低功耗蓝牙黑客：从数字逃逸到现实

2023年8月19日-20日，由知道创宇举办的第十二届KCon大会在京成功举办，来自五湖四海的网安技术爱好者们欢聚一堂，共同论道网安。

小米智能终端安全实验室肖临风、杨大林在此次盛会为大家分享了议题《低功耗蓝牙黑客：从数字逃逸到现实》，展现如何利用黑客技术将低功耗蓝牙的数字安全映入现实世界。该议题展现了小米安全在移动安全软硬件领域的积累与创新。

小米智能终端安全实验室肖临风、杨大林

关于小米智能终端实验室

小米智能终端实验室致力于研究行业安全技术和实践、研发自动化平台、并对智能终端产品进行安全评估和防护，提升小米产品安全性。团队成员曾多次参加Geekpwn、天府杯、补天杯等赛事并获大奖。

BLE如何影响物理现实中的安全

低功耗蓝牙（BLE）已成为全球数十亿智能设备的重要组成部分，在新时代也将面临各种挑战。每年都会有安全研究者探索BLE的各种攻击方法。本次议题分享了从BLE如何影响物理现实中的安全，内容涵盖BLE产品不同协议层的安全风险，从浅层到深层进行讨论，并探讨BLE协议的独特攻击面。

小米研究人员发现了某些厂商的BLE应用层私有协议存在多个漏洞。黑客可以通过刷新时间使旧命令有效，轻松打开智能锁，能够造成失窃的风险。帮助智能设备厂商提升整体安全水平。分享中解释了漏洞产生的底层逻辑是开发者惯性思维导致，警示了设备厂商需要提升重视安全意识。

除了低功耗蓝牙的应用层安全，本议题的亮点是较为深入地研究了BLE协议本身的安全问题。首先从分析Controller层的CONNECT_IND连接报文，突破性地实现BLE链路的劫持攻击。随后展示了国内首个BLE链路层中继攻击实践，基于BLE链路层中继可以绕过目前所有已知的中继防御手段，该攻击方式可以攻破目前主流的汽车无钥匙进入系统，该类汽车的安全问题可能导致造成财产损失或者人员伤亡。

常规的BLE中继可以轻松被链路层加密所防御，研究员经过对更底层的链路层进行不断地研究，在探索BLE链路层中继过程中，遇到重重困难，由于TCP/IP延迟的存在，当设备在当前频段l响应返回时BLE通信链路已经跳转到了下一个频段等待，进而导致的超时事件使得中继难以成功。

经过不断地突破，由于BLE物理信道中整体数据报文包含链路控制相关的数据，中继会受到链路延迟检测的限制，研究员通过仅中继核心报文Linker Layer PDU，抛弃维持链路的Access Address和CRCInit。最终在物理层上分别建立Linker Layer连接，完成了链路层中继。另外，研究员提出BLE加密链路后中继的攻防对抗思路，并且将继续在该领域进行深入研究，为智能设备端安全保驾护航。

议题分享的最后，研究员介绍了一款工具，不仅能够检测议题中披露所有BLE漏洞，也可以对各种智能设备进行便携式户外风险测试，帮助制造商检测潜在风险，并且在未来智能终端安全检测中能够提供很大的帮助。

安全永无终点，小米安全将继续发力，持续提高安全防护水平，也会不断分享小米安全建设运营过程中的经验总结，与安全社区共同推进技术进步。

期待有同样愿景的你，加入小米安全中心，与我们一起努力，共同守护。

【2023招聘】小米安全“职”等你来

原文始发于微信公众号（小米安全中心）：低功耗蓝牙黑客：从数字逃逸到现实