گوگل و اینتل از وجود یک مشکل امنیتی در بلوتوث لینوکس خبر دادند
به‌تازگی گوگل و اینتل از وجود یک مشکل امنیتی در بلوتوث تقریبا تمام نسخه‌های کرنل لینوکس خبر داده‌اند که می‌تواند برای کاربران آن خطرناک باشد.
امنیت یکی از مهم‌ترین موارد برای کاربران دنیای فناوری است. با وجود اینکه تاکنون شرکت‌های مختلف تلا‌ش‌های زیادی برای حفظ امنیت کاربران کرده‌اند، همیشه مشکلاتی وجود دارند که پس از مدتی، حریم خصوصی افراد را دچار مشکل می‌کنند.
به گفته دو شرکت گوگل و اینتل، همه‌ی نسخه‌های کرنل لینوکس به غیر از جدیدترین آن‌ها، دارای یک مشکل امنیتی در بخش بلوتوث هستند. یکی از محققان گفته است این مشکل امکان اجرای یک کد یکپارچه را توسط افراد سودجو در محدوده بلوتوث فراهم می‌کند.
این نقص در بخش BlueZ یافت شده است؛ مجموعه نرم‌افزاری که به‌طور پیش‌فرض تمام پروتکل‌ها و لایه‌های اصلی بلوتوث را برای لینوکس پیاده‌سازی می‌کند. علاوه بر لپ‌تاپ‌های لینوکس، این قابلیت در بسیاری از وسایل مصرفی یا صنعتی مرتبط اینترنت اشیا مورد استفاده قرار می‌گیرد. درضمن BlueZ در نسخه Linux 2.4.6 به بعد پشتیبانی میشود.
یکی از مهندسان گوگل به‌نام اندی نگوین که این مشکل امنیتی را BleedingTooth نامیده، گفته است به‌زودی در وبلاگ خود بیشتر درباره‌ی آن توضیح خواهد داد. اکنون در یوتیوب و توییتر مطالبی وجود دارند که بیشترین اطلاعات را درباره این باگ به ما منتقل می‌کنند. بر اساس مطالب ذکرشده در محتواهای منتشرشده در فضای مجازی، مهاجمان برای سوء استفاده از نقص BlueZ باید در محدوده بلوتوث دستگاه مد نظر باشند. آن‌ها می‌توانند از این طریق کد مخرب را وارد دستگاه و اطلاعات مورد نیاز خود را استخراج کنند.
این محقق در یکی از پست‌های خود نوشت: مشکل امنیتی BleedingTooth درواقع مجموعه‌ای از آسیب‌پذیری‌ها مختلف است که در لایه‌های زیرین سیستم بلوتوث لینوکس وجود دارد و به مهاجم اجازه می‌دهد از راه دور و به‌صورت غیر مجاز، کد دلخواه خود را در دستگاه‌های آسیب‌پذیر اجرا کند.
نگوین می‌گوید کشف او از تحقیقات انجام‌شده در زمینه‌ی آسیب‌پذیری دیگری به‌نام BlueBorne الهام گرفته شده است. مشکل امنیتی BlueBorn به مهاجمان اجازه می‌داد بدون اینکه نیاز داشته باشند کاربر روی لینک خاصی کلیک یا فایلی را اجرا کند، به اطلاعات آن دسترسی داشته باشند. درواقع این هکرها تا زمانی که بلوتوث دستگاه روشن است می‌توانند بدون اطلاع کاربر به اطلاعات او دسترسی داشته باشند یا کارهای دیگری انجام دهند.
اینتل این باگ را در دسته‌ی مشکلات امنیتی مرتبط با افشای اطلاعات قرار داده است. این شرکت که یکی از مشارکت‌کنندگان اصلی پروژه‌ی منبع آزاد BlueZ است، تنها راه برای رفع این مشکل را استفاده از پچ‌های امنیتی کرنل لینوکس می‌داند. توسعه‌دهندگان اصلی BlueZ به‌سرعت جواب سؤال‌هایی که از آن‌ها اطلاعات بیشتری درباره این مشکل درخواست می‌کردند ندادند. اما به‌طور کلی، مشکلات امنیتی که به بلوتوث مرتبط هستند محدودیت‌هایی نیز دارند که در ادامه ذکر شده‌اند.
کاربران لینوکس نگران نباشند
اگر کمبود اطلاعات موجود را کنار بگذاریم، کاربران نباید زیاد از وجود چنین مشکل امنیتی نگران باشند. تقریبا مانند همه نقص‌های امنیتی مرتبط با بلوتوث، BleedingTooth باید به دستگاه آسیب‌پذیر نزدیک باشد. همچنین سوء استفاده از این مسئله به دانش بسیار تخصصی احتیاج دارد و این مشکل امنیتی فقط در بخش کوچکی از دستگاه‌های دارای بلوتوث در جهان کار می‌کند. همه‌ی این محدودیت‌های یادشده باعث می‌شوند تعداد افرادی که ممکن است از این طریق مورد حمله قرار بگیرند، به‌طور چشمگیری کاهش یابند.
در مواقع نادری که مهاجمان قصد دارند دستگاه‌های اطراف را با انگیزه مالی هدف قرار دهند، از روش‌های آزمایشی که تنها در بازه‌ی محدودی قابل دسترس است استفاده نمی‌کنند؛ بلکه سراغ راه‌های هک امتحان‌شده و واقعی می‌روند که به‌طور جهانی بارها مورد استفاده قرار گرفته‌اند. این بدان معنا است که باگ امنیتی یادشده نمی‌تواند زیاد توسط هکرها مورد استفاده قرار گیرد؛ زیرا آن‌ها از کارکرد آن به‌طور کامل مطمئن نیستند و اکنون روش‌های دیگری نیز برای به‌دست آوردن اطلاعات کاربران وجود دارد.
دن گویدو، متخصص امنیت موبایل و مدیرعامل شرکت امنیتی Trail of Bits، در این باره گفت: من واقعاً نگران اشکالاتی از این دست نیستم. خوشحالم که افرادی وجود دارند که آن‌ها را پیدا و برطرف می‌کنند، اما این مسائل من را زیاد نگران نمی‌کنند.
به‌طور کلی اگر مشکل امنیتی وجود داشته باشد که در دنیای واقعی آسیبی به کاربران نرساند، زیاد مورد توجه قرار نمی‌گیرد. اما مسئله‌ای که در این میان وجود دارد، انتشار به‌روزرسانی‌های امنیتی کم برای دستگاه‌های مرتبط با اینترنت اشیا است. این یعنی تقریبا همه آن‌ها در مقابل باگ‌های امنیتی BleedingTooth و BlueBorne آسیب‌پذیر هستند. تاکنون هیچ گزارشی درباره‌ی سوء استفاده از آسیب‌‌پذیری‌های یادشده منتشر نشده است.