Bluetooth sigurnost: vaš uređaj stalno emitira signal i to nije bezopasno

Uključite Bluetooth na telefonu i otvorite odgovarajuću aplikaciju za skeniranje. Vidjet ćete popis — slušalice susjeda, pametni sat prolaznika, bežični miš u sobi pored, možda keyboard u kafiću, AirTag koji nekako leži u torbici kolege. Svaki od tih uređaja stalno, neprekidno, šalje mali radijski signal u prostor. I svaki koji skenira može ga uhvatiti.

Bluetooth je dizajniran za komunikaciju na kratkim udaljenostima, ali "kratke udaljenosti" relativno je pojam: standardni Bluetooth 5.0 domet je do 240 metara u otvorenom prostoru. Svaki uređaj koji ima Bluetooth u sebi — a danas ih ima gotovo sve — emitira advertisement paket svakih nekoliko sekundi čak i kada "nije spojen" ni na što. Samo je tu. I čeka.

Kako Bluetooth advertisement radi

Svaki Bluetooth uređaj ima jedinstvenu MAC adresu — 12-znamenkasti identifikator poput fizičke adrese na mreži. Kada Bluetooth tražite parove ili je dostupan za spajanje, šalje se advertisement paket koji sadrži:

• MAC adresu uređaja
• Naziv uređaja (npr. "Ivanov AirPods" ili "JBL Flip 6")
• Tip i karakteristike uređaja
• Signal snagu (RSSI)

Problem s privatnošću nastaje jer ove pakete može hvatati bilo koji drugi Bluetooth senzor u blizini — bez vašeg znanja i bez ikakvog spajanja. Nije potrebno pairing, nije potrebna potvrda. Samo sken.

Moderni BLE (Bluetooth Low Energy) uređaji implementiraju "address randomization" — MAC adresa se periodički mijenja da spriječi praćenje. Ali implementacija je često nepotpuna ili propunjava MAC adresu zajedno s dovoljno drughi karakteristika da se uređaj ipak može identificirati metodama fingerprinting analize.

AirTag: dizajniran za praćenje, zlorabljen za praćenje

Apple AirTag je predstavljen 2021. kao gadget za pronalaženje izgubljenih predmeta. Radi na Apple-ovoj Find My mreži: svaki iPhone u blizini AirTaga automatski anonimno prijavljuje njegovu lokaciju u Apple-ove servere, a vlasnik može vidjeti gdje je predmet. Elegantno.

Samo što je ista tehnologija odmah iskorištena za stalking. Slučajevi u SAD-u i Europi dokumentirali su stavljanje AirTagova u aute, torbice ili džepove osoba bez njihovog znanja. Apple je uveo upozorenja — ako tuđi AirTag putuje s vama dulje od 8-24 sata, iPhone (i Android uz AirGuard aplikaciju) vas upozori. Ali upozorenje kasni. I na starijim Androidima bez aplikacije — nikad ne dođe.

U 2023. godini, istraživači su dokumentirali slučajeve u kojima su žrtve stalking napada pronašle AirTagove skrivene u raznim dijelovima automobila. Nasilje u obitelji, obsesivna ljubomora, korporativna špijunaža — sve je koristilo iste jeftine 35-euro trackere.

nRootTag: svaki Bluetooth uređaj kao AirTag (2025)

U veljači 2025., istraživači s George Mason University objavili su exploit nazvan nRootTag koji je mnogo ozbiljniji od samog AirTaga. Ranjivost iskorištava Apple-ovu Find My mrežu da pretvori bilo koji Bluetooth uređaj u AirTag tracker — laptop, smartphone, game controller, VR headset, e-bicikl.

Napadač bez root pristupa, bez posebnih vještina i uz trošak "svega nekoliko dolara" (cloud computing) može pratiti gdje putuje čovjekov laptop — ako je Bluetooth uključen. Uspješnost: 90% u roku od nekoliko minuta. Apple je obavješten i radi na zakrpi, ali ranjivost po prirodi iskorištava arhitekturu Find My mreže, ne bug u kodu.

BlueSnarfing i starije ranjivosti

Osim praćenja, Bluetooth je ranjiv na izravne napade. BlueSnarfing je napad koji iskorištava ranjivosti u OBEX (Object Exchange) protokolu da bez dozvole čita podatke s uređaja — kontakte, poruke, slike. Ranjivost je zakrpana na modernim uređajima, ali stariji Bluetooth uređaji (automobili, stariji slušalice, IoT gadgeti) mogu biti ranjivi.

BlueBugging ide korak dalje — potencijalno omogućava izvršavanje komandi na ranjivom uređaju. I 2025. istraživanja nastavljaju dokumentirati nove varijante napada na BLE protokol, posebno na IoT uređaje koji rijetko dobivaju sigurnosna ažuriranja.

Praktični koraci za smanjenje rizika

Bluetooth ranjivosti ne znače da ga trebate potpuno izbjegavati — to bi bilo nepraktično. Ali nekoliko navika dramatično smanjuje izloženost:

Isključite Bluetooth kada ga ne koristite. Zvuči trivijalno, ali većina korisnika drži Bluetooth stalno uključen. Na iPhoneu: Control Center dugi pritisak na Bluetooth ikonu → potpuno isključivanje. Na Androidu: Quick Settings → Bluetooth off. Dok je isključen, nema advertisement paketa.

Budite oprezni s "Vidljiv svima" modom. Moderni uređaji po defaultu nisu vidljivi dok aktivno ne parujete. Nikad ne ostavljajte uređaj u discoverable modu dulje nego je potrebno.

Ažurirajte firmware na svim Bluetooth uređajima — slušalicama, zvučnicima, satovima. Mnogi sigurnosni popravci dolaze kroz firmware ažuriranja koja korisnici ignoriraju.

Instalirajte AirGuard (Android i iOS) ako vas brine AirTag praćenje. Skenira okolinu i upozorava na sumnjive trackere.

Za visokorizične situacije (aktivisti, novinari, poslovni putnici): onemogućite Bluetooth potpuno i koristite žičane slušalice.

Vaš telefon je radijski odašiljač koji nikad ne spava. Bluetooth koji "nitko ne koristi" ipak govori svima u blizini: ovdje sam, ovo sam, ovdje idem.

---

Izvori i dodatno čitanje

• nRootTag exploit: George Mason University, 2025 (MacRumors)
• Hackeri mogu pratiti svaki Bluetooth uređaj (Cybernews)
• Bluetooth trackeri i stalking (NJCCIC)
• AirTag sigurnost — prednosti i rizici (CNBC)
• Arxiv: AirGuard — zaštita Android korisnika od AirTag praćenja