व्हिस्परपेयर दोष सोनी, जेबीएल और एंकर हेडफोन को ट्रैकिंग और मूक श्रवण के लिए उजागर करता है

Google के फास्ट पेयर प्रोटोकॉल में कमजोरियों की एक श्रृंखला, जिसे व्हिस्परपेयर कहा जाता है, की खोज की गई है, जिससे लाखों प्रसिद्ध ब्रांडों के वायरलेस हेडफ़ोन और स्पीकर महत्वपूर्ण सुरक्षा और गोपनीयता जोखिमों को उजागर करते हैं। यह खामी हमलावरों को गुप्त रूप से सेकंड के भीतर डिवाइस से कनेक्ट करने की अनुमति देती है, भले ही वे पहले से ही उपयोगकर्ता के स्मार्टफोन के साथ जुड़े हुए हों, जिससे जासूसी और स्थान ट्रैकिंग का द्वार खुल जाता है।

बेल्जियम में केयू ल्यूवेन विश्वविद्यालय के विशेषज्ञों द्वारा किए गए शोध से पता चला कि समस्या कई निर्माताओं द्वारा प्रोटोकॉल के गलत कार्यान्वयन में है। फास्ट पेयर, ब्लूटूथ एक्सेसरीज़ को एंड्रॉइड डिवाइसों से कनेक्ट करने को सरल और तेज़ करने के लिए डिज़ाइन किया गया है, जो विरोधाभासी रूप से एक आक्रमण वेक्टर बन गया है जिसका उपयोग आस-पास के किसी भी व्यक्ति द्वारा किया जा सकता है।

हमला पीड़ित को किसी दृश्यमान बातचीत या चेतावनी सूचना के बिना किया जा सकता है, जिससे यह सार्वजनिक स्थानों पर विशेष रूप से खतरनाक हो जाता है। जबरन कनेक्शन हमलावर को सहायक उपकरण की महत्वपूर्ण कार्यक्षमता पर नियंत्रण रखने की अनुमति देता है, जो सीधे उपयोगकर्ता की सुरक्षा से समझौता करता है।

व्हिस्परपेयर भेद्यता कैसे काम करती है

ब्लूटूथ एक्सेसरीज़ को पेयर करना आसान बनाने के लिए Google द्वारा फास्ट पेयर प्रोटोकॉल बनाया गया था। जब आप एक संगत हेडसेट को एंड्रॉइड सेल फोन के करीब लाते हैं, तो सिस्टम एक अधिसूचना प्रदर्शित करता है जो ब्लूटूथ सेटिंग्स में मैन्युअल खोज की आवश्यकता को समाप्त करते हुए, केवल एक स्पर्श के साथ कनेक्शन की अनुमति देता है। हालाँकि, व्हिस्परपेयर दोष इस संचार प्रक्रिया में एक खामी का फायदा उठाता है।

पास का हमलावर ट्रांसमिशन सिग्नल को रोकने और हेरफेर करने के लिए विशिष्ट उपकरण का उपयोग कर सकता है, जिससे पीड़ित के सहायक उपकरण के साथ संबंध स्थापित हो सकता है। शोधकर्ताओं द्वारा किए गए परीक्षणों से पता चला है कि डिवाइस को मानक ब्लूटूथ रेंज के भीतर 15 सेकंड से भी कम समय में हाईजैक कर लिया जाता है, जो भौतिक बाधाओं के बिना, आदर्श परिस्थितियों में लगभग 15 मीटर तक पहुंच सकता है।

विफलता से प्रभावित ब्रांड और मॉडल

जांच से पुष्टि हुई कि कई बाजार-अग्रणी कंपनियों के उत्पाद व्हिस्परपेयर दोष के प्रति संवेदनशील हैं। प्रभावित होने वाले मुख्य ब्रांडों में सोनी, जेबीएल, एंकर (इसकी साउंडकोर लाइन के माध्यम से), गूगल, जबरा और मार्शल शामिल हैं। समस्या का दायरा एक प्रणालीगत दोष को उजागर करता है जो विभिन्न चिपसेट कार्यान्वयन को प्रभावित करता है, यहां तक ​​कि Google-प्रमाणित उपकरणों पर भी।

विशिष्ट मॉडलों की सूची में इन-ईयर और ओवर-ईयर हेडफ़ोन की लोकप्रिय श्रंखलाएं शामिल हैं। पुष्टि किए गए उदाहरणों में अत्यधिक व्यावसायिक रूप से सफल श्रृंखला जैसे सोनी की WH-1000XM लाइन और साउंडकोर के लिबर्टी हेडफ़ोन, साथ ही अन्य डिवाइस जैसे Google Pixel बड्स प्रो 2, JBL ट्यून बीम, Jabra Elite 8 एक्टिव और मार्शल मोटिफ़ II A.N.C शामिल हैं। पूरी सूची में दस अलग-अलग निर्माताओं के कम से कम 17 परीक्षण किए गए मॉडल शामिल हैं।

यह ध्यान रखना महत्वपूर्ण है कि फास्ट पेयर का समर्थन करने वाले अन्य सहायक उपकरण भी असुरक्षित हो सकते हैं, भले ही उनका स्पष्ट रूप से परीक्षण न किया गया हो। विशेषज्ञों की सिफ़ारिश है कि उपयोगकर्ता अपने प्रत्येक उत्पाद की व्यक्तिगत स्थिति की जांच करें, सुरक्षा सुधारों के अनुप्रयोग के बारे में निर्माताओं से सीधे जानकारी मांगें।

उपयोगकर्ता की गोपनीयता को ख़तरा

एक बार जब दुर्भावनापूर्ण कनेक्शन स्थापित हो जाता है, तो हमलावर आवश्यक डिवाइस कार्यों पर नियंत्रण हासिल कर लेता है, जिससे गोपनीयता के लिए गंभीर खतरा पैदा हो जाता है। मुख्य जोखिम माइक्रोफ़ोन तक पहुंच है, जिसका उपयोग पीड़ित की जानकारी के बिना वातावरण में बातचीत सुनने या टेलीफोन कॉल को इंटरसेप्ट करने के लिए किया जा सकता है। यह क्षमता एक साधारण हेडसेट को जासूसी उपकरण में बदल देती है।

सुनने के अलावा, हमलावर किसी भी वॉल्यूम पर स्पीकर में ऑडियो इंजेक्ट कर सकता है। यह क्रिया अवांछित ध्वनियों के पुनरुत्पादन, चल रहे ऑडियो में रुकावट या यहां तक ​​कि गलत सूचना को सीधे उपयोगकर्ता के कान में प्रसारित करने की अनुमति देती है। ऑडियो पर नियंत्रण का उपयोग ध्यान भटकाने, व्यवधान उत्पन्न करने या अधिक दुर्भावनापूर्ण उद्देश्यों के लिए किया जा सकता है।

अधिक गंभीर मामलों में, भेद्यता उपयोगकर्ता के स्थान की सटीक ट्रैकिंग की अनुमति देती है। जो डिवाइस Google के “फाइंड माई डिवाइस” नेटवर्क का समर्थन करते हैं उन्हें हमलावर के खाते से जोड़ा जा सकता है। इससे सहायक उपकरण के स्थान और परिणामस्वरूप इसे पहनने वाले की लगातार निगरानी की जा सकती है।

ट्रैकिंग लगातार काम करती है, भले ही प्राथमिक उपयोगकर्ता प्रारंभिक हेडफ़ोन अपहरण के बाद iPhone का उपयोग करता हो। स्थान आस-पास के एंड्रॉइड डिवाइसों के अज्ञात कनेक्शन के माध्यम से प्राप्त किया जाता है जो Google के स्थान नेटवर्क का हिस्सा हैं, जिससे एक निगरानी प्रणाली बनती है जिसका पता लगाना और अक्षम करना मुश्किल होता है।

निर्माताओं की प्रतिक्रिया और उपलब्ध अद्यतन

शोधकर्ताओं द्वारा दोष के जिम्मेदार खुलासे के बाद, कई कंपनियों ने फर्मवेयर अपडेट के माध्यम से फिक्स वितरित करना शुरू कर दिया। इस प्रक्रिया में आमतौर पर उपयोगकर्ता को प्रत्येक ब्रांड के समर्पित एप्लिकेशन के माध्यम से सॉफ़्टवेयर के नए संस्करण को मैन्युअल रूप से इंस्टॉल करने की आवश्यकता होती है। उदाहरण के लिए, जेबीएल ने प्रभावित मॉडलों के लिए ओवर-द-एयर (ओटीए) अपडेट भेजना शुरू कर दिया है, और उपयोगकर्ताओं को उपलब्धता की जांच करने और फिक्स इंस्टॉल करने के लिए ब्रांड के आधिकारिक ऐप तक पहुंचने की आवश्यकता है।

एंकर अपनी साउंडकोर लाइन के लिए पैच भी विकसित कर रहा है, जिसके वितरण की योजना उसके ऐप के माध्यम से बनाई गई है। बदले में, लॉजिटेक ने सुधारों को सीधे अपने उपकरणों की भविष्य की उत्पादन इकाइयों में एकीकृत कर दिया। Google ने अपने स्वयं के उत्पादों और फाइंड माई डिवाइस नेटवर्क पर शमन लागू किया है, हालांकि शोधकर्ताओं ने विशिष्ट परिदृश्यों की पहचान की है जहां इनमें से कुछ सुरक्षा को अभी भी बायपास किया जा सकता है। सोनी, नथिंग और वनप्लस जैसे अन्य ब्रांड इस मुद्दे की जांच कर रहे हैं, और आने वाले हफ्तों में अपने ग्राहकों की पूरी सुरक्षा के लिए नए अपडेट की उम्मीद है।

उपभोक्ता संरक्षण उपाय

अपनी सुरक्षा के लिए, मुख्य अनुशंसा डिवाइस के फ़र्मवेयर को अद्यतन रखना है। उपयोगकर्ताओं को अपने हेडफ़ोन या स्पीकर निर्माता से आधिकारिक ऐप डाउनलोड करना चाहिए और यह देखने के लिए नियमित रूप से जांच करनी चाहिए कि इंस्टॉलेशन के लिए नए सॉफ़्टवेयर संस्करण उपलब्ध हैं या नहीं। यह सुनिश्चित करने का सबसे प्रभावी तरीका है कि सुरक्षा सुधार लागू किए गए हैं। उन लोगों के लिए जो यह जांचना चाहते हैं कि उनका विशिष्ट मॉडल असुरक्षित सूची में है या नहीं, शोधकर्ताओं ने विस्तृत जानकारी के साथ समर्पित वेबसाइटें बनाई हैं जहां आप निर्माता और उत्पाद के नाम से खोज सकते हैं। यदि तत्काल अपडेट उपलब्ध नहीं है, तो सहायक उपकरण का फ़ैक्टरी रीसेट करना एक अस्थायी उपाय है। हालाँकि यह क्रिया मौजूदा जोड़ियों को हटा देती है, लेकिन यह भेद्यता को स्थायी रूप से समाप्त नहीं करती है। चूंकि फास्ट पेयर फ़ंक्शन को सीधे एंड्रॉइड सिस्टम पर अक्षम करना संभव नहीं है, एक अतिरिक्त सावधानी यह है कि जब भी ब्लूटूथ उपयोग में न हो तो इसे सार्वजनिक स्थानों पर बंद रखा जाए, जिससे हमले की संभावना कम हो सके। यह भी सलाह दी जाती है कि एक्सेसरी को लंबे समय तक दृश्य युग्मन मोड में छोड़ने से बचें और अपने सेल फोन पर किसी भी अजीब युग्मन अधिसूचना पर नज़र रखें।

वर्तमान दोष शोषण परिदृश्य

आज तक, इस बात की कोई पुष्टि नहीं हुई है कि नियंत्रित अनुसंधान वातावरण के बाहर वास्तविक हमलों में अपराधियों द्वारा व्हिस्परपेयर भेद्यता का फायदा उठाया गया है। शोधकर्ताओं और कंपनियों के बीच समन्वित प्रकटीकरण ने दोष को बड़े पैमाने पर उपयोग करने से पहले सुधार के विकास की अनुमति दी, जिससे आम जनता के लिए तत्काल जोखिम कम हो गया।