- Çevredeki Bluetooth sinyallerini toplayarak kullanıcıların farkında olmadan açığa çıkardığı bilgileri görselleştiren Python tabanlı tarayıcı Bluehood geliştirildi ve yayımlandı
- Sadece Bluetooth’u açık bırakmak bile "evin boş olduğu saatler" gibi yaşam düzenlerinin ve ziyaret kayıtlarının izlenmesine yol açabiliyor
- Bazı tıbbi cihazlar, araçlar ve akıllı saatler kullanıcının Bluetooth’u kapatmasına izin vermediği için sürekli sinyal yayıyor
- Briar, BitChat gibi gizlilik odaklı uygulamalar bile Bluetooth’un etkin olmasını gerektiriyor; bu da güvenlik ile görünürlük arasındaki çelişkiyi ortaya koyuyor
- Gündelik cihazlardan sızan dijital izlerin fark edilmesi ve denetlenmesi gereğini vurguluyor
Bluehood projesine genel bakış
- Bluehood, Bluetooth açıkken hangi bilgilerin dışarıya sızdığını deneysel olarak göstermek için তৈরি edilmiş bir Bluetooth tarayıcı
- Yakındaki cihazları tespit eder ve ortaya çıkma-kaybolma desenlerini analiz eder
- Yapay zekanın yardımıyla geliştirildi; amacı kişisel veri sızıntısının gerçek durumunu ortaya koymak
- KU Leuven araştırmacılarının WhisperPair açığını (CVE-2025-36911) açıklamasının hemen ardından geliştirildi
- Bu açık, yüz milyonlarca ses cihazının uzaktan ele geçirilmesine veya konumunun izlenmesine imkan tanıyor
- Bluetooth sinyallerinin asla zararsız olmadığını gösteren bir örnek olarak anılıyor
Bluetooth’un gündelik görünürlüğü
- Akıllı telefonlar, dizüstü bilgisayarlar, araçlar ve tıbbi cihazlar neredeyse her zaman Bluetooth açık halde bulunuyor
- “Saklayacak bir şeyin yoksa korkacak da bir şeyin yok” anlayışı yaygınlaşmış durumda
- Ancak yalnızca açık bırakmak bile istenmeden bilgi sızmasına neden olabiliyor
- Örneğin Bluehood manuel modda çalıştırıldığında şunlar tespit edilebiliyor
- Kargo aracının varış zamanı ve aynı kuryenin gelip gelmediği
- Komşuların gündelik yaşam düzeni
- Birlikte görünen cihaz kombinasyonları (ör. telefon ve akıllı saat)
- Belirli bir kişinin işe gidiş-geliş saatleri
- Tespit işlemi yalnızca bir Raspberry Pi veya sıradan bir dizüstü bilgisayarla bile yapılabiliyor
Kullanıcının kontrol edemediği cihazlar
- Bazı cihazlarda Bluetooth kullanıcı tarafından kapatılamıyor
- İşitme cihazları, uzaktan kontrol ve tanılama için BLE kullanıyor
- Kalp pili gibi tıbbi implantlar da BLE sinyali yayıyor
- Araçlar ve ulaşım araçları, araç yönetimi ve tanılama amacıyla Bluetooth yayınını sürekli sürdürüyor
- Akıllı saatler, evcil hayvan GPS tasmaları ve fitness ekipmanları da Bluetooth olmadan çalışamıyor
Gizlilik araçlarının paradoksu
- Briar, internetin kesildiği durumlarda bile Bluetooth ve Wi-Fi mesh ağı üzerinden mesajları eşitliyor
- Merkezi sunucu olmadan aktivistlerin ve gazetecilerin iletişimini destekliyor
- BitChat, tamamen Bluetooth mesh ağına dayanan dağıtık bir mesajlaşma uygulaması
- İnternet, sunucu veya telefon numarası olmadan mesajları çok atlamalı şekilde iletiyor
- Her iki uygulama da gizliliği koruma amacı taşısa da kullanımları için Bluetooth’un etkin olması gerekiyor
- Sonuçta koruma aracının aynı anda bir ifşa kanalı haline gelmesi gibi bir çelişki doğuyor
Metadatanın ortaya çıkardığı bilgiler
- Bluetooth sinyalinin yalnızca desenlerinden bile kişisel davranışlar izlenebiliyor
- Örneğin belirli bir bölgede birkaç hafta tarama yapılırsa şunlar anlaşılabiliyor
- Evin boş olduğu saatler
- Düzenli ziyaretçi olup olmadığı
- Vardiya değişim düzeni
- Çocukların eve dönüş saati
- Aynı teslimat görevlisinin ziyaret sıklığı
- Kayıtlar üzerinden belirli bir anda çevrede hangi cihazların bulunduğu geriye dönük olarak izlenebiliyor
- Örn: yürüyüşe çıkan bir kişinin akıllı saati, bir aracın izleme cihazı
- Bu durum, gündelik dijital izlerin ne kadar kolay toplanabildiğini gösteriyor
Bluehood’un özellikleri
- Python uygulaması olarak, Bluetooth adaptörü bulunan her cihazda çalışabiliyor
- Sürekli tarama ile yakındaki cihazları tespit ediyor ve üretici ile BLE servis UUID’lerini belirliyor
- Desen analizi ile saat bazlı ısı haritaları, kalış süresi ve ilişkili cihazları tespit ediyor
- Rastgele MAC adresi filtreleme ile modern cihazların gizlilik koruma özelliklerini dikkate alıyor
- Web panosu üzerinden gerçek zamanlı izleme desteği sunuyor
- Verileri SQLite içinde saklıyor, ntfy.sh üzerinden push bildirim özelliği sağlıyor
- Docker ile ya da manuel kurulumla kullanılabiliyor; root yetkisiyle veya systemd servisi olarak çalıştırılıyor
Projenin amacı
- Bluehood, bir hack aracı değil, eğitsel bir gösterim aracı
- Sıradan donanımla bile kişisel bilgilerin ne kadar kolay açığa çıkabildiğini gösteriyor
- Basit bir kolaylık özelliği için bile kablosuz radyonun etkin olmasının bedelini fark etmek gerektiğini vurguluyor
- Bluetooth’un zorunlu olduğu durumlarla yalnızca kolaylık sunduğu durumları ayırarak bilinçli kullanım kararı verilmesini teşvik ediyor
- Kullanıcılar Bluehood sayesinde kendi Bluetooth alışkanlıklarını yeniden düşünürse proje amacına ulaşmış olacak
- BlueHood kaynak kodu GitHub’da açık olarak yayımlanıyor
1 yorum
Hacker News yorumları
Artık Bluetooth’un her zaman açık olması durumunu fazla kanıksamış gibiyiz
Telefonlar, dizüstü bilgisayarlar, akıllı saatler, arabalar, hatta tıbbi cihazlar bile sürekli sinyal yayıyor
Bir arkadaşımın kırsaldaki çiftliğinde gösterdiği router günlüklerinde “Audi”, “BMW”, “Tesla” gibi isimlere sahip sayısız Wi-Fi AP görünüyordu
Bu tür verilerle kimin ne zaman geçtiğini anonimlikten çıkararak (de-anonymize) kolayca takip etmek mümkün gibi görünüyor
Alışveriş merkezlerinin de bu Wi-Fi/Bluetooth sinyalleri ile müşterilerin hareket rotalarını izlediğini duymuştum
Bakınca çoğunun kurumsal tanıtım düzeyinde olduğunu gördüm ama Michigan State Üniversitesi’nin Meijer projesi gibi örnekler de vardı
Yine de anonim istatistik düzeyinde veri toplanabiliyor
teslaradar.com gibi sitelerde de görülebiliyordu
Musk bunu “plaka da takip edilebiliyor, bunda ne var” der gibi geçiştirmişti
AB’de bu tür takip yasa dışı
Alıcı ekipman da ucuz olduğundan herkes aracı tanımlayabilir
Apple cihazlarının varsayılan adı da “Jack’s iPhone” gibi olduğundan kişiyi tanımlamak fazla kolay
Şirketlerin varsayılan ayarlarla kullanıcıları korumadığını fark ettim
Ben 2 yıldır Bluetooth’u yalnızca gerektiğinde açma alışkanlığı edindim
Apple’ın “Find My” ve Google’ın “Find Hub” hizmetleri geldikten sonra pil tüketimi gözle görülür biçimde arttı
Tam anlamıyla çıkış yapmanın bir yolu olmadığından, pili korumak için sonunda BT’yi kapalı tutmaktan başka seçenek kalmıyor
Pek çok insanın güvenlik ve mahremiyet konusunda bu kadar kayıtsız olmasına şaşırıyorum
Washington DC ile Maryland, Virginia ve Delaware bölgelerinde zaten Bluetooth ve EZ-Pass sinyalleriyle trafik izleniyor
Belirli bir kimliğin algılanması arasındaki süreye göre araç hızı hesaplanıyor ve trafik akışını iyileştirmek için ışık zamanlamaları ayarlanıyor
Cep telefonlarının ilk dönemlerinde, metroda yakındaki Bluetooth cihaz adlarına bakıp kimin kim olduğunu tahmin etme oyunu oynardık
O zamanlar herkes cihaz adına biraz karakter katardı
Neyse ki o isimle de işe alındım
Yapay zeka tarafından yazılmış blog yazıları, getirisi düşünceye kadar sürecek gibi görünüyor
Bluetooth takibi, görsel gözlemden çok daha gizli ve ucuz bir gözetim aracı
Kameralar fark edilir ama BT alıcıları tamamen gizlenebilir
Bluetooth ve Wi-Fi metaverisi toplayıp görüntüyü MAC adresleriyle eşleştirmek de mümkün olabilir
Şimdilik bunu sadece paket teslimatı tespiti için kullanmayı planlıyorum
Evdeyken kurye hareket örüntülerini Bluetooth ile algılayabilmek şaşırtıcı
Basit bir Raspberry Pi ile bile telefon ve saat eşleşmeleri izlenip bir hareket profili çıkarılabiliyor
Cihazlarımın gereksiz yere sinyal yayıp yaymadığını kontrol etmek istiyorum
Sürücüyü benzersiz kimlikle tanımlamak da zor olmaz
Kısa süre önce Nordic NRF52840 SoC ile BLE anten ayarı yaparken testler yürütüyordum
‘nRF Connect’ uygulamasıyla etraftaki cihazları tararken kim olduğu belirsiz bir BLE cihazı buldum; sonra bunun babamın kalp piline (pacemaker) ait olduğunu anladım
Bu deneyim sayesinde ölümden sonra da kalp pilinin yerinde kaldığını öğrenmiş oldum ve
rüyamda mezarın içinden BLE sinyali algılanan bir kâbus bile gördüm
Benim bölgemdeki karayolları kurumu da Bluetooth ile araç hızını ölçüyor
Belirli bir kimliğin iki noktada algılandığı zaman karşılaştırılarak trafik akışı gerçek zamanlı izleniyor
Bluetooth MAC adresi rastgeleleştirmesi (randomization) gerçekten çok gerekli
Wi-Fi bunu zaten destekliyor ama çoğu insan hâlâ sabit BT tanımlayıcısı yayınlıyor
Adres belli aralıklarla değişiyor ama dönüş anlarını izlerseniz yine aynı cihaz olduğu çıkarılabiliyor
iPhone ve Apple Watch gibi cihazlarda örüntü analizi ile cihaz türünü de ayırt etmek mümkün
Bunu tamamen aşmak için radyo parmak izi analizi (radio fingerprinting) gibi ileri seviye ekipman gerekir