Het is mogelijk om individuen te volgen aan de hand van bluetooth-signalen. Dat stellen onderzoekers van de University of California San Diego. Zij ontdekten dat de bluetooth-signalen die mobiele telefoons continu uitzenden, een unieke vingerafdruk hebben. Deze kan worden gebruikt om individuen te volgen. Niet eerder kon dit worden aangetoond.
Unieke vingerafdrukken onbedoeld resultaat
Alle mobiele apparaten, waaronder telefoons, smartwatches en fitness trackers, zenden continu bluetooth-signalen uit. Deze signalen zorgen er onder meer voor dat je je telefoon terug kunt vinden in het ‘Find My’-netwerk van Apple. Ook maken bijvoorbeeld corona-apps en draadloze koptelefoons gebruik van de bluetooth-signalen.
Alle draadloze apparaten hebben echter kleine productiefouten in de hardware, die uniek zijn voor ieder apparaat. De onderzoekers noemen dit een “toevallig bijproduct van het productieproces”. Deze imperfecties in bluetooth-hardware zorgen voor unieke verstoringen in de signalen die een apparaat uitzendt. Instanties en kwaadwillenden kunnen deze verstoringen gebruiken als een vingerafdruk om een specifiek apparaat te volgen. Ook kunnen aanvallers hiermee anti-trackingtechnieken die fabrikanten aan hun producten toevoegen, omzeilen.
Uit eerder onderzoek bleek dat wifi en andere draadloze technologieën draadloze vingerafdrukken achterlaten. Nu blijkt dus ook dat deze vorm van tracking met bluetooth mogelijk is; op een zeer nauwkeurige manier.
“Dit is belangrijk, omdat bluetooth in de wereld van vandaag een grotere bedreiging vormt, aangezien het een frequent en constant draadloos signaal is dat wordt uitgezonden door al onze persoonlijke mobiele apparaten”, stelt Nishant Bhaskar, een van de hoofdauteurs van het onderzoek.
Individuen volgen met bluetooth is ingewikkeld
Volgens het onderzoeksteam is het tracken van individuele apparaten via bluetooth niet eenvoudig. Eerdere fingerprinting-technieken voor wifi zijn gebaseerd op het feit dat wifi-signalen een ‘preamble’ bevatten. Dit is een lange, bekende reeks signalen. Preambles voor bluetooth-beacons zijn echter zeer kort, wat zorgt voor een onnauwkeurige vingerafdruk. Eerdere technieken werken dus niet bij het tracken van bluetooth-signalen.
De onderzoekers ontwierpen een methode die niet afhankelijk is van de preamble, maar kijkt naar het hele bluetooth-signaal. Aan de hand van een zelf ontwikkeld algoritme vonden ze twee verschillende bluetooth-signalen die variëren op basis van de defecten in de bluetooth-hardware. Hierdoor konden de onderzoekers de unieke vingerafdruk van het apparaat krijgen. Zij testten dit vervolgens met real-world experimenten. Uiteindelijk lukte het om door een vingerafdruk een echte ‘volgaanval’ uit te voeren en een vrijwilliger te volgen terwijl deze zijn/haar huis in- en uitliep.
Wel merken de onderzoekers op dat verschillende omstandigheden het lastig zullen maken voor aanvallers om personen te volgen. Zo kunnen veranderingen in de omgevingstemperatuur de bluetooth-vingerafdruk wijzigen. Ook zenden sommige apparaten signalen met verschillende vermogens uit.
Dit heeft invloed op de afstand waarop je deze apparaten zou kunnen volgen. Daarnaast stellen de onderzoekers dat een aanvaller een hoge mate van expertise nodig heeft om dezelfde methode als de onderzoekers te volgen. Toch is bluetooth-tracking mogelijk voor een groot aantal apparaten, en met eenvoudige en relatief goedkope apparatuur.
Onderzoekers werken aan oplossing
Het onderzoeksteam werkt momenteel aan een manier om bluetooth-vingerafdrukken te verbergen. De onderzoekers proberen een oplossing te vinden waarbij de firmware het bluetooth-signaal verwerkt op een manier dat tracking niet meer mogelijk is.
