WhisperPair-PoC-Tool और शोध

CVE-2025-36911 और Google के Fast Pair पारिस्थितिकी तंत्र में सुरक्षा अंतरालों की गहन जांच

Blog Post

कार्यकारी सारांश

Google Fast Pair को Bluetooth युग्मन को सहज बनाने के लिए डिज़ाइन किया गया था: एक सूचना पर टैप करें और आप कनेक्ट हो जाते हैं। लेकिन क्या होता है जब वह सहज अनुभव एक सुरक्षा देयता बन जाता है? WhisperPair-PoC-Tool एक सुरक्षा अनुसंधान उपकरण है जो लाखों Bluetooth सहायक उपकरणों को प्रभावित करने वाली दो महत्वपूर्ण भेद्यता श्रेणियों को उजागर करता है: अनधिकृत युग्मन बाइपास और Find My Device Network ट्रैकिंग शोषण।

यह पोस्ट WhisperPair-PoC-Tool की तकनीकी आंतरिक संरचना, इसके द्वारा शोषित प्रोटोकॉल कमजोरियों और Bluetooth सहायक उपकरण पारिस्थितिकी तंत्र के लिए इसका क्या अर्थ है, का विवरण देता है।

---

विषय-सूची

1. भेद्यताएँ
2. Fast Pair प्रोटोकॉल प्राइमर
3. WhisperPair-PoC-Tool कैसे काम करता है
4. आक्रमण सतह
5. पता लगाने की पद्धति
6. शोषण क्षमताएँ
7. उपचार मार्गदर्शन
8. नैतिक विचार

---

भेद्यताएँ

CVE-2025-36911: Fast Pair युग्मन मोड बाइपास

Google Fast Pair विनिर्देश स्पष्ट रूप से बताता है:

"यदि वैकल्पिक सार्वजनिक कुंजी फ़ील्ड मौजूद है: यदि उपकरण युग्मन मोड में नहीं है, तो लिखने को अनदेखा करें और बाहर निकलें।"

• Google Fast Pair GATT Procedure Specification

यह महत्वपूर्ण सुरक्षा गेट है। उपकरणों को केवल तभी कुंजी-आधारित युग्मन (Key-Based Pairing) अनुरोधों का जवाब देना चाहिए जब उपयोगकर्ता ने स्पष्ट रूप से उपकरण को युग्मन मोड (आमतौर पर एक बटन दबाकर) में डाल दिया हो। यह उपयोगकर्ता की मंशा सुनिश्चित करता है, ताकि आप किसी के ईयरबड्स को तब युग्मित न कर सकें जब वे उन्हें पहने हुए हों।

समस्या: कई निर्माता इस जाँच को पूरी तरह से छोड़ देते हैं। वे युग्मन मोड स्थिति की परवाह किए बिना युग्मन अनुरोधों को संसाधित करते हैं, जिससे निम्न सक्षम होता है:

• उपयोगकर्ता संपर्क के बिना मूक युग्मन (silent pairing)
• निकटता हमलों में सहायक उपकरण अपहरण (accessory hijacking)
• पीड़ितों के उपकरणों से कनेक्ट करके गोपनीयता उल्लंघन (privacy violations)

Find Hub खाता कुंजी प्रकटीकरण

Google का Find My Device Network (FMDN) भीड़-स्रोत Android उपकरण नेटवर्क के माध्यम से Bluetooth सहायक उपकरणों को ट्रैक करने की अनुमति देता है। इसके लिए एक खाता कुंजी (Account Key) की आवश्यकता होती है, जो उपकरण को Google खाते से जोड़ने वाली 16-बाइट सममित कुंजी है।

समस्या: खाता कुंजी विशेषता (Account Key characteristic) प्रायः प्रमाणीकरण के बिना लेखन स्वीकार करती है:

• हमलावर मौजूदा खाता कुंजी को अधिलेखित (overwrite) कर सकता है
• पीड़ित का Find My Device एकीकरण टूट जाता है
• हमलावर अपनी स्वयं की कुंजी का उपयोग करके उपकरण को ट्रैक कर सकता है
• यह फ़ैक्टरी रीसेट तक बना रहता है

---

Fast Pair प्रोटोकॉल प्राइमर

शोषण में गोता लगाने से पहले, आइए वैध Fast Pair प्रवाह को समझें:

विज्ञापन चरण

┌─────────────────────────────────────────────────────────────┐
│                    BLE Advertisement                         │
├─────────────────────────────────────────────────────────────┤
│  Service UUID: 0xFE2C (Fast Pair)                           │
│  Service Data:                                               │
│    [Pairing Mode]   → 3 bytes: Model ID only                │
│    [Not Pairing]    → 4+ bytes: 0x00 + Account Key Filter   │
└─────────────────────────────────────────────────────────────┘

विज्ञापन प्रारूप युग्मन स्थिति प्रकट करता है:

• 3 बाइट = केवल Model ID = उपकरण खोजने योग्य (युग्मन मोड)
• 4+ बाइट = संस्करण बाइट + खाता कुंजी डेटा = युग्मन मोड में नहीं

कुंजी-आधारित युग्मन हैंडशेक

Seeker (Phone)                              Provider (Accessory)
      │                                              │
      │───── GATT Connect ──────────────────────────>│
      │                                              │
      │───── Discover Services ─────────────────────>│
      │<──── Service: 0xFE2C ────────────────────────│
      │                                              │
      │───── Enable Notifications (0xFE2C1234) ─────>│
      │                                              │
      │───── Write Key-Based Pairing Request ───────>│
      │      [16-byte encrypted block]               │
      │      [64-byte ECDH Public Key] (optional)    │
      │                                              │
      │      ┌────────────────────────────────────┐  │
      │      │ SECURITY CHECK:                    │  │
      │      │ If Public Key present AND          │  │
      │      │ device NOT in pairing mode:        │  │
      │      │   → IGNORE and EXIT                │  │
      │      │ Else:                              │  │
      │      │   → Process request                │  │
      │      └────────────────────────────────────┘  │
      │                                              │
      │<──── Notification: Encrypted Response ───────│
      │      [Provider's BR/EDR Address]             │
      │                                              │
      │═══════ Bluetooth Classic Pairing ═══════════>│

भेद्यता तब होती है जब उपकरण "सुरक्षा जाँच" बॉक्स को पूरी तरह से छोड़ देते हैं।

---

WhisperPair-PoC-Tool कैसे काम करता है

WhisperPair-PoC-Tool Bleak BLE लाइब्रेरी के ऊपर बनाया गया एक Python-आधारित सुरक्षा अनुसंधान उपकरण है। यह कई चरणों में काम करता है:

वास्तुकला अवलोकन

┌────────────────────────────────────────────────────────────────┐
│                        WhisperPair-PoC-Tool                          │
├────────────────────────────────────────────────────────────────┤
│  CLI Layer                                                      │
│  ├── Argument parsing (--target-name, --scan-duration)         │
│  ├── TargetPolicy construction                                  │
│  └── REPL initialization                                        │
├────────────────────────────────────────────────────────────────┤
│  Discovery Engine                                               │
│  ├── BLE scanning via Bleak                                    │
│  ├── Advertisement parsing                                      │
│  ├── Protocol detection (Fast Pair, FMDN, Swift Pair)          │
│  └── Device fingerprinting (Model ID, OUI lookup)              │
├────────────────────────────────────────────────────────────────┤
│  Check Engines                                                  │
│  ├── FastPairCheckEngine (passive advertisement analysis)      │
│  ├── FastPairBypass (active CVE-2025-36911 testing)           │
│  ├── FindHubCheckEngine (Account Key status detection)         │
│  └── RiskScorer (composite vulnerability assessment)           │
├────────────────────────────────────────────────────────────────┤
│  Connection Manager                                             │
│  ├── GATT connect with MTU negotiation                         │
│  ├── Service/characteristic discovery                          │
│  ├── Read/Write/Notify operations                              │
│  └── Error handling and retry logic                            │
├────────────────────────────────────────────────────────────────┤
│  Exploitation Modules                                           │
│  ├── ring_device() - Trigger locator sound                     │
│  ├── set_account_key() - Write Account Key                     │
│  └── Response parsing (BR/EDR address extraction)              │
└────────────────────────────────────────────────────────────────┘

मुख्य घटक

1. डिस्कवरी इंजन (discovery.py)

स्कैनर BLE विज्ञापनों को कैप्चर करने के लिए Bleak का डिटेक्शन कॉलबैक उपयोग करता है: