Google advierte sobre una vulnerabilidad en sus llaves de seguridad Titan Bluetooth

Google ha alertado sobre una vulnerabilidad en una de las versiones de su llave de seguridad Titan que permite que los atacantes irrumpan en los sistemas de sus víctimas bajo situaciones específicas. Aunque la falla no anula la protección del dispositivo, Google se ha comprometido a reemplazar los modelos afectados de forma gratuita a sus clientes.

Los productos Titan son dispositivos USB diseñados para proteger el inicio de sesión de sus usuarios, ya que ofrecen la posibilidad de iniciar sesión sin contraseña y con tecnologías de autentificación de dos factores sin el riesgo de ser víctima de ataques phishing.

La vulnerabilidad afecta a todas las llaves de seguridad Titan Bluetooth. De hecho, la vulnerabilidad se encuentra en un error de configuración de los protocolos de emparejamiento de Bluetooth. La compañía asegura que esto no anula la protección del dispositivo contra ataques phishing, pero aún así considera más pertinente limitar su circulación y ofrecer su reemplazo.

Las circunstancias para que se pueda explotar la vulnerabilidad son muy específicas. Una de las posibilidades es que el atacante se encuentre a menos de 9 metros de distancia en el momento en el que el usuario presiona el botón de su llave de seguridad Titan para activarla. Por si esto fuera poco, para superar la autentificación de dos factores, el usuario malicioso también debe saber el nombre de usuario y contraseña de su víctima para que su ataque sea exitoso.

La otra alternativa para explotar esta vulnerabilidad es que el atacante utilice la vulnerabilidad en los protocolos de emparejamiento de Bluetooth para usar su propio dispositivo y hacerlo pasar por la llave de seguridad de su víctima, ya que cada llave de seguridad debe estar emparejada con un dispositivo. Cuando el usuario presiona el botón de la llave, el atacante conecta su propio dispositivo. Después de hacerlo, puede modificar la configuración para que parezca inofensivo, y camuflarlo como un teclado o ratón.

Google asegura que esta vulnerabilidad no quita a las llaves Titan su capacidad de cumplir su misión principal, que es proteger a los usuarios de ataques phishing. La compañía instó a sus clientes a que sigan usando las llaves hasta que tengan el reemplazo: “es mucho más seguro usar la llave afectada que no usar ninguna llave. Las llaves de seguridad son la mejor protección en la actualidad contra los ataques phishing”.

Fuentes
Google discloses security bug in its Bluetooth Titan Security Keys, offers free replacement • Tech Crunch
Google warns Bluetooth Titan security keys can be hijacked by nearby hackers • Ars Technica
Google recalls some Titan security keys after finding Bluetooth vulnerability • Engadget