นสิ่งที่อันตรายที่สุด เนื่องจากจะทำให้ผู้โจมตีสามารถโจมตีในช่วงความถี่ของคลื่นวิทยุในการสื่อสารแบบบลูทูธ การหลีกเลี่ยงโหมดการจับคู่ที่ปลอดภัยของ BLE ล่าสุด ซึ่งจะอนุญาตให้พวกเขาเข้าถึงการอ่าน หรือเขียนอุปกรณ์โดยพลการ

งานวิจัยที่ตีพิมพ์ดูที่ห้าอุปกรณ์รวมถึง Fitbit Inspire, Eve Energy, August Smart Lock, CubiTag และ eGeeTouch และพบว่าอุปกรณ์ทั้งหมด ล้วนได้รับผลกระทบจาก SWEYNTOOTH ในระดับต่าง ๆ โดยความยากของการตรวจพบช่องโหว่นั้น ขึ้นอยู่กับการใช้งานซอฟต์แวร์ของแต่ละอุปกรณ์

สำหรับสาขาการแพทย์ อุปกรณ์ที่มีช่องโหว่รวมถึงเครื่องวัดระดับน้ำตาลในเลือด เครื่องช่วยหายใจ และแม้แต่เครื่องกระตุ้นการเต้นของหัวใจก็ตาม

ในขณะที่ผู้ค้าหลายรายได้ทำการแก้ไขปัญหา ก่อนที่ช่องโหว่จะเผยแพร่สู่สาธารณะ แต่บริษัทบางแห่งยังไม่ได้ออกโปรแกรมแก้ไข้อุปกร์ณของพวกเขาเมื่อได้ทำการเปิดเผย