BluetoothのHID、SPPについての話とBlueBorneの話です

1. Bluetoothのあれこれ
仕組みとセキュリティ

2. 目次
● はじめに
○ HID
○ SPP
● Bluetoothのセキュリティ体制
● BlueBorneについて
○ 技術的詳細

3. はじめに
● 基礎から分かる「Bluetooth」のまとめ
https://scrapbox.io/bigdrea6/借りた本のまとめ
● HIDとSPPについて
○ HID(ヒューマンインターフェース )
○ SPP(シリアルポートプロファイル )
○ どちらも通信規格の種類 (プロファイル)を示してる
● プロトコルとプロファイル
○ プロファイルはどのプロトコルを使うか、どのように利用するかの手順を示したもの
○ プロトコルはデータ・パケット構造のフォーマットを決めている
○ 今回、プロトコルはBluetoothプロトコルを指しプロファイルは HID・SPPを指している

4. HID
人間が操作して使うもの(マウス、キーボード)に使われるプロファイル
Report ID(1 byte) + Data(63 bytes) = 64 bytes
Report ID : よく分からない
Data : 余ったら0で埋める

5. SPP
シリアルポートのようにBluetoothを使ってデータ送受信を行う
DUN、FAX、HSP、LANなどに使用される
音声データと命令データは通る場所が違う(周波数的に？)

6. Bluetoothのセキュリティ体制
● 周波数ホッピング
○ ランダムに使うチャンネル (周波数)を変える
○ 機器相互しかどのチャンネルを使ってる分からない
● ペアリング(鍵生成)
○ 通信が確定した機器以外と通信を行わない
● データの保護
○ ペイロード = ペイロード + MIC(32bit)
○ MICでメッセージの偽造を防ぐ

7. BlueBorne
● 簡単な脆弱性の内容
ペアリング無しで機器に接続できてしまう
● 何が問題か
無線通信してるだけで乗っ取られる
対象はBluetoothが使える端末となること
● 何故出来たのか
SDP、L2CAPの実装に問題があった
● 現状
多分、大丈夫

8. 技術的詳細(1/3)
デモ : https://www.youtube.com/watch?v=Az-l90RCns8&t=35s
● CVE-2017-0785
SDPにある脆弱性。SDPとは機器を探したり、機器に保有している機能を問い合わせを
するプロトコル
このプロトコルの設計ミスでメモリリークができてしまい、暗号化キーなどがもれてしまう
まず、これでASLR保護を無くす

9. 技術的詳細(2/3)
● CVE-2017-0781
BNEPにある脆弱性。BNEPはEthernetフレームを送るためのプロトコル
悪意のあるコードが実行できてしまう。
前段の攻撃でメモリの破壊が簡単にできてしまう
このメモリの破壊は、システム・ユーザーに通知されないので気付かれない
● CVE-2017-0782
CVE-2017-0781と同じ。
PANにある脆弱性。

10. 技術的詳細(3/3)
● CVE-2017-0783
中間者攻撃ができる脆弱性。
盗聴する機器はBluetooth搭載の機器であればよい。
上図のような攻撃をすることで、通信・送受信を制御することができる
あくまでAndroid端末の場合のCVEと攻撃方法。
この脆弱性のキモはBluetooth搭載端末全てが攻撃対象であること。
https://www.armis.com/research/blueborne/

11. 参考資料
● HIDの仕様
https://patents.google.com/patent/JP2004213430A/ja
● BlueBorne
https://www.armis.com/research/blueborne/
https://www.anquanke.com/post/id/202575
https://www.anquanke.com/post/id/86949
● 他の攻撃
https://www.lrm.jp/security_magazine/bluetooth/