第19章 BLE物理层攻击

课程目录第19章 BLE物理层攻击

19、BLE物理层攻击：2.4GHz频段干扰、近距离嗅探、天线定向攻击、信号强度定位

聊到BLE安全，很多人第一反应是配对协议、加密密钥这些上层的东西。但说实话，真正让我在项目里吃过亏的，反而是最底层的物理层攻击。你想想看，上层协议做得再坚固，如果物理层被人拿捏了，那一切安全机制都是空中楼阁。

我个人习惯把物理层攻击比作「拆地基」。房子装修得再豪华，地基被人挖了，照样塌。今天我们就来拆解BLE物理层的四大杀招：频段干扰、近距离嗅探、天线定向攻击、信号强度定位。

BLE工作在2.4GHz ISM频段，这个频段有多拥挤？Wi-Fi、Zigbee、微波炉、无线鼠标……全挤在这里。我曾在一次智能门锁的现场测试中，发现门锁偶尔会延迟响应。排查了半天，最后发现是客户办公室的微波炉在午餐高峰期工作，直接把BLE信号给「煮」了。

核心原理：攻击者通过发射同频段的噪声信号，抬高BLE信道的底噪，导致合法设备无法正确解调数据包。BLE有37个数据信道和3个广播信道（37/38/39），攻击者可以针对性干扰。

干扰攻击分两种：

全频段阻塞：用宽带噪声覆盖整个2.4GHz频段。简单粗暴，但容易被检测到。
选择性干扰：只干扰BLE的3个广播信道（2402MHz、2426MHz、2480MHz）。攻击者先扫描出目标设备使用的信道，然后精准干扰。这种更难被发现。

避坑指南：我曾经在开发一款医疗手环时，发现设备在Wi-Fi密集的办公区频繁断连。后来我们加入了自适应跳频算法，让设备在检测到信道质量下降时主动切换信道。效果立竿见影。

BLE的通信距离通常在10-100米，但很多人不知道的是——如果你用高增益天线和低噪声放大器，嗅探距离可以轻松扩展到300米以上。说白了，攻击者根本不需要靠近你，坐在隔壁楼的咖啡厅就能把你的数据包全收了。

我做过一个实验：用一块树莓派加一个20dBi的定向天线，在200米外成功捕获了一台智能门锁的配对数据包。那门锁用的是Just Works配对，数据包全是明文传输。嗯，密码直接写在包里。

注意：嗅探攻击本身不破坏通信，但它是后续攻击的「情报收集阶段」。攻击者通过嗅探可以获取：

为什么会这样？因为很多BLE开发者默认「蓝牙是短距离通信，所以安全」，这个想法太天真了。攻击者只需要一个SDR（软件定义无线电）和一根好天线，成本不到500块钱。

普通BLE设备用的是全向天线，信号向四面八方发射。但攻击者可以用定向天线（如八木天线、抛物面天线）把信号能量集中到一个方向。这样做有两个好处：

我记得有一次帮客户做红队测试，目标是一栋大楼里的蓝牙门禁系统。我们用定向天线对准大楼的入口，在50米外的停车场里成功发起了重放攻击。门禁系统完全没察觉到异常，因为信号强度看起来就像是从正常距离发来的。

技术细节：定向攻击的核心在于天线增益。一个10dBi的定向天线，理论上可以把通信距离提升到全向天线的3倍以上。配合功率放大器，甚至可以做到1公里级别的攻击。

BLE的每个数据包都包含RSSI（接收信号强度指示）值。这个值本来是用来做距离估算的，但攻击者可以利用它来定位你的位置。你想想看，如果攻击者在商场里部署了多个嗅探节点，他们就能通过三角定位法算出你的精确位置。

我在一个智慧城市项目中见过这种攻击的威力。攻击者利用路灯上的BLE信标，结合多个采集点的RSSI数据，成功还原了目标人物在商场内的移动轨迹。精度可以达到1-2米。

我的建议：对抗物理层攻击，不能只靠上层加密。你需要从硬件设计阶段就考虑：

说实话，物理层攻击是最容易被忽视的。很多开发者觉得「我上层用了AES-128加密就万事大吉了」，但攻击者根本不需要破解你的加密——他们可以直接干扰你的通信，或者通过信号强度定位来跟踪你的用户。这些攻击的成本低、效果好，而且很难被传统的安全检测手段发现。

我个人在做安全评估时，一定会把物理层攻击列入测试清单。因为我知道，再坚固的城堡，如果城墙被人挖了地道，那也是白搭。