Google’ın Android ekosisteminde hızlı eşleştirme kolaylığı sunan Fast Pair protokolünde tespit edilen bir güvenlik açığı, aralarında popüler markaların da bulunduğu 17 farklı kulaklık ve hoparlör modelini etkiliyor. Wired tarafından paylaşılan habere göre, söz konusu açık kötü niyetli kişilerin Bluetooth menzili içindeki cihazlara izinsiz şekilde bağlanmasına ve mikrofon erişimi elde etmesine olanak tanıyabiliyor. Güvenlik açığı, Google Fast Pair protokolünün bazı üreticiler tarafından hatalı biçimde uygulanmasından kaynaklanıyor.
Belçika’daki KU Leuven Üniversitesi Bilgisayar Güvenliği ve Endüstriyel Kriptografi grubundan araştırmacılar tarafından keşfedilen bu açık, “WhisperPair” adıyla tanımlanıyor. Araştırmacılar, saldırganın yalnızca cihazın model numarasına ve birkaç saniyelik bir süreye ihtiyaç duyduğunu belirtiyor. Buna göre Bluetooth kapsama alanı içinde bulunan bir saldırgan, kulaklık ya da hoparlöre yetkisiz biçimde bağlanabiliyor.
Google Fast Pair sistemini etkileyen açık nasıl işliyor?
Araştırma ekibinden Sayon Duttagupta’nın aktardığına göre, kullanıcı sokakta müzik dinlerken dahi cihaz ele geçirilebiliyor. Bu senaryoda saldırgan mikrofonu uzaktan etkinleştirerek ortam seslerini dinleyebiliyor, cihaza ses enjekte edebiliyor ve konum takibi gerçekleştirebiliyor. Oysa Fast Pair sisteminin yalnızca eşleştirme modundaki cihazlara yeni bağlantılara izin vermesi gerekiyor. Ne var ki bazı donanım üreticilerinin bu süreci doğru şekilde uygulamaması, açığın ortaya çıkmasına yol açıyor.
Google, güvenlik araştırmacılarının durumu Ağustos ayında bildirdiğini ve o tarihten bu yana konuyla ilgili çalışmalar yürütüldüğünü doğruluyor. Şirket tarafından Engadget’a yapılan açıklamada, açığın Fast Pair protokolünden ziyade bazı iş ortaklarının uygulama hatalarından kaynaklandığı ifade ediliyor. Buna rağmen Google, güvenlik açığının laboratuvar ortamı dışında kötüye kullanıldığına dair bir bulguya rastlanmadığını da ekliyor.
Araştırmacılar, riskin yalnızca Android kullanıcılarıyla sınırlı olmadığını vurguluyor. Eğer bir ses aksesuarı daha önce herhangi bir Google hesabıyla eşleştirilmediyse, saldırgan WhisperPair aracılığıyla cihazı kendi hesabına bağlayabiliyor. Bu durum, Google’ın Find Hub hizmeti üzerinden cihazın ve dolayısıyla kullanıcının konumunun izlenebilmesine imkân tanıyor. Google, bu senaryo için Find Hub tarafında bir düzeltme yayımladığını söylese de araştırmacılar kısa süre içinde yeni bir geçiş yolu tespit ettiklerini aktarıyor.
Etkilenen 17 cihaz, Google Fast Pair sertifikasına sahip 10 farklı markaya ait. Bu markalar arasında Sony, Jabra, JBL, Marshall, Xiaomi, Nothing, OnePlus, Soundcore, Logitech ve Google yer alıyor. Google, Pixel Buds modellerinin güncellemelerle koruma altına alındığını belirtiyor. Öte yandan OnePlus, konuyu incelediğini ve kullanıcı güvenliğini sağlamak için gerekli adımların atılacağını açıklıyor.
Araştırmacılar, kullanıcıların kulaklık ve hoparlörlerini düzenli olarak güncellemesini öneriyor. Buna rağmen birçok kullanıcının üretici uygulamalarını yüklemediği ve bu nedenle güvenlik yamalarından haberdar olmadığına dikkat çekiliyor. Bu durum, Bluetooth tabanlı ses cihazlarında yazılım güncellemelerinin önemini bir kez daha gündeme getiriyor.
