Bluetoothワイヤレス技術の背後にある組織は、デバイ

BLURtoothという名前の、これはCross-Transport Key Derivation(CTKD)という名前のBluetooth標準のコンポーネントの脆弱性です。

このコンポーネントは、二つのBluetooth対応デバイスをペアリングするときに認証キーをネゴシエートし、設定するために使用されます。このコンポーネントは、Bluetooth Low Energy（BLE）規格とBasic Rate/Enhanced Data Rate（BR/EDR）規格の両方に2つの異なる認証キーセットを設定することによって機能します。CTKDの役割は、キーを準備し、ペアリングされたデバイスが使用するBluetooth標準のバージョンを決定できるようにすることです。

CTKDの役割は、キーを準備し、ペアリング これは、主な用途は、Bluetoothの”デュアルモード”機能のためのものです。

BLURtooth攻撃はキーの上書きにつながります

しかし、Bluetooth Special Interest Group(SIG)とカーネギーメロン大学のCERTコーディネーションセンター(CERT/CC)によって本日公開されたセキュリテ

BLURtooth攻撃の一部のバージョンでは、認証キーは完全に上書きされ、他の認証キーでは弱い暗号化を使用するようにダウングレードされる可能性があります。

Bluetooth規格4.2から5.0を使用しているすべてのデバイスが脆弱です。 Bluetooth5.1規格には、起動してBLURtooth攻撃を防ぐことができる機能が付属しています。

Bluetooth SIGの関係者は、BluetoothデバイスのベンダーにBLURtooth攻撃と5.1標準を使用するときの影響をどのように軽減できるかについて通知し始めたと言います。

パッチ。.. うーむ…。.. 準備ができています。.. 彼らは準備ができているとき

パッチは、執筆時点ですぐに利用できません。 BLURtooth攻撃から保護する唯一の方法は、Bluetoothデバイスがペアリングされている環境を制御して、man-in-the-middle攻撃、またはソーシャルエンジニアリング（人間のオペレータをだまし）を介して行われる不正なデバイスとのペアリングを防止することです。

しかし、パッチはある時点で利用可能であることが期待されています。 彼らがなるとき、彼らは最も可能性の高いBluetooth対応デバイスのファームウェアやオペレーティングシステムの更新として統合されます。

これらの更新のタイムラインは、デバイスベンダーとOSメーカーが通常異なるタイムラインで作業し、一部は他のものと同じようにセキュリティパッチ 脆弱なデバイスの数も不明であり、定量化することは困難です。

ユーザーは、BLURtoothの脆弱性のバグ識別子であるcve-2020-15802のファームウェアとOSリリースノートを確認することにより、デバイスがBLURtooth攻撃のパッチを受信したかどうかを追跡することができます。Bluetooth SIGによると、BLURtooth攻撃は、École Polytechnique Fédérale de Lausanne（EPFL）とPurdue大学の二つの学者グループによって独立して発見されました。