La fonctionnalité Fast Pair facilite l’appairage d’écouteurs avec des smartphones Android, mais révèle une vulnérabilité de sécurité importante. Des chercheurs ont identifié une faille nommée WhisperPair, permettant à un attaquant de se connecter à un appareil de manière non sécurisée, soulevant des inquiétudes quant à la protection de la vie privée.
WhisperPair, une faille dans Fast Pair
Le Fast Pair est devenu la norme pour connecter rapidement des accessoires Bluetooth sur Android. Il suffit de rapprocher les écouteurs d’un smartphone pour établir la connexion presque automatiquement. Cette fonctionnalité apporte un certain confort, surtout pour ceux qui ont déjà rencontré des frustrations avec le couplage Bluetooth.
Des chercheurs en sécurité de l’Université KU Leuven (Belgique) ont identifié une vulnérabilité appelée WhisperPair. Cette faille permet à un attaquant de forcer la connexion à un dispositif compatible avec Fast Pair, même lorsque celui-ci ne se trouve pas en mode d’appairage. Le détournement de la connexion ne prend que dix secondes et peut s’effectuer jusqu’à environ 14 mètres, soit presque la portée maximale du Bluetooth.
Le problème touche plus d’une dizaine de modèles de différents constructeurs, parmi lesquels figurent Sony, Nothing, JBL, OnePlus, et Google. Le risque dépasse largement l’écosystème Android. Même sans utiliser un produit Google, un utilisateur peut se retrouver exposé.
Google a déjà traité ce problème
Après une connexion détournée, les usages malveillants peuvent dépasser le simple bruit. Un attaquant pourrait interrompre la musique ou diffuser un son de son choix, mais WhisperPair peut aller beaucoup plus loin. Cela inclut l’accès au microphone, l’écoute des conversations, voire le suivi des mouvements via un signal Bluetooth. Les chercheurs soulignent le potentiel d’espionnage.
La racine du problème provient d’une mise en œuvre incomplète de la norme Fast Pair. En théorie, un dispositif Bluetooth ne devrait accepter une demande d’appairage que s’il est en mode connexion. Cependant, de nombreux modèles ignorent cette vérification et reçoivent la demande indépendamment. WhisperPair exploite cette vulnérabilité en utilisant le processus standard du Bluetooth, contournant ainsi les protections du système.
Google a déployé une correction pour ses produits, affirmant n’avoir connaissance d’aucune exploitation active de WhisperPair. Cependant, un aspect préoccupant est que, contrairement aux smartphones ou ordinateurs, les accessoires audio ne reçoivent pas toujours des mises à jour automatiques. Beaucoup ne téléchargent jamais l’application complémentaire pour leurs écouteurs, laissant le firmware d’origine intact.
Une question centrée sur Android
Un autre problème est que Fast Pair ne peut pas être désactivé manuellement sur les dispositifs compatibles. Les chercheurs ont également trouvé des moyens de contourner la correction initiale de Google. D’autres constructeurs devront développer et distribuer leurs propres mises à jour, un processus pouvant prendre des semaines voire des mois.
Les recommandations pour sortir de cette situation sont limitées. Installer l’application officielle du constructeur pour recevoir les mises à jour dès qu’elles sont disponibles reste la meilleure option. En cas de doute sérieux, une réinitialisation complète du dispositif peut interrompre toute connexion non autorisée, mais cela nécessite de reconfigurer l’appareil.