COVIDSafe-CVE-2020-12856: Ein stilles Pairing-Problem in Bluetooth-basierten Kontaktverfolgungs-Apps

Autoren: Jim Mussared (George Robotics), Alwen Tiu (The Australian National University)

Es wurde eine Schwachstelle in der Android-Version der australischen COVIDSafe-Kontaktverfolgungs-App (v1.0.17 und früher) identifiziert, die mehrere andere Kontaktverfolgungs-Apps mit ähnlicher Architektur betreffen kann, wie z. B. Singapurs TraceTogether und Albertas ABTraceTogether. Dieses Problem wird unter der CVE-ID CVE-2020-12856 verfolgt. Diese Schwachstelle ermöglicht es einem Angreifer, sich still mit einem Android-Telefon zu koppeln, auf dem eine verwundbare Version der App läuft. Der Pairing-Prozess umfasst den Austausch dauerhafter Identifikatoren des Opfertelefons: die Identitätsadresse des Bluetooth-Geräts im Telefon und einen kryptografischen Schlüssel namens Identity Resolving Key (IRK). Jeder dieser Identifikatoren kann für die langfristige Verfolgung des Telefons verwendet werden.

Diese Schwachstelle wurde am 5. Mai 2020 an die DTA (die für die COVIDSafe-App verantwortlich ist) gemeldet und in COVIDSafe (Android) v1.0.18 behoben. Details zu unseren Erkenntnissen finden Sie hier.

Den Proof-of-Concept-Code finden Sie hier.

Ein früherer Entwurf (vom 18. Mai 2020), der an verschiedene Entwicklerteams gesendet wurde, ist hier. verfügbar. (Hinweis: Dieser frühere Entwurf enthält einen kleinen Tippfehler in der CVE-ID; er bezieht sich auf CVE-2020-12586 anstelle von CVE-2020-12856.)