搜索

[6933] 2020-09-18_数十亿设备或将受到新的“BLESA”蓝牙安全漏洞的攻击

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-17
2020-09-18_数十亿设备或将受到新的“BLESA”蓝牙安全漏洞的攻击 数 十 亿 设 备 或 将 受 到 新 的 “   B L E S A ” 蓝 牙 安 全 漏 洞 的 攻 击 小 E   E 安 全   2 0 2 0 - 0 9 - 1 8 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网   w w w . e a s y a q . c o m       E 安 全 9 月 1 8 日 讯       如 今 ， 数 以 亿 计 的 智 能 手 机 、 平 板 电 脑 、 笔 记 本 电 脑 和 物 联 网 设 备 正 在 使 用 蓝 牙 软 件 ， 需 要 警 觉 的 是 ， 这 些 软 件 很 容 易 受 到 今 年 夏 天 披 露 的 一 个 新 的 安 全 漏 洞 的 攻 击 。 该 漏 洞 被 称 为 B L E S A   ( B l u e t o o t h   L o w   E n e r g y   S p o o f i n g   A t t a c k ) ， 会 影 响 运 行 B l u e t o o t h   L o w   E n e r g y   ( B L E ) 协 议 的 设 备 。 据 悉 ， B L E 是 原 始 蓝 牙 ( 经 典 ) 标 准 的 精 简 版 ， 旨 在 节 省 电 池 电 量 ， 尽 可 能 长 时 间 保 持 蓝 牙 连 接 。 由 于 其 节 省 电 池 的 特 性 ， B L E 在 过 去 的 十 年 中 被 广 泛 采 用 ， 成 为 一 种 几 乎 无 处 不 在 的 技 术 。 由 于 这 种 广 泛 采 用 ， 安 全 研 究 人 员 和 学 者 多 年 来 也 多 次 对 B L E 的 安 全 缺 陷 进 行 调 查 ， 经 常 发 现 重 大 问 题 。
然 而 ， 以 前 关 于 B L E 安 全 问 题 的 绝 大 多 数 研 究 几 乎 都 只 关 注 于 配 对 过 程 ， 而 忽 略 了 B L E 协 议 的 大 部 分 内 容 。 普 渡 大 学 (   P u r d u e   U n i v e r s i t y   ) 组 成 的 一 个 研 究 团 队 在 着 手 调 查 B L E 协 议 后 ， 发 现 了 安 全 问 题 。 他 们 把 工 作 集 中 在 “ 重 新 连 接 ” 过 程 上 。 在 配 对 操 作 期 间 ， 两 个 B L E 设 备 ( 客 户 端 和 服 务 器 ) 相 互 验 证 之 后 ， 就 会 执 行 此 操 作 。 当 蓝 牙 设 备 移 出 范 围 ， 然 后 再 移 回 到 范 围 内 时 ， 也 会 发 生 重 新 连 接 。 正 常 情 况 下 ， 当 重 新 连 接 时 ， 两 台 B L E 设 备 应 该 检 查 彼 此 在 配 对 过 程 中 协 商 的 密 钥 ， 然 后 重 新 连 接 并 继 续 通 过 B L E 交 换 数 据 。 但 是 普 渡 大 学 的 研 究 小 组 说 ， 他 们 发 现 官 方 的 B L E 规 范 没 有 包 含 足 够 强 的 语 言 来 描 述 重 新 连 接 的 过 程 。 因 此 ， 有 两 个 系 统 问 题 影 响 了 软 件 供 应 链 ：
设 备 重 新 连 接 期 间 的 身 份 验 证 是 可 选 的 ， 而 不 是 强 制 的 。 如 果 用 户 的 设 备 未 能 强 制 物 联 网 设 备 对 所 通 信 的 数 据 进 行 身 份 认 证 ， 则 可 能 会 绕 过 认 证 。 这 两 个 问 题 为 B L E S A 攻 击 打 开 了 大 门 — — 在 此 期 间 ， 附 近 的 攻 击 者 就 可 以 绕 过 重 连 接 验 证 ， 并 向 带 有 错 误 信 息 的 B L E 设 备 发 送 欺 骗 数 据 ， 并 诱 导 使 用 者 和 自 动 化 流 程 做 出 错 误 决 定 。 随 后 ， 研 究 人 员 分 析 了 多 种 用 于 支 持 不 同 操 作 系 统 ， 包 括 基 于 l i n u x 的 物 联 网 设 备 、 安 卓 、 i O S 等 上 的 B L E 通 信 的 软 件 栈 ， 都 容 易 受 到 B L E S A 攻 击 ， 而 W i n d o w s 设 备 中 的 B L E 堆 栈 则 不 受 影 响 。 虽 然 可 以 通 过 更 新 来 修 复 漏 洞 ， 糟 糕 的 是 ， 根 据 以 前 B L E 的 使 用 统 计 数 据 ， 研 究 团 队 认 为 使 用 易 受 攻 击 的 B L E 软 件 栈 的 设 备 数 量 有 数 十 亿 数 十 亿 。 其 中 ， 有 一 些 早 期 的 设 备 并 未 内 置 更 新 机 制 ， 这 意 味 着 这 些 设 备 将 永 远 无 法 修 补 漏 洞 永 远 无 法 修 补 漏 洞 。 目 前 ， 这 些 设 备 的 软 件 供 应 商 对 它 们 束 手 无 策 ， 正 在 等 待 一 个 补 丁 。 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 2 0 2 0 国 家 网 络 安 全 宣 传 周 ： 安 卓 用 户 注 意 了 ！ 常 年 不 关 手 机 蓝 牙 或 成 为 “ 定 时 炸 弹 ” 2 0 2 0 国 家 网 络 安 全 宣 传 周 ： 小 心 ！ 智 能 手 环 也 可 能 泄 露 您 的 个 人 隐 私 2 0 2 0 国 家 网 络 安 全 宣 传 周 ： 警 惕 ！ 破 解 一 道 智 能 门 锁 只 需 1 0 秒 安 恒 信 息 安 全 运 营 中 心 威 胁 情 报 总 结   D A Y 5
蓝 军 近 期 需 要 关 注 的 1 2 个 漏 洞 （ 截 止 至 8 月 2 0 日 ） ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理