ENGINEERINGNET.BE - ‘Mensen downloaden soms even snel een nieuwe applicatie als ze iets nodig hebben, bijvoorbeeld een app die een geluidsfragment kan opnemen, of dat mooi de statistieken toont van je activity tracker,’ aldus onderzoeker Fadi Mohsen van de Rijksuniversiteit Groningen.
'Maar als je eenmaal toestemming hebt verleend aan de app van de fabrikant van je Bluetooth-apparaat om verbinding te maken, kunnen al deze apps dat ook.'
Iemand die data van die Bluetooth-apparaten wil stelen, hoeft dus alleen maar een aantrekkelijke app te ontwikkelen, en kan vervolgens allerlei informatie uitlezen.
Bijvoorbeeld uit het systeem van je auto, die activity tracker of misschien een insulinepomp of gehoorapparaten. Denk aan locatiegegevens, audio, videobeelden of medische data.
Mohsen doet onderzoek naar zulke aanvallen op Android, omdat dit besturingssysteem veel gebruikers heeft en omdat het voor de onderzoekers vrij makkelijk is om een eigen applicatie in de Play Store te krijgen.
Veel van dit werk bestaat uit ethisch hacken: kwaadaardige apps ontwikkelen die aantonen waar de zwakke plekken in het systeem zitten. Zo ontwikkelde een student van hem een app die persoonsgegevens van de fitness tracker van een slachtoffer kan stelen en daarna in realtime online kan streamen.
Mohsen: 'De student wist meldingen te omzeilen die normaal getoond worden wanneer een app Bluetooth gebruikt, en de aanval was zo geoptimaliseerd dat er na afloop geen sporen meer in het geheugen of de verwerking achter bleef.'
‘Onlangs hebben we zo’n 28.000 Android apps geanalyseerd die gebruik leken te maken van Bluetooth Low Energy,’ zegt Mohsen, ‘We ontdekten dat veel daarvan de aanbevelingen voor veiliger software niet volgen, zeker niet wanneer het gaat om het wegschrijven van data. Het blijft altijd een trade-off tussen gebruikersvriendelijkheid en veiligheid.’
Mohsen ontwikkelde onlangs ook een generieke app die op de telefoon van een gebruiker zoveel mogelijk informatie probeerde te oogsten uit allerlei Bluetooth-apparaten.
Hieruit bleek dat met een bijeengeschraapte berg data in generatieve AI, zoals ChatGPT, het ook nog mogelijk is een profiel van iemand op te stellen dat bruikbaar is voor derden.
