Publié le 16 janvier 2024. Des chercheurs en sécurité ont mis en évidence des failles préoccupantes dans le protocole d’appairage rapide Bluetooth de Google, ouvrant la porte à des attaques potentielles sur les appareils connectés. Ces vulnérabilités, baptisées “WhisperPair”, pourraient permettre à des tiers non autorisés de se connecter à vos accessoires audio sans votre consentement.
- Google propose une application de validation pour certifier la conformité de ses produits Fast Pair, mais des tests révèlent que cette certification ne garantit pas une sécurité à toute épreuve.
- Les vulnérabilités WhisperPair pourraient provenir d’erreurs de mise en œuvre chez les fabricants d’appareils ou de puces Bluetooth.
- Une simple modification du protocole Fast Pair, en renforçant l’authentification, pourrait résoudre le problème de fond.
Le protocole Fast Pair de Google, conçu pour simplifier l’appairage des accessoires Bluetooth, présente des failles de sécurité inattendues. Des chercheurs de l’université KU Leuven ont découvert que des attaquants pouvaient exploiter ces vulnérabilités pour se connecter à des écouteurs, des haut-parleurs ou d’autres appareils compatibles sans l’autorisation du propriétaire. Ils ont identifié des failles dans la manière dont Fast Pair gère l’appairage et l’authentification.
Google affirme que l’application de validation Fast Pair, disponible sur le Play Store, est principalement un outil d’aide pour les fabricants afin de tester les fonctionnalités de base. Elle permet de vérifier si l’implémentation de Fast Pair est correcte sur un appareil Bluetooth et génère des rapports de succès ou d’échec. Cependant, les chercheurs soulignent que tous les appareils testés avaient reçu une certification Google, malgré la présence de défauts de sécurité. Suite à ces découvertes, Google a déclaré avoir ajouté de nouveaux tests de mise en œuvre spécifiques.
La responsabilité de ces vulnérabilités reste floue. Les chercheurs indiquent qu’il est difficile de déterminer si les problèmes proviennent des fabricants d’appareils eux-mêmes ou des fabricants de puces Bluetooth. Contactés par Wired, les principaux fabricants de puces (Actions, Airoha, Bestechnic, MediaTek, Qualcomm et Realtek) n’ont pas répondu. Xiaomi, en revanche, a reconnu qu’un problème de configuration non standard de la part de ses fournisseurs de puces était en cause. Airoha est le fabricant de la puce utilisée dans les Redmi Buds 5 Pro, un des appareils identifiés comme vulnérable.
Pour corriger ces failles, les chercheurs proposent une solution simple : Fast Pair devrait exiger une authentification cryptographique pour valider l’appairage initié par le propriétaire de l’accessoire, empêchant ainsi un tiers malveillant de se connecter sans autorisation. Google et de nombreux fabricants d’appareils ont déjà préparé des mises à jour logicielles pour corriger les vulnérabilités spécifiques, mais leur déploiement risque d’être inégal, comme c’est souvent le cas en matière de sécurité des objets connectés.
Les utilisateurs sont donc invités à mettre à jour leurs accessoires vulnérables. Les chercheurs ont mis en ligne un site web répertoriant les appareils affectés par WhisperPair. Ils recommandent également de considérer cette affaire comme un rappel général de l’importance de maintenir à jour tous ses appareils connectés.
« Oui, nous voulons nous simplifier la vie et permettre à nos appareils de fonctionner de manière plus fluide. La commodité ne signifie pas immédiatement moins de sécurité. Mais dans la recherche de la commodité, nous ne devons pas négliger la sécurité. »
Antonijević, chercheur
Selon les chercheurs, cette affaire souligne la nécessité pour les fabricants de donner la priorité à la sécurité lors de l’ajout de fonctionnalités conviviales. Le protocole Bluetooth lui-même n’est pas à l’origine de ces vulnérabilités, mais plutôt le protocole simplifié mis en place par Google pour faciliter l’appairage.