התפוצה של מכשירים Bluetooth-enable אשר מעבדים עסקאות פיננסיות או לאחסן נתונים אישיים הפכה לחיובי דרישה לא נחוצה.מסופי תשלום ללא מגע ורכיבים חכמים לצגים רפואיים וארנקים דיגיטליים, כל פגיעה בתהליך הצמד יכולה לחשוף מידע רגיש לתירוטציה, tampering או מכשיר לוקח.

האיום על מכשירים פיננסיים Bluetooth-Enabled

חיבורי Bluetooth, הן קלאסיות והן אנרגיה נמוכה (BLE), רגישים למגוון התקפות שמכוונות לשילוב, הצפנה או שלבים אימותים.הבנת האיומים הללו חיונית לתכנון מערכות הגנה שהן גם חזקות ומעשיות.

⁇ ו- Passive Sniffing

התקפות עם sniffer Bluetooth יכולות ללכוד חילופי זוגות אם מפתחות הצפנה נגזרים ערכים אקראיים לא מספיק. Vulnerabilities כמו KNOB (ניהול המפתח של Bluetooth) התקפה אפשר תוקף כדי לכפות מפתח הצפנה קצר, בקלות רבה, קל מאוד שניתן למנוע במהלך הצמדה.

Man-in-the-Middle (MITM) Attacks

התקפות MITM מסוכנות במיוחד למכשירים פיננסיים. תוקף מאמת מסוף לגיטימי או מכשיר משתמש כדי ליירט או לשנות את נתוני העסקה.ההתקפה של ה-BIAS (המתקפה של Bluetooth) הוכיחה כיצד ⁇ יכול לזרז מכשיר להאמין שהוא מתקשר עם עמית מהימן בעבר, עקיפה אימות.

Blue Borne and Other Over-the-Air Exploits

Blue Borne היה סט של פרצות המאפשרות לתוקפים להשתלט על מכשיר ללא כל אינטראקציה של משתמשים, לעתים קרובות לפני הצמד אפילו התרחש.בעוד כתמים קיימים, רבים IoT ומכשירים פיננסיים מורשת נשארים ללא הפרעה. עיצוב פנסינג צריך להניח כי הערימה הבסיסית עשויה להיות פגמים לא ידועים ולכן להטיל אימות נוסף בשכבה היישום.

התקפות תנחומים וצד-Channel

מכשירים העוסקים בנתונים אישיים לעתים קרובות פועלים בסביבות לא בטוחות (למשל, נקודת קמעונאית של מכירה, קיוסקים בחוץ) תוקףים עשויים לטבול פיזית עם מכשיר כדי לחלץ מפתחות מאוחסנים או להזרקת קושחה זדונית. לכן יש צורך בשילוב עם הגנה ברמת חומרה כגון אלמנטים מאובטחים ומחסנים עמידים.

פרוטוקול אבטחה Core ל-Bluetooth Pairing

מפרט Bluetooth Core מציע מספר דגמים של הצמדות, כל אחד עם תכונות אבטחה שונות. בחירת המודל הנכון עבור מכשיר נתונים פיננסי או אישי הוא קו ההגנה הראשון.

Secure Simple Pairing (SSP) עבור Bluetooth Classic

(ב) הציגו ארבעה מודלים של איגוד: Just Works, השוואות נומריות, Passkey Entry ו-Out-of-Band (OOB) למקרים של שימוש רגיש, FLT:0 Workssual ResistanceFLT:1 יש להימנע משום שאין לו הגנה על MITM.FLT:2Nmericהשוואה בין ה-FLT 3: 7) דורשות להציג קוד 6 ספרותי למשתמש כדי לאשר את ה-FK.

Bluetooth Low Energy (BLE) Secure Connections

BLE 4.2 הציגה קישורים מאובטחים, אשר מחליפה את שיטת החלפת המורשת (LE Legacy) המבוססת על הצפנה AES-CCM. LE Secure Connections משתמשת באלפטי קרב דיפי-הלמן (ECDH) ואותן ארבעת דגמי ההתאגדות כמו SSP, אך עם הדור החזק יותר של ההשוואה הנורבגית ב- LE Secure Connections נגזרת מה-FIPS-3, אשר יש להפחית משמעותית את רמת האבטחה של קודמוגדר.

The Role of Bluetooth 5.x and Enhanced Attribute Protocol (EATT)

5.2 Bluetooth הציגה EATT, המאפשרת גדלים MTU גדולים יותר ושיפור באמצעותput אבל כולל גם שיפורים אבטחה כגון היכולת לאכוף הצפנה עבור ערוצי L2CAP ספציפיים. בעוד EATT לא משתנה ישירות הצמד, זה מספק מסגרת חזקה יותר עבור חילופי נתונים מאובטחים לאחר הצמד. מכשירים פיננסיים צריך להיות מתוכנן להשתמש מחסניות מודעות EATT שבו ניתן.

עיצוב זרמי Pairing עבור איכות הסביבה

אבטחה מקובלת אינה רק עניין של בחירות פרוטוקול, אלא גם של האופן שבו זרם הזוגיות ייושם ומוצף למשתמש.

Out-of-Band (OOB) Pairing with NFC ו- QR

עבור מכשירים פיננסיים, OOB תואמים הוא תקן הזהב.על ידי החלפת מידע באמצעות NFC או קוד QR ויזואלי, התוקף לא יכול בקלות לרוקן נתונים ללא קרבה פיזית. ערוץ OOB צריך להיות אותנטי על ידי המכשיר ספציפי (למשל, שבב NFC עם תשלום חתומי) וכולל לאנס כדי למנוע התקפות חוזרות, לדוגמה, קוד Bluetooth ו- Qh יכול למקדמים קוד אינטרנט ספציפי; סורק קוד משתמש אחר; קידוד קוד זה יכול למקדמים קוד משתמש.

Multi-Factor Authentication (MFA) ו- Biometrics

זוג Bluetooth יכול להיות משולב עם שכבות אימות נוספות. A מכשיר מטפל עסקאות בעלות ערך גבוה עשוי לדרוש למשתמש להיכנס PIN אשר מאומת על ערוץ נפרד (למשל, באמצעות החזר ענן מאובטח) לפני מפתחי Bluetooth מחויבים. לחלופין, תהליך הצירוף ניתן לשער על ידי אימות ביומטרי על הטלפון החכם של המשתמש (טביעה או פנים) כי פותח מפתח זמני בערימה שנייה מאובטחת, אפילו אם זה לא יכול להיות חסום על ידי אימות ביומטרי על ידי ערימה שנייה.

קיצור של Short-Range and Proximity Based Restrictions

יש לאפשר את השימוש רק כאשר המכשירים נמצאים במרחק קצר מאוד (למשל, מילימטר RSSI סף) זה מפחית את הסיכון של תוקף מרחוק המפגיש את מצב הצירוף.חלק מהיישומים משלבים את ה- BluetoothI עם NFC טווח זיהוי כדי להבטיח שהמשתמש נמצא פיזית.

Inhibit and Manual אישור

עבור מכשירים עם תצוגות, המחייב אישור למשתמש מפורש של הקוד הצירוף (השוואה אנמרנית) הוא לא ראוי להשגה.הקוד צריך להיות מוצג מספיק זמן עבור המשתמש כדי להשוות, ואת המשתמש חייב ללחוץ על כפתור פיזי כדי לאשר.קבלה אוטומטית אינה מקובלת עבור מכשירים פיננסיים.בנוסף, המכשיר לא צריך להיות מוצג באופן אוטומטי לאחר ניתוק ללא הסכמת משתמש טרי.

שיקולים קשיחים ותוכנות

האבטחה של תהליך הצירוף משתרעת מעבר לפרוטוקול עצמו.הניהול של מחזור החיים של המפתחות הקריפטוגרפיים הם קריטיים באותה מידה.

יסודות וסביבות הוצאה לאור

מפתחות ואישורים לטווח ארוך חייבים להיות מאוחסנים ברכיב מאובטח טמפר-resistant (SE) או סביבת הוצאה אמינה (TEE) זה מונע תוקף אשר מקבל גישה פיזית למכשיר ממיצוי המפתחות. מכשירים פיננסיים כיתה (למשל, לוחות PIN, תשלום NFC) בדרך כלל מטביעה עם Common EAL5 + הסמכה לא צריך להיות ישיר כבלה.

בטיחות ואינטגריטיות

תוקף אשר מחליף את קושחה המכשיר יכול להשבית את כל שרשרת ה-Gate מאובטח (למשל, UEFI Secure Boot או חתימה על מטעני ה-חול) להבטיח כי רק קושחה מוסמך צריך להיות חתום עם מפתח מוגן חומרה שניתן לעדכן רק באמצעות ערוצים אותנטיים.

Over-the-Air (טא) עדכון Mechanisms

אבטחה קפדנית חייבת להיות עדינה כדי להגיב לפגיעות חדשות שנגלו. ⁇ העדכונים צריך להיות מוצפן וחתום, ואת תהליך העדכון חייב לא למחוק מפתחות קיימים אלא אם כן מורשה במפורש על ידי המשתמש.לאחר עדכון, המכשיר צריך ליישב מחדש את כל הזוגות הקיימים; לדוגמה, על ידי דרישה של OOB קצר צעד חוזר לפני מתן עסקאות פיננסיות.

ניסיון המשתמש ואבטחה: מחיקת האיזון

תהליך של הצמד מאובטח כי הוא מדי מגושם יעודד משתמשים לעקוף אבטחה או לנטוש את המכשיר. מעצבי חייב לספק הוראות ברורות, צעד אחר צעד המסבירות מדוע כל צעד הוא הכרחי.

הצצה חזותית ו Haptic Feedback

השתמש נוריות, צלילים או רטטים כדי לציין את מצב הצירוף.לדוגמה, LED ירוק כאשר הצמדה הוא שלם LED אדום כאשר כישלון אימות מתרחש.זה עוזר למשתמשים להאמין כי התהליך הוא תקף.

מצבי טעויות ונפילה

אם OOB לא מצליח (למשל, NFC קורא שגיאה), המכשיר לא צריך ליפול באופן אוטומטי למודל חלש יותר כמו Just Works. במקום זאת, זה צריך להוביל את המשתמש כדי לנסות מחדש את שיטת ה-OOB או להציע אלטרנטיבה שעדיין מספקת הגנת MITM (למשל, השוואה נונארית אם שני המכשירים יש מסך) המערכת צריכה להיות כשלון, ולאחר מספר רב של פיגור, לאחר כמה נית, באופן זמני למנוע ניסיונות לנטרל כוח.

הנחיות למשתמש ואזהרות

במדריך המכשיר או על גבי זרימת הסטרימינג, הסבירו כי המשתמש חייב לאמת את משחק המספרים המוצגים, ולהזהיר אותם לעולם לא לאשר בקשה ממכשיר לא ידוע.עבור מכשירים פיננסיים, גם לייעץ כי המכשיר צריך להיות נשמר במיקום מאובטח וכי Bluetooth צריך להיות מוגבל כאשר לא בשימוש.הוראות אלה ניתן להעביר באמצעות כרטיס התייחסות מהיר או מדריך אינטראקטיבי על האפליקציה המלווה.

תקנים ותקנות

מכשירים פיננסיים ואישיים כפופים לתקנות שונות אשר מטילות דרישות אבטחה על הצמד Bluetooth.

PCI DSS עבור מכשירים בתשלום

תקן אבטחת המידע של תעשיית התשלום (PCI DSS) דורש כי שידורים אלחוטיים יהיו מוצפנים וכי המפתחות יישמרו בבטחה.עבור מסופי תשלום מברשות Bluetooth, הצמדות חייבות להשתמש ב- PTS (אבטחת עסקאות) שיטות שאושרו.נקודת האבטחה של PCI PIN (PTS) של אינטראקציה (POI) כוללת דרישות לאימות זוגי מאובטח.מפתחים צריכים להבטיח את יישום Bluetooth שלהם לעבור בדיקת הסמכה PTS.

PSD2 ו- Strong Customer Authentication (SCA)

ה-PSD2) קובע אימות לקוחות חזק עבור רוב התשלומים האלקטרוניים.כאשר זוג Bluetooth הוא חלק מזרימת יזום תשלום (למשל, ארנק נייד עם מסוף), את הזיקה עצמה צריך להיחשב חלק של שרשרת SCA. זה עשוי לדרוש שילוב רב-ספק בשילוב עם קישור דינמי לסכום מסוים של עסקה ותשלום.

GDPR וה-HIPAA עבור נתונים אישיים

מכשירים שנאספו או מעבירים נתונים אישיים חייבים לציית לחוקים של אבטחה ופרטיות של ה-HIPAA, אשר משמשים להצפין את נתוני בריאות נחשבים לנתונים אישיים, וחייבים להיות מנוהלים באמצעים ארגוניים וטכניים מתאימים.כוח ההצפנה (למשל, AES-256, ECC P-256) צריך לתעד, ואת הליך הזיעה צריך למזער את החשיפה של כל מידע מזהה (למשל, שם המכשיר או כתובת MAC).

תקנים של IETF ו-IETF

פרסום מיוחד 800-121 (Revision 2) מספק הדרכה על אבטחת Bluetooth.It ממליץ להשתמש ב-SSP עם השוואה נומרית או OOB לסביבות הדורשות הגנת MITM.בנוסף, EAP-TLS של IETF או EAP-PWD ניתן ליישם ברשתות Bluetooth עבור אימות ברמה ארגונית.

מעקב ותשובה

הצמד מאובטח אינו אירוע חד פעמי; ניטור רציף נדרש כדי לזהות שימוש לרעה או התקפות לאחר שזוגיות הוקמה.

עריכת ניסיונות

המכשיר צריך להזין כל ניסיון שני: פעמיםtamp, שיטה בשימוש, כתובת MAC של המכשיר המרוחק, הצלחה /failure, וכל שגיאות. יומני אלה צריך להיות מאוחסן באופן נספח בלבד להעביר מעת לעת למערכת אבטחה וניהול אירועים (SIEM) דפוסים לא-אוסטיים, כגון מספר ניסיונות זוג כושלים מכתובות שונות, יכול להצביע על התקפה גסה.

ייעוד מפתח דינמי

אם מכשיר חשוד להיות נפגע, המשתמש או מערכת backend צריך להיות מסוגל לשלול מרחוק את כל מפתחי Bluetooth.זה דורש כי המכשיר שומר רשימה של זוגות בתוקף שניתן לנקות ללא גישה פיזית. הפקודה revocation חייב להיות אותנטי ומוצפן, בדרך כלל באמצעות תעודה מראש מראש או שירות ענן.

המונחים: re-authentication

עבור חיבורים ארוכים בין מכשירים פיננסיים, תיקון תקופתי (למשל, כל שעה או אחרי מספר מסוים של עסקאות) יכול להפחית את חלון החשיפה.זה יכול להיות מיושם כפרוטוקול תגובה מאתגר קל על הערוץ המוצפן.

מסקנה

עיצוב חיבור Bluetooth מאובטח למכשירים העוסקים בנתונים פיננסיים ואישיים דורש גישה רב שכבתית.הבסיס חייב להיות בנוי על פרוטוקולים קריפטוגרפיים חזקים -SSP עם OOB או נומריק להשוואה עבור Bluetooth קלאסי, וקישורים מאובטחים עבור BLE.Harware אמצעי הגנה כמו אלמנטים מאובטחים ומאובטחים יותר ויותר הגנה על המפתחות, בעוד עיצוב ממוקד המשתמש מבטיח כי אמצעי אבטחה הם ללא מפתחים גם חייב להחליף את דרישות אבטחה מתקדמות באמצעות הפעלתן ופעולות אבטחה מתקדמות באמצעות פעולות אבטחה ואבטחה.