Revelan cómo extraer contraseñas Wi-Fi de millones de dispositivos

Investigadores de la Universidad de Darmstadt, Brescia, el CNIT y el Secure Mobile Networking Lab han publicado un artículo revelador. Este artículo demuestra que es posible extraer contraseñas y manipular el tráfico en un chip Wi-Fi apuntando al componente Bluetooth de un dispositivo.

Los dispositivos electrónicos de consumo modernos, como los teléfonos inteligentes, cuentan con SoCs con componentes separados de Bluetooth, WiFi y LTE. Cada uno de estos cuenta con su propia implementación de seguridad dedicada.

Sin embargo, estos componentes suelen compartir los mismos recursos, como la antena o el espectro inalámbrico.

Este intercambio de recursos tiene como objetivo hacer que los SoCs sean más eficientes energéticamente y darles un mayor rendimiento y baja latencia en las comunicaciones.

Como detallan los investigadores en el artículo publicado recientemente, es posible utilizar estos recursos compartidos como puentes. Es decir, los pueden utilizar para lanzar ataques de escalada de privilegios laterales a través de los límites de los chips inalámbricos.

Las implicaciones de estos ataques incluyen ejecución de código, lectura de memoria y denegación de servicio.

Múltiples vulnerabilidades  en la arquitectura y el protocolo.

Para explotar estas vulnerabilidades, los investigadores primero necesitaron activar la ejecución de código en el chip Bluetooth o WiFi. Si bien esto no es muy común, en el pasado se han descubierto vulnerabilidades de ejecución remota de código que afectan a Bluetooth y WiFi  .

Una vez que los investigadores lograron la ejecución del código en un chip, pudieron realizar ataques laterales en los otros chips del dispositivo utilizando recursos de memoria compartida.

En su artículo, los investigadores explicaron cómo podrían realizar la denegación de servicio OTA (Over-the-Air) y la ejecución de código. Asimismo, mostraron como extraer contraseñas de red y leer datos confidenciales en conjuntos de chips de Broadcom, Cypress y Silicon Labs.

A estas vulnerabilidades se les asignaron las siguientes CVEs:

• CVE-2020-10368: fuga de datos no cifrados de WiFi (arquitectura)
• CVE-2020-10367: ejecución de código Wi-Fi (arquitectura)
• CVE- 2019-15063: denegación de servicio de Wi-Fi (protocolo)
• CVE-2020-10370: Denegación de servicio de Bluetooth (protocolo)
• CVE-2020-10369: fuga de datos de Bluetooth (protocolo)
• CVE-2020-29531: denegación de servicio WiFi (protocolo)
• CVE-2020-29533: fuga de datos WiFi (protocolo)
• CVE-2020-29532: Denegación de servicio de Bluetooth (protocolo)
• CVE-2020-29530: fuga de datos de Bluetooth (protocolo)

Algunas de las vulnerabilidades anteriores solo se pueden solucionar mediante una nueva revisión de hardware. Por lo tanto, las actualizaciones de firmware no pueden corregir todos los problemas de seguridad identificados.

Por ejemplo, las vulnerabilidades que dependen del uso compartido de la memoria física no se pueden solucionar con actualizaciones de seguridad de ningún tipo.

En otros casos, la mitigación de los problemas de seguridad, como la sincronización de los paquetes y las fallas de metadatos, provocaría graves caídas en el rendimiento de la coordinación de paquetes.

Impacto

Los investigadores revisaron chips fabricados por Broadcom, Silicon Labs y Cypress, que se encuentran dentro de miles de millones de dispositivos electrónicos.

Todas las vulnerabilidades fueron reportadas de forma responsable a los proveedores de chips y algunos han publicado actualizaciones de seguridad siempre que ha sido posible. 

Muchos, sin embargo, no han abordado los problemas de seguridad, ya sea porque ya no son compatibles con los productos afectados o porque un parche de firmware es prácticamente inviable.

En noviembre de 2021, más de dos años después de informar de la primera vulnerabilidad de coexistencia, los ataques de coexistencia, incluida la ejecución de código, aún funcionan en chips Broadcom actualizados. Una vez más, esto destaca lo difíciles que son estos problemas de solucionar en la práctica.

Cypress lanzó algunas correcciones en junio de 2020 y actualizó el estado en octubre de la siguiente manera:

• Afirman que la función de RAM compartida que provoca la ejecución de código solo ha sido “habilitada por herramientas de desarrollo para probar plataformas de teléfonos móviles”. Planean eliminar el soporte para esta característica en el futuro.
• La fuga de información sobre las pulsaciones de teclas se ha resuelto sin un parche porque “los paquetes de teclado se pueden identificar a través de otros medios”.
• La resistencia al DoS aún no se ha resuelto, pero está en desarrollo. Para ello, “Cypress planea implementar una función de monitorización en los conjuntos de WiFi y Bluetooth para permitir una respuesta del sistema a patrones de tráfico anormales”.
• Sin embargo, según los investigadores, solucionar los problemas identificados ha sido lento e inadecuado. Y, el aspecto más peligroso del ataque sigue sin resolverse en gran medida. 

Soluciones

Sin embargo, según los investigadores, solucionar los problemas identificados ha sido lento e inadecuado, y el aspecto más peligroso del ataque sigue sin resolverse en gran medida.

“Los ataques por aire a través del chip Bluetooth no se mitigan con los parches actuales. Solo se fortalece la interfaz daemon Bluetooth→chip Bluetooth, no la interfaz RAM compartida que permite la ejecución del código del chip Bluetooth→chip WiFi. Es importante tener en cuenta que la interfaz daemon→chip nunca fue diseñada para ser segura contra ataques “. – Documento técnico .

“Por ejemplo, el parche inicial podría omitirse con un desbordamiento de la interfaz UART (CVE-2021-22492) en el firmware del chip hasta un parche reciente, que al menos fue aplicado por Samsung en enero de 2021. Además, mientras escribíamos en la RAM de Bluetooth a través de esta interfaz se ha desactivado en dispositivos iOS. No obstante, el iPhone 7 con iOS 14.3 aún permite que otro comando ejecute direcciones arbitrarias en la RAM”.

Hasta el cierre de esta nota ninguno de los proveedores afectados ha emitido comentarios, 

Mientras tanto, y mientras estos problemas relacionados con el hardware permanezcan sin parchear, recomendamos a los usuarios seguir estas sencillas medidas de protección: 

• Eliminar los emparejamientos de dispositivos Bluetooth innecesarios,
• Eliminar las redes WiFi no utilizadas de la configuración
• Usar el celular en lugar de WiFi en espacios públicos.

Como nota final, diríamos que las soluciones de parches favorecen los modelos de dispositivos más recientes. Por lo tanto, actualizar a un dispositivo más nuevo que el proveedor admita activamente es siempre una buena idea desde la perspectiva de la seguridad.