搜索

[6688] 2020-05-05_安恒信息安全研究院：深度解构Bluetooth设备地址

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-17
2020-05-05_安恒信息安全研究院：深度解构Bluetooth设备地址 安 恒 信 息 安 全 研 究 院 ： 深 度 解 构   B l u e t o o t h   设 备 地 址 E 安 全   2 0 2 0 - 0 5 - 0 5 以 下 文 章 来 源 于 安 恒 信 息 安 全 研 究 院   ， 作 者 海 特 实 验 室 S o u r c e l l @ 海 特 实 验 室 所 有 的   B l u e t o o t h   设 备 地 址   ( B D _ A D D R )   虽 然 都 固 定 为   4 8 - b i t ， 但 是 它 们 细 分 下 来 却 有   5   种 。 下 面 将 分 别 讨 论 这   5   种   B D _ A D D R 。 B R / E D R   设 备 地 址 设 备 地 址 在   B R / E D R   ( B a s i c   R a t e / E n h a n c e d   D a t a   R a t e )   的 世 界 中 ， 每 个 设 备 的   B D _ A D D R   都 应 该 是 唯 一 的 。 其 格 式 符 合   E U I - 4 8   规 范 ： 先 简 单 说 明 上 面 的 部 分 字 段 ： O U I ,   O r g a n i z a t i o n   U n i q u e   I d e n t i f i e r 该 字 段 被   I E E E   管 理 ， 由   N A P   +   U A P   组 成 ， 用 于 标 识 蓝 牙 设 备 的 厂 商 。 N A P ,   N o n - s i g n i f i c a n t   A d d r e s s   P a r t B a s e b a n d   定 义 的   F H S   ( F r e q u e n c y   H o p   S y n c h r o n i z a t i o n )   p a c k e t   会 携 带   N A P 。 这 个   p a c k e t   主 要 用 于 在   p i c o n e t   信 道 建 立 之 前 或 是 切 换 p i c o n e t   时 ， 同 步 设 备 间 的 跳 频 ： 安 恒 信 息 安 全 研 究 院 安 恒 信 息 安 全 研 究 院   . 一 群 技 术 宅 M S B i t L S B i t + - - - - - - - - - - - - - - - - - + |           E U I - 4 8 | + - - - - - - - - - - - - - - - - - + |         O U I         | | | - - - - - - - - - - - | - - - - - | |   N A P   |   U A P   |   L A P   | | - - - - - | - - - - - - - - - - - | | |         S A P         |     | - - - - - | - - - - - - - - - - - | | 2   B   | 1   B   | 3   B   | + - - - - - - - - - - - - - - - - - +
U A P ,   U p p e r   A d d r e s s   P a r t 一 些   B R / E D R   b a s e b a n d   定 义 的 重 要 算 法 需 要   U A P   的 参 与 ， 比 如 自 适 应 跳 频 选 择 算 法 的 输 入 值 之 一 就 有   U A P （ 也 有   L A P ） ： S A P ,   S i g n i f i c a n t   A d d r e s s   P a r t U A P   与   L A P   组 成 了 与   N A P   对 立 的 字 段   S A P 。 下 面 单 独 说 明   L A P   字 段 。 L A P L A P   ( L o w e r   A d d r e s s   P a r t )   由 厂 商 分 配 给 自 己 生 产 的 设 备 。 不 过 在   L A P   的 值 域 中 ， 有   6 4   个 值 被 保 留 使 用 ， 它 们 是   0 x 9 E 8 B 0 0 - 0 x 9 E 8 B 3 F 。 B R / E D R   设 备 在 不 同 的   l i n k   c o n t r o l l e r   状 态 中 传 输   b a s e b a n d   p a c k e t   时 ， 将 携 带 不 同 的   a c c e s s   c o d e 。 L A P   则 会 参 与 这 些   a c c e s s   c o d e   的 计 算 。 L i n k   c o n t r o l l e r   状 态 机 如 下 ：
当 设 备 处 于   p a g e ,   p a g e   s c a n   以 及   p a g e   r e s p o n s e   状 态 时 ， b a s e b a n d   上 传 输 的   p a c k e t   将 携 带   D A C   ( D e v i c e   A c c e s s   C o d e ) 。 该 值 的 计 算 需 要 被 p a g e   设 备 的   B D _ A D D R   参 与 （ 相 当 于   L A P   需 要 参 与 ） 。 当 设 备 处 于   c o n n e c t i o n ,   s y n c h r o n i z a t i o n   t r a i n   以 及   s y n c h r o n i z a t i o n   s c a n   状 态 时 ， b a s e b a n d   上 传 输 的   p a c k e t   将 携 带   C A C   ( C h a n n e l   A c c e s s C o d e ) 。 该 值 的 计 算 需 要   m a s t e r   设 备 地 址 的   L A P   参 与 。 当 设 备 处 于   i n q u i r y   状 态 时 ， 若 使 用   g e n e r a l   i n q u i r y ， 则   b a s e b a n d   上 传 输 的   p a c k e t   需 要 携 带   G I A C   ( G e n e r a l   I n q u i r y   A c c e s s   C o d e ) 。 该 值 与   L A P 保 留 值   0 x 9 e 8 b 3 3   相 关 ； 若 使 用   d e d i c a t e d   i n q u i r y ， 则   p a c k e t   需 要 携 带   D I A C   ( D e d i c a t e d   I n q u i r y   A c c e s s   C o d e ) 。 该 值 与 剩 下 的   6 3   个   L A P   保 留 值 相 关 。 B L E   设 备 地 址 设 备 地 址 在   B L E   ( B l u e t o o t h   L o w   E n e r g y )   的 世 界 中 ， 设 备 地 址 有 如 下   4   种 ： P u b l i c   D e v i c e   A d d r e s s S t a t i c   D e v i c e   A d d r e s s R e s o l v a b l e   P r i v a t e   A d d r e s s N o n - r e s o l v a b l e   P r i v a t e   A d d r e s s 它 们 之 间 的 关 系 如 下 ：
P u b l i c   D e v i c e   A d d r e s s P u b l i c   d e v i c e   a d d r e s s   与   s t a t i c   d e v i c e   a d d r e s s   同 属 于   i d e n t i t y   a d d r e s s 。 拥 有   i d e n t i t y   a d d r e s s   是 使 用   R P A   ( R e s o l v a b l e   P r i v a t e   A d d r e s s )   的 前 提 。 P u b l i c   d e v i c e   a d d r e s s   大 体 遵 循   B R / E D R   d e v i c e   a d d r e s s   规 范 。 唯 一 的 不 同 是   p u b l i c   d e v i c e   a d d r e s s   可 以 无 视   B R / E D R   B D _ A D D R   规 范 对   L A P   的 限 制 ， 除 非 该 地 址 同 时 作 为   B R / E D R   B D _ A D D R   使 用 。 S t a t i c   D e v c i e   A d d r e s s S t a t i c   d e v c i e   a d d r e s s   的 格 式 如 下 。 其 中   r a n d o m   p a r t   需 至 少 有 一 个 为   1   的   b i t ， 也 需 至 少 有 一 个 为   0   的   b i t ： 如 果   B L E   设 备 使 用   s t a t i c   d e v i c e   a d d r e s s ， 那 么 在 每 次 上 电 时 它 都 应 该 生 成 一 个 新 的   s t a t i c   d e v i c e   a d d r e s s 。 而 且 在 一 个 上 电 周 期 中 ， 该 地 址 不 应 该 被 改 变 。 S t a t i c   d e v i c e   a d d r e s s   也 有 在 设 备 出 厂 时 被 写 死 的 情 况 。 在 实 际 场 景 中 ， 这 种 地 址 大 概 率 上 可 以 保 证 地 址 的 唯 一 性 ， 同 时 不 像 p u b l i c   d e v i c e   a d d r e s s   需 要 花 钱 向   I E E E   购 买 。 作 为 远 端 设 备 则 无 法 区 分 一 个 设 备 地 址 是   s t a t i c   d e v i c e   a d d r e s s   还 是   p u b l i c   d e v i c e   a d d r e s s 。 N o n - r e s o l v a b l e   P r i v a t e   A d d r e s s 这 种 类 型 的 地 址 格 式 如 下 。 其 中   r a n d o m   p a r t   中 需 至 少 有 一 个 为   1   的   b i t ， 也 需 至 少 有 一 个 为   0   的   b i t ： 若   B L E   设 备 使 用   n o n - r e s o l v a b l e   p r i v a t e   a d d r e s s ， 那 么 它 在 每 次 连 接 时 ， 都 需 要 改 变 该 地 址 。 因 此 该 地 址 随 机 性 更 强 ， 可 以 保 护   B L E   设 备 的 隐 私 ， 使 其 难 以 被 追 踪 ， 但 同 时 也 让 合 法 的 设 备 难 以 自 动 识 别 自 己 。 R e s o l v a b l e   P r i v a t e   A d d r e s s R e s o l v a b l e   p r i v a t e   a d d r e s s   是   B L E   设 备 实 现 隐 私 策 略 的 关 键 。 若 仅 使 用   i d e n t i t y   a d d r e s s ， B L E   设 备 在   a d v e r t i s i n g   时 可 能 被 恶 意 追 踪 。 因 为 在 一 定 程 度 上   i d e n t i t y   a d d r e s s   是 固 定 的 ； 若 使 用   n o n - r e s o l v a b l e   p r i v a t e   a d d r e s s   又 会 导 致 地 址 随 机 化 太 强 ， 对 应 用 造 成 不 变 。 R e s o l v a b l e   p r i v a t e a d d r e s s   则 可 以 很 好 地 解 决 这 些 问 题 。 其 格 式 如 下 ， 其 中 有   （ I R K   在 后 面 解 释 ） ： M S B i t 4 8 - b i t       L S B i t + - - - - - - - - - - - - - - - - - - - - - + | 1 | 1 |   r a n d o m   p a r t   | + - - - - - - - - - - - - - - - - - - - - - + M S B i t 4 8 - b i t         L S B i t + - - - - - - - - - - - - - - - - - - - - - + | 0 | 0 |   r a n d o m   p a r t   | + - - - - - - - - - - - - - - - - - - - - - + h a s h   =   a h ( I R K ,   p r a n d )
要 使 用   r e s o l v a b l e   p r i v a t e   a d d r e s s   就 需 要 引 入   B L E   p a i r i n g   的 概 念 。 当 两 个   B L E   设 备 完 成 配 对 后 ， 会 交 换 存 储 各 自 的   I R K   ( I d e n t i t y   R e s o l v i n g K e y )   和   i d e n t i t y   a d d r e s s ： 之 后 对 端 设 备 收 到 一 个 包 含   R P A   的   a d v e r t i s i n g   P D U   后 ， 会 尝 试 使 用 本 地 存 储 的   I R K   ( p e e r   I R K )   计 算   （ 其 中   p r a n d   从   R P A   中 提 取 ） ， 然 后 将 结 果   l o c a l H a s h   与   R P A   中 包 含 的   h a s h   比 对 。 如 果 两 者 相 同 ， 那 么 地 址 解 析 成 功 。 之 后 再 找 到 与   p e e r I R K   对 应 的   p e e r   d e v i c e   i d e n t i t y   a d d r e s s   就 可 发 起 连 接 。 虽 然   r e s o l v a b l e   p r i v a t e   a d d r e s s   也 经 常 发 生 变 化 ， 但 结 合 解 析 机 制 后 ， 可 以 让 受 信 的 设 备 自 动 识 别 并 连 接 自 己 。 插 曲 ： 插 曲 ： B l u e Z   定 义 的 定 义 的     类 型 类 型 B l u e Z   为   B D _ A D D R   定 义 了 专 门 的 类 型   ， 并 提 供 了 将 字 符 串 形 式 的   B D _ A D D R   转 为     的 函 数   ： M S B b i t 4 8 - b i t               L S B b i t + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |   p r a n d   2 4 - b i t                 |   h a s h       | | - - - - - - - - - - - - - - - - - - - - - | - - - - - - - - | | 0 | 1 |   r a n d o m   p a r t   | 2 4 - b i t   | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + l o c a l H a s h   =   a h ( I R K ,   p r a n d ) b d a d d r _ t b d a d d r _ t b d a d d r _ t s t r 2 b a
R e f e r e n c e s 1 .   B L E   v 4 . 2 :   C r e a t i n g   F a s t e r ,   M o r e   S e c u r e ,   P o w e r - E f f i c i e n t   D e s i g n s — P a r t   2 2 .   1 . 2   B L U E T O O T H   D E V I C E   A D D R E S S I N G ,   B L U E T O O T H   C O R E   S P E C I F I C A T I O N   V e r s i o n   5 . 2   |   V o l   2 ,   P a r t   B   p a g e   4 1 6 3 .   蓝 牙 协 议 分 析 ( 6 ) _ B L E 地 址 类 型 4 .   B l u e t o o t h :   D e f i n i n g   N A P   +   U A P   +   L A P 5 .   A n   O v e r v i e w   o f   A d d r e s s i n g   a n d   P r i v a c y   f o r   L a i r d ’ s   B L E   M o d u l e s 6 .   5 . 4 . 5   P r i v a c y   f e a t u r e ,   B L U E T O O T H   C O R E   S P E C I F I C A T I O N   V e r s i o n   5 . 2   |   V o l   1 ,   P a r t   A   p a g e   2 7 8 H a t L a b 知 识 星 球 知 识 星 球 # i n c l u d e < b l u e t o o t h / b l u e t o o t h . h > b d a d d r _ t   b d a d d r ; s t r 2 b a ( " 1 1 : 2 2 : 3 3 : 4 4 : 5 5 : 6 6 " , & b d a d d r ) ;
关 于 我 们 关 于 我 们
注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 国 际 原 油 走 势 又 现 断 崖         是 黑 客 攻 击 在 搅 局 ？ 安 恒 主 机 卫 士 E D R 入 驻 统 信 U O S 应 用 商 店   全 方 位 主 机 安 全 防 护 “ 上 线 ” 攻 击 浪 潮 长 达 四 年     间 谍 组 织 如 何 一 次 又 一 次 地 破 坏 G o o g l e   P l a y ？ 数 十 个 关 键 代 码 漏 洞 被 修 复         A d o b e 为 B r i d g e 、 I l l u s t r a t o r 和 M a g e n t o 解 决 难 题 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理