WhisperPair — это семейство практических атак, использующих недостаток реализации Fast Pair во флагманских аудиоаксессуарах. Результаты показывают, как небольшое «дополнение» для удобства использования может привести к масштабным рискам безопасности и конфиденциальности для сотен миллионов пользователей.

📖 Полную исследовательскую статью и подробности см. на whisperpair.eu

🔴 Сценарии атак

1. Перехват аксессуаров Fast Pair

WhisperPair позволяет злоумышленникам принудительно сопрягать уязвимый аксессуар Fast Pair (например, беспроводные наушники или гарнитуру) с устройством, контролируемым атакующим, без согласия пользователя. Это даёт атакующему полный контроль над аксессуаром, позволяя:

• 🔊 Воспроизводить аудио на высокой громкости
• 🎤 Записывать разговоры с помощью микрофона
• 🔒 Блокировать подключение законного пользователя

Производительность атаки:

• ⏱️ Медианное время: 10 секунд
• 📏 Тестированное расстояние: до 14 метров
• 🚫 Физический доступ не требуется

2. Отслеживание жертв через сеть Find Hub

Некоторые устройства также поддерживают сеть Find Hub от Google, позволяющую пользователям находить потерянные аксессуары с помощью краудсорсинговых отчётов о местоположении с других устройств Android. Однако, если аксессуар никогда не был сопряжён с устройством Android, злоумышленник может добавить аксессуар в свою учётную запись Google, что позволит отслеживать пользователя через скомпрометированный аксессуар.

Жертва может увидеть нежелательное уведомление об отслеживании через несколько часов или дней, но это уведомление будет показывать её собственное устройство. Это может побудить пользователей отклонить предупреждение как ошибку, позволяя злоумышленнику следить за жертвой в течение длительного времени.

🔬 Технические детали

Уязвимость (CVE-2025-36911)

Недостаток заключается в том, что многие аксессуары не выполняют критически важный шаг в процессе сопряжения.

Чтобы запустить процедуру Fast Pair, искатель (Seeker, телефон) отправляет сообщение Key-Based Pairing (KBP) поставщику (Provider, аксессуар), указывая, что хочет выполнить сопряжение. Согласно спецификации Fast Pair:

«Если аксессуар не находится в режиме сопряжения, он должен игнорировать такие сообщения.»

Однако многие устройства на практике не выполняют эту проверку, что позволяет неавторизованным устройствам запускать процесс сопряжения. После получения ответа от уязвимого устройства злоумышленник может завершить процедуру Fast Pair, установив обычное Bluetooth-сопряжение.

Протокол Key-Based Pairing

Формат KBP запроса

Исправленное устройство проверит, что соль правильно зашифрована с помощью общего секрета, полученного через ECDH. Уязвимое устройство принимает любую полезную нагрузку длиной 16 байт без проверки.

Атака отслеживания через Find Hub

Эта атака использует тот факт, что устройства, не являющиеся Android, не выполняют процедуру Fast Pair при подключении к аксессуару. Устройства Android записывают ключ учётной записи (Account Key) на аксессуар после завершения сопряжения. Этот ключ устанавливает право собственности — первый записанный ключ отмечается как ключ владельца (Owner Account Key).

Таким образом, если жертва никогда не подключала свой аксессуар к устройству Android, злоумышленник будет отмечен как владелец после записи своего ключа учётной записи.

💥 Влияние

WhisperPair — не изолированная проблема. Исследования показывают, что затронуты несколько устройств, производителей и чипсетов. Это демонстрирует системный сбой, а не отдельную ошибку разработчика. Небезопасные реализации в массовом порядке попали на рынок, что указывает на цепочку нарушений соответствия на трёх уровнях:

Характеристики атаки

Последствия

• 🎧 Перехват устройства: Атакующий получает полный контроль
• 🎤 Запись аудио: Микрофон может быть использован
• 📍 Отслеживание местоположения: Через сеть Find Hub
• ⛔ Отказ в обслуживании: Законный пользователь заблокирован

🛡️ Затронутые устройства

Многие устройства, сертифицированные для Fast Pair от различных производителей, оказались уязвимыми:

⚠️ Этот список не является исчерпывающим. Многие другие устройства могут быть уязвимы.

Устранение

Единственный способ исправить эту уязвимость — установить обновление программного обеспечения, выпущенное производителем аксессуара.

Хотя многие производители выпустили исправления для своих затронутых устройств, обновления ПО могут быть ещё не доступны для каждого уязвимого устройства. Мы призываем исследователей и пользователей проверить наличие исправлений напрямую у производителя.

🚀 Установка

Требования

• Python 3.8+
• Linux с BlueZ (стек Bluetooth)
• Адаптер Bluetooth с поддержкой BLE

Настройка

📖 Использование

Сканирование устройств Fast Pair

Массовое тестирование уязвимости

Сканирование и автоматическое тестирование всех обнаруженных устройств:

Тестирование конкретного устройства

Подробный вывод

Пример вывода

Методология обнаружения

Этот инструмент тестирует устройства по следующей методике:

1. Обнаружение устройств Fast Pair через BLE-рекламу (сервис UUID 0xFE2C)
2. Подключение к GATT-серверу устройства
3. Поиск характеристики Key-Based Pairing (UUID ...1234...)
4. Отправка незашифрованного (открытого текста) KBP запроса
5. Анализ ответа:
   • GATT_SUCCESS (0x00): Устройство УЯЗВИМО
   • Write Rejected (0x05, 0x06, 0x0E): Устройство ИСПРАВЛЕНО
   • Таймаут/Разрыв соединения: Вероятно УЯЗВИМО (устройство обрабатывает запрос)

📚 Ссылки

• Исследование WhisperPair — Полное раскрытие уязвимости и научная статья
• Спецификация Google Fast Pair
• CVE-2025-36911

⚖️ Правовая информация

Данное программное обеспечение предоставляется только для образовательных и авторизованных целей тестирования безопасности. Авторы не несут ответственности за неправомерное использование этого инструмента. Всегда получайте соответствующее разрешение перед тестированием любых устройств.

📄 Лицензия

Лицензия MIT — см. LICENSE для подробностей.

_{Основано на исследованиях с whisperpair.eu}