WhisperPair ist eine Familie praktischer Angriffe, die eine Schwachstelle in der Fast-Pair-Implementierung bei Flaggschiff-Audiozubehör ausnutzt. Die Ergebnisse zeigen, wie ein kleiner Usability-„Add-on" große Sicherheits- und Datenschutzrisiken für Hunderte Millionen Benutzer einführen kann.

📖 Die vollständige Forschungsarbeit und Details finden Sie unter whisperpair.eu

🔴 Angriffsszenarien

1. Hijacking von Fast-Pair-Zubehör

WhisperPair ermöglicht es Angreifern, ein anfälliges Fast-Pair-Zubehör (z. B. kabellose Kopfhörer oder Ohrhörer) ohne Zustimmung des Benutzers zwangsweise mit einem vom Angreifer kontrollierten Gerät zu koppeln. Dies gibt einem Angreifer die vollständige Kontrolle über das Zubehör und ermöglicht ihm:

• 🔊 Audio mit hoher Lautstärke abzuspielen
• 🎤 Gespräche über das Mikrofon aufzuzeichnen
• 🔒 Den legitimen Benutzer von der Verbindung auszuschließen

Angriffsleistung:

• ⏱️ Mittlere Zeit: 10 Sekunden
• 📏 Getestete Reichweite: Bis zu 14 Meter
• 🚫 Kein physischer Zugriff erforderlich

2. Verfolgung von Opfern über das Find Hub Netzwerk

Einige Geräte unterstützen auch das Google-Find-Hub-Netzwerk, das es Benutzern ermöglicht, verlorenes Zubehör mithilfe von Crowdsourcing-Standortberichten anderer Android-Geräte zu finden. Wenn ein Zubehör jedoch nie mit einem Android-Gerät gekoppelt wurde, kann ein Angreifer das Zubehör zu seinem eigenen Google-Konto hinzufügen und so den Benutzer über das kompromittierte Zubehör verfolgen.

Das Opfer erhält möglicherweise nach einigen Stunden oder Tagen eine unerwünschte Tracking-Benachrichtigung, aber diese Benachrichtigung zeigt das eigene Gerät an. Dies könnte Benutzer dazu veranlassen, die Warnung als Fehler abzutun, sodass ein Angreifer das Opfer über einen längeren Zeitraum verfolgen kann.

🔬 Technische Details

Die Schwachstelle (CVE-2025-36911)

Der Fehler liegt darin begründet, dass viele Zubehörteile einen kritischen Schritt im Kopplungsprozess nicht durchsetzen.

Um die Fast-Pair-Prozedur zu starten, sendet ein Seeker (ein Telefon) eine Key-Based Pairing (KBP)-Nachricht an den Provider (ein Zubehör), um den Kopplungswunsch anzuzeigen. Gemäß der Fast-Pair-Spezifikation:

„Wenn das Zubehör nicht im Kopplungsmodus ist, sollte es solche Nachrichten ignorieren."

In der Praxis erzwingen jedoch viele Geräte diese Überprüfung nicht, sodass nicht autorisierte Geräte den Kopplungsprozess starten können. Nach Erhalt einer Antwort vom anfälligen Gerät kann ein Angreifer die Fast-Pair-Prozedur abschließen, indem er eine normale Bluetooth-Kopplung herstellt.

Key-Based Pairing Protokoll

KBP-Anfrageformat

Ein gepatchtes Gerät überprüft, ob der Salt ordnungsgemäß mit einem ECDH-abgeleiteten gemeinsamen Geheimnis verschlüsselt ist. Ein anfälliges Gerät akzeptiert jede 16-Byte-Nutzdaten ohne Validierung.

Find Hub Tracking Angriff

Dieser Angriff nutzt aus, dass Nicht-Android-Geräte die Fast-Pair-Prozedur nicht durchführen, wenn sie eine Verbindung zu einem Zubehör herstellen. Android-Geräte schreiben nach Abschluss der Kopplung einen Account Key in das Zubehör. Dieser Schlüssel etabliert das Eigentum – der erste geschriebene Schlüssel wird als Besitzer-Account-Key markiert.

Wenn das Opfer sein Zubehör noch nie mit einem Android-Gerät verbunden hat, wird der Angreifer daher nach dem Schreiben seines Account Keys als Besitzer markiert.

💥 Auswirkungen

WhisperPair ist kein isoliertes Problem. Die Forschung zeigt, dass mehrere Geräte, Hersteller und Chipsätze betroffen sind. Dies weist auf ein systemisches Versagen und nicht auf einzelne Entwicklerfehler hin. Unsichere Implementierungen gelangten in großem Umfang auf den Markt und zeigen eine Kette von Compliance-Verstößen auf drei Ebenen:

Angriffsmerkmale

Konsequenzen

• 🎧 Geräteübernahme: Angreifer erhält vollständige Kontrolle
• 🎤 Audioaufzeichnung: Mikrofon kann ausgenutzt werden
• 📍 Standortverfolgung: Über das Find Hub Netzwerk
• ⛔ Denial of Service: Legitimer Benutzer ausgesperrt

🛡️ Betroffene Geräte

Viele Fast-Pair-zertifizierte Geräte verschiedener Hersteller haben sich als anfällig erwiesen:

⚠️ Diese Liste ist nicht vollständig. Viele weitere Geräte könnten betroffen sein.

Abhilfe

Die einzige Möglichkeit, diese Schwachstelle zu beheben, besteht darin, ein vom Hersteller des Zubehörs bereitgestelltes Software-Update zu installieren.

Obwohl viele Hersteller Patches für ihre betroffenen Geräte veröffentlicht haben, sind Software-Updates möglicherweise noch nicht für jedes anfällige Gerät verfügbar. Wir ermutigen Forscher und Benutzer, die Patch-Verfügbarkeit direkt beim Hersteller zu überprüfen.

🚀 Installation

Voraussetzungen

• Python 3.8+
• Linux mit BlueZ (Bluetooth-Stack)
• Bluetooth-Adapter mit BLE-Unterstützung

Einrichtung

📖 Verwendung

Nach Fast-Pair-Geräten scannen

Massen-Schwachstellentest

Scan und automatischer Test aller entdeckten Geräte:

Bestimmtes Gerät testen

Ausführliche Ausgabe

Beispielausgabe

Erkennungsmethodik

Dieses Tool testet Geräte mit der folgenden Methode:

1. Erkennen von Fast-Pair-Geräten über BLE-Werbung (Dienst-UUID 0xFE2C)
2. Verbinden mit dem GATT-Server des Geräts
3. Lokalisieren der Key-Based Pairing Characteristic (UUID ...1234...)
4. Senden einer unverschlüsselten (Klartext-)KBP-Anfrage
5. Analysieren der Antwort:
   • GATT_SUCCESS (0x00): Gerät ist ANFÄLLIG
   • Write abgelehnt (0x05, 0x06, 0x0E): Gerät ist GEPATCHT
   • Zeitüberschreitung/Trennung: Wahrscheinlich ANFÄLLIG (Gerät verarbeitet)

📚 Referenzen

• WhisperPair Forschung - Vollständige Offenlegung der Schwachstelle und Forschungsarbeit
• Google Fast Pair Spezifikation
• CVE-2025-36911

⚖️ Rechtliches

Diese Software wird ausschließlich zu Bildungs- und autorisierten Sicherheitstestzwecken bereitgestellt. Die Autoren sind nicht für Missbrauch dieses Tools verantwortlich. Holen Sie stets die entsprechende Genehmigung ein, bevor Sie Geräte testen.

📄 Lizenz

MIT-Lizenz – Einzelheiten finden Sie in der LICENSE-Datei.

_{Basierend auf Forschung von whisperpair.eu}