Unverschlüsselte Bluetoothverbindung bei Smartwatch Amazfit Bip U (SYSS-2023-022)

Im Rahmen ihrer bei der SySS geschriebenen Masterarbeit fand Julia Karel heraus, dass die Smartwatch Amazfit Bip U mit dem verbundenen Smartphone unverschlüsselt kommuniziert.

Wird die Smartwatch nach Vorgabe mit der dazugehörigen Zepp-App auf einem Android-Smartphone verbunden, so wird kein Pairing oder Bonding durchgeführt. Daher bleibt die Bluetooth Low Energy-Verbindung unverschlüsselt. Alle Nachrichten, die auf die Uhr übertragen werden, können von einem Angreifer abgehört werden. Das beinhaltet auch Nachrichten von teilweise Ende-zu-Ende-verschlüsselten Messengern wie WhatsApp, Telegram oder Signal.

Das Verhalten wurde vom Hersteller bisher nicht behoben.

Als Workaround kann die Uhr zuerst über das Android-Bluetoothmenü gekoppelt (Pairing mit Bonding) und erst danach über die App hinzugefügt werden.

Detaillierte Informationen zu dieser Schwachstelle finden Sie in unserem Security Advisory / You will find detailed information about this security issue in our Security Advisory:

• SYSS-2023-022

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.