The sole intention is to pair Windows 7 laptops to peripherals - human interface devices (HIDs) and printers - for field workers. Are
there particular vulnerabilities to be concerned about?
Certo che ci sono, non tanto le interazioni con il mouse, ma diciamo che hai una tastiera bluetooth e la bluejack, posso vedere tutto ciò che scrivi, non diverso da un keylogger e il suo tempo reale e non devo acquisire e caricare o qualsiasi cosa, me lo stai mandando al volo.
Is there a reliable way to configure what kind of profiles can be paired, to ensure only peripherals can be used?
Puoi usare le politiche per questo. Sulla macchina Windows (che presumo tu stia utilizzando in base al commento W7) puoi configurare le restrizioni hardware usando la policy ma, ancora una volta, non è perfetto dato che tutti i dispositivi BT non classificano correttamente il loro hardware. Se voi ragazzi usate gli stessi dispositivi, siete disposti a fare il lavoro, potete codificare i loro ID hardware nelle politiche. Inoltre avrai bisogno di una buona versione robusta di Windows 7 (pro +), niente budgetware (starter, home b / p).
Is limiting discoverability the most important security measure? It
seems if one forces the user to activate discoverability, most
vulnerabilities are mitigated. Is this true?
È il minimo sforzo in sicurezza e un must. Un processo di accoppiamento più robusto ha reso l'interazione necessaria per la connessione, ma essendo individuabile rende sicuramente la forza bruta più facile perché non vi è alcun limite di tempo. Quindi disabilitare la scoperta renderà più difficile il bluejack ma non impossibile.
Ogni giorno vedo i miei vicini smart tv, il suo mac, il suo ipad e così via e il mio computer mi dice che esistono, quindi puoi immaginare che se non fossi un hacker etico, non sarebbero felici camper. In effetti dovevo metterli a sedere e dire loro come evitare di trasmettersi in quel modo. La moglie è stata rapidamente sbrigativa su quanti danni si sarebbero potuti fare fino a quando le ho mostrato quanto mi ci è voluto per controllare il suo ipad, mandare le sue foto alla mail di suo marito e farle vedere che succedeva tutto. Inutile dire che ne ho preso un 6 di birra :) e lei è una convertita. Triste parte, non ho nemmeno dovuto fare il cappello nero per farlo, non era sicuro.