- Membuat dan merilis Bluehood, sebuah scanner berbasis Python yang mengumpulkan sinyal Bluetooth di sekitar untuk memvisualisasikan informasi yang tanpa sadar dibocorkan pengguna
- Hanya dengan membiarkan Bluetooth tetap aktif, pola hidup seperti "jam rumah kosong" dan riwayat kunjungan dapat dilacak
- Beberapa perangkat medis, kendaraan, dan smartwatch tidak memungkinkan pengguna mematikan Bluetooth, sehingga terus memancarkan sinyal
- Bahkan aplikasi berfokus privasi seperti Briar dan BitChat tetap memerlukan Bluetooth aktif, sehingga muncul paradoks antara keamanan dan keterpaparan
- Menekankan perlunya kesadaran dan kontrol atas jejak digital yang bocor dari perangkat sehari-hari
Gambaran umum proyek Bluehood
- Bluehood adalah scanner Bluetooth yang dibuat untuk menguji informasi apa saja yang terekspos ke luar saat Bluetooth aktif
- Mendeteksi perangkat di sekitar dan menganalisis pola kemunculan dan menghilang
- Dikembangkan dengan bantuan AI, dengan tujuan memahami kondisi nyata kebocoran informasi pribadi
- Dikembangkan segera setelah pengungkapan kerentanan WhisperPair milik tim riset KU Leuven (CVE-2025-36911)
- Cacat tersebut memungkinkan ratusan juta perangkat audio diambil alih dari jarak jauh atau dilacak lokasinya
- Disebut sebagai contoh yang menunjukkan bahwa sinyal Bluetooth sama sekali tidak selalu aman
Keterpaparan Bluetooth dalam keseharian
- Smartphone, laptop, kendaraan, perangkat medis, dan lainnya selalu hadir dalam keadaan Bluetooth aktif
- Pola pikir “kalau tidak ada yang disembunyikan, tidak ada yang perlu ditakuti” telah menjadi hal umum
- Namun, hanya dengan membiarkannya aktif saja, kebocoran informasi yang tidak disengaja dapat terjadi
- Sebagai contoh, saat Bluehood dijalankan dalam mode manual, hal-hal berikut dapat terdeteksi
- Waktu kedatangan kendaraan kurir dan apakah kurirnya orang yang sama
- Pola aktivitas harian tetangga
- Kombinasi perangkat yang muncul bersama (mis. ponsel dan smartwatch)
- Jam berangkat dan pulang kerja seseorang
- Deteksi ini dapat dilakukan hanya dengan Raspberry Pi atau laptop biasa
Perangkat yang tidak bisa dikendalikan pengguna
- Sebagian perangkat memiliki Bluetooth yang tidak bisa dimatikan oleh pengguna
- Alat bantu dengar menggunakan BLE untuk kendali jarak jauh dan diagnosis
- Implan medis seperti alat pacu jantung juga memancarkan sinyal BLE
- Kendaraan dan sarana transportasi terus menyiarkan Bluetooth untuk manajemen dan diagnostik kendaraan
- Smartwatch, kalung GPS hewan peliharaan, dan peralatan kebugaran juga tidak bisa berfungsi tanpa Bluetooth
Paradoks alat privasi
- Briar menyinkronkan pesan melalui jaringan mesh Bluetooth dan Wi‑Fi bahkan ketika internet terputus
- Mendukung komunikasi aktivis dan jurnalis tanpa server pusat
- BitChat adalah messenger terdistribusi yang sepenuhnya berbasis jaringan mesh Bluetooth
- Mengirim pesan lewat multi-hop tanpa internet, server, maupun nomor telepon
- Kedua aplikasi ini sama-sama bertujuan melindungi privasi, tetapi tetap membutuhkan Bluetooth aktif untuk digunakan
- Akibatnya, muncul kontradiksi ketika sarana perlindungan sekaligus menjadi jalur keterpaparan
Informasi yang diungkap metadata
- Hanya dari pola sinyal Bluetooth, perilaku individu dapat dilacak
- Misalnya, dengan memindai area tertentu selama beberapa minggu, hal berikut bisa diketahui
- Jam rumah kosong
- Ada atau tidaknya pengunjung rutin
- Pola pergantian shift kerja
- Waktu anak pulang ke rumah
- Frekuensi kunjungan kurir yang sama
- Melalui log, perangkat yang berada di sekitar pada waktu tertentu dapat ditelusuri kembali
- Contoh: smartwatch milik orang yang sedang berjalan-jalan, alat pelacak pada kendaraan, dan lain-lain
- Ini menunjukkan betapa mudahnya jejak digital sehari-hari dikumpulkan
Fitur Bluehood
- Sebuah aplikasi Python yang dapat dijalankan di perangkat apa pun dengan adaptor Bluetooth
- Pemindaian berkelanjutan untuk mendeteksi perangkat di sekitar serta mengidentifikasi vendor dan BLE service UUID
- Analisis pola untuk heatmap per waktu, durasi keberadaan, dan deteksi perangkat yang berkaitan
- Filter alamat MAC acak untuk menyesuaikan dengan fitur perlindungan privasi pada perangkat modern
- Mendukung pemantauan real-time melalui dashboard web
- Data disimpan di SQLite, dan tersedia fitur push notification melalui ntfy.sh
- Dapat diinstal dengan Docker atau secara manual, lalu dijalankan dengan hak akses root atau sebagai layanan systemd
Tujuan proyek
- Bluehood adalah alat demonstrasi edukatif, bukan alat peretasan
- Menunjukkan betapa mudahnya informasi pribadi terekspos bahkan dengan perangkat keras umum
- Bahkan fitur kenyamanan yang sederhana pun memiliki biaya dari radio nirkabel yang selalu aktif dan hal itu perlu disadari
- Mendorong keputusan penggunaan yang sadar dengan membedakan kapan Bluetooth benar-benar wajib dan kapan hanya sekadar kenyamanan
- Jika pengguna meninjau ulang kebiasaan Bluetooth mereka melalui Bluehood, maka tujuan proyek ini tercapai
- Kode sumber BlueHood tersedia di GitHub
1 komentar
Komentar Hacker News
Kita sepertinya sudah terlalu menganggap Bluetooth yang selalu aktif sebagai hal yang wajar
Ponsel, laptop, smartwatch, mobil, bahkan perangkat medis terus-menerus memancarkan sinyal
Di log router di sebuah peternakan pedesaan milik teman, terlihat banyak AP Wi-Fi dengan nama seperti “Audi”, “BMW”, dan “Tesla”
Dengan data seperti ini, rasanya akan mudah melacak siapa lewat kapan jika berhasil de-anonymize
Katanya di pusat perbelanjaan pun sinyal Wi-Fi/Bluetooth seperti ini dipakai untuk melacak pergerakan pelanggan
Setelah dicari, kebanyakan cuma materi promosi perusahaan, tapi ada contoh seperti proyek Meijer dari Michigan State University
Namun data masih bisa dikumpulkan pada tingkat statistik anonim
Ini juga bisa dilihat di situs seperti teslaradar.com
Musk menepisnya dengan sikap seperti “pelat nomor juga bisa dilacak, jadi apa masalahnya”
Di UE, pelacakan seperti ini ilegal
Perangkat penerimanya pun murah, jadi siapa saja bisa mengidentifikasi kendaraan
Perangkat Apple juga memakai nama bawaan seperti “Jack’s iPhone”, jadi identifikasi pribadi jadi terlalu mudah
Ini menyadarkan saya bahwa perusahaan tidak melindungi pengguna lewat pengaturan bawaan
Sejak 2 tahun lalu saya membiasakan diri menyalakan Bluetooth hanya saat perlu
Setelah layanan “Find My” dari Apple dan “Find Hub” dari Google muncul, konsumsi baterai terasa meningkat jelas
Tidak ada cara untuk benar-benar opt-out, jadi pada akhirnya satu-satunya cara menghemat baterai adalah mematikan BT
Mengejutkan melihat begitu banyak orang sangat cuek terhadap keamanan dan privasi
Di wilayah Washington DC, Maryland, Virginia, dan Delaware, lalu lintas sudah dilacak lewat sinyal Bluetooth dan EZ-Pass
Kecepatan kendaraan dihitung dari jeda antar deteksi ID tertentu, lalu waktu lampu lalu lintas disesuaikan untuk memperbaiki arus kendaraan
Pada masa awal ponsel, kami biasa bermain di kereta bawah tanah dengan menebak orang berdasarkan nama perangkat Bluetooth di sekitar
Waktu itu semua orang memberi nama perangkat yang unik
Untungnya saya tetap diterima meski namanya begitu
Tulisan blog yang ditulis AI sepertinya akan terus ada sampai hype-nya memudar
Pelacakan Bluetooth adalah sarana pengawasan yang jauh lebih tersembunyi dan murah dibanding observasi visual
Kamera terlihat jelas, tapi penerima BT bisa disembunyikan sepenuhnya
Untuk mengumpulkan metadata Bluetooth dan Wi-Fi, lalu mungkin mencocokkan video dengan alamat MAC
Untuk saat ini rencananya hanya dipakai mendeteksi paket kiriman
Menarik bahwa di rumah kita bisa mendeteksi pola pergerakan kurir lewat Bluetooth
Bahkan dengan Raspberry Pi sederhana, kita bisa melacak pairing ponsel dan jam tangan untuk membuat profil pergerakan
Jadi saya ingin memeriksa apakah perangkat saya memancarkan sinyal yang tidak perlu
Mengidentifikasi pengemudi lewat ID unik pun seharusnya tidak sulit
Baru-baru ini saya sedang menguji tuning antena BLE dengan Nordic NRF52840 SoC
Saat memindai perangkat sekitar dengan aplikasi ‘nRF Connect’, saya menemukan perangkat BLE misterius, dan ternyata itu adalah pacemaker ayah saya
Dari pengalaman ini saya jadi tahu bahwa pacemaker tetap ada bahkan setelah kematian,
dan saya sampai bermimpi buruk tentang sinyal BLE yang tertangkap dari dalam kuburan
Dinas jalan di daerah saya juga mengukur kecepatan kendaraan dengan Bluetooth
Dengan membandingkan waktu saat ID tertentu terdeteksi di dua titik, mereka bisa memantau arus lalu lintas secara real-time
Randomisasi alamat MAC Bluetooth sangat dibutuhkan
Wi-Fi sudah mendukungnya, tetapi kebanyakan orang masih menyiarkan pengenal BT yang tetap
Alamatnya berubah secara berkala, tetapi jika momen rotasinya dilacak, perangkat yang sama masih bisa disimpulkan
Seperti pada iPhone dan Apple Watch, jenis perangkat juga bisa diidentifikasi lewat analisis pola
Untuk benar-benar mencegahnya, dibutuhkan peralatan canggih seperti radio fingerprinting