文章总结： 本文深度解析蓝牙安全，指出BLE连接逻辑存在未认证风险，详述SSP配对降级攻击与RSSI中继攻击原理。探讨了UWB及云端密钥防御方案，分析了CVE-2025-0084等漏洞与蓝牙6.0技术。建议开发者强制实施安全连接与二次校验，红队关注协议退化及私有实现漏洞，应对便利性与安全性的博弈。
综合评分： 87
文章分类： 漏洞分析,红队,IoT安全,车联网安全,渗透测试

蓝牙安全概述：从协议逻辑缺陷到物理层测距攻防

原创

ZKAFKA
ZKAFKA

网络安全研究站

2026年3月24日 10:08
浙江

在万物互联的场景中，蓝牙技术正身处便利性与安全性的博弈前沿。从手机自动解锁车辆，到智能家居的无感交互，蓝牙协议的攻击面已从早期的近场窃听，演变为影响核心资产安全的链路级威胁。

本文将从协议架构、配对陷阱、距离欺骗及前沿防御方案四个维度，深度解析蓝牙安全的技术本质。

01

架构底座：蓝牙的连接逻辑

在执行渗透任务或安全审计前，必须明确经典蓝牙与低功耗蓝牙在连接逻辑上的根本差异：

• 经典蓝牙：主要用于高带宽、持续传输场景（如音响）。其连接顺序遵循 扫描 → 配对 → 连接。
• 低功耗蓝牙：主导了目前 90% 的 IoT 和车辆钥匙方案。其逻辑与经典蓝牙相反：扫描 → 连接 → 配对。

红队视角：这种“先连接后配对”的逻辑意味着，攻击者可以在未通过认证的情况下，率先与 BLE 设备建立链路层连接。通过扫描芯片丝印或反查 BD_ADDR，攻击者能快速识别目标厂商的预置缺陷，为后续攻击奠定基础。

02

核心战场：SSP 配对机制与逻辑降级攻击

现代蓝牙安全的核心在于 SSP（Secure Simple Pairing）。它通过四种模式平衡用户交互与安全性：

• 数值比较 (Numeric Comparison)：双方显示6位数字，用户确认一致。具备防中间人（MITM）能力。
• 确认项 (Just Works)：这是安全等级最低的模式。由于无需用户交互，它不具备防MITM攻击的能力，常被用于无显示屏的IoT设备。
• 密钥输入 (Passkey Entry)：一端显示，另一端输入，具备防MITM能力。
• 带外通信 (OOB)：利用NFC等非蓝牙信道交换密钥，理论安全性最高。

逻辑降级攻击

在配对的第一阶段，双方会交换 IO 能力字段。攻击路径如下：

1. 中间人介入：攻击者通过中间人手段，拦截并篡改握手包中的 IO 字段。
2. 强制降级：将字段恶意修改为 NoInputNoOutput，使系统“误以为”双方均不具备输入输出能力。
3. 密钥归零：系统被迫降级至 Just Works 模式，此时临时密钥被固定为 0，攻击者可轻易接管链路加密。

风险提示：即使是安全性要求极高的智能汽车钥匙，有时为了极致的“无感进入”体验，仍会保留 Just Works 逻辑作为兜底方案，这成为红队渗透的关键切入点。

03

距离的伪证：中继攻击与测距攻防

在车辆被动进入系统中，传统的基于 RSSI 的感应逻辑存在天然缺陷。

1. RSSI 中继攻击

攻击者无需破解加密，只需部署两个中继设备：一个靠近车辆，另一个靠近车主（如在家中或办公室）。通过高增益天线捕获车主手机的蓝牙信号并放大转发给车辆，车辆协议栈检测到“强信号”，便误判车主已靠近，执行解锁并启动车辆。由于攻击过程仅涉及信号转发，不破坏加密内容，且响应时间在蓝牙容忍范围内，因此防御难度极高。

2. 进阶防御：UWB 与云端方案

为对抗中继攻击，行业出现了两种演进方向：

• UWB（超宽带）：通过飞行时间计算精准厘米级距离。由于光速限制，任何中继设备都会引入纳秒级延迟，UWB 可据此识别异常，从根本上阻断中继攻击。
• 云端动态密钥管理（特斯拉方案）：该方案彻底绕过蓝牙原生的 Link Key 协商，转而由云端生成并分发短期会话密钥。虽然解决了蓝牙协议层面的弱点，但将风险转移到了云端 API 安全与网络依赖性上。

04

2025–2026 前沿漏洞与协议进化

1. 系统级溢出：CVE-2025-0084
   2025 年披露的 Android 蓝牙栈漏洞显示，在处理 HFP（免提配置文件）协议包时，由于内存管理存在缺陷，攻击者可通过发送畸形 PDU 实现远程代码执行。这再次印证：协议理论安全不代表实现代码安全。
2. 静默诱导：WhisperPair 攻击
   针对 Google Fast Pair 等快速配对协议，攻击者可利用配件固件未校验“配对状态机”的逻辑缺陷，强制诱导设备发起配对，从而实现对音频外设的静默监听。
3. 终极补丁：蓝牙 6.0 信道探测
   2025–2026 年商用的蓝牙 6.0 引入了基于相位的测距。它不再依赖不可靠的信号强度，而是通过测量无线电波的相位差来确保物理距离的真实性，从底层架构上终结了简单的信号中继攻击。

05

总结与安全建议

蓝牙安全已从“关闭可见性”演进至“协议逻辑与物理特性并重”的时代。

• 对于开发者来说，应严格限制 IO Capability 的协商权限，强制实施 LE Secure Connections，并在业务层（如 App 端）引入二次动态校验，不完全依赖蓝牙原生的配对结果。
• 对于红队研究员来说，应重点关注协议退化逻辑，以及厂商在实现私有协议（如自定义广播包）时引入的逻辑漏洞。

蓝牙 6.0 的普及将极大提升测距安全，但只要“便利性”依然是用户的第一追求，围绕认证逻辑和系统实现层面的攻防战就不会停歇。

本站致力于做最深度、专业、前沿的网络安全知识分享平台，欢迎点赞、关注、推荐，为您持续更新深度好文。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网络安全研究站 ZKAFKA
ZKAFKA《蓝牙安全概述：从协议逻辑缺陷到物理层测距攻防》