一、BLE安全实战：四个真实攻击案例
大家好，我是你们的老朋友。今天咱们来聊点硬核的——BLE攻击的真实案例。
说实话，我在蓝牙安全这块摸爬滚打了快十年，见过太多「理论上安全、实际上千疮百孔」的产品。尤其是BLE，看似简单，攻击面却不少。今天我就挑四个典型场景，带大家看看攻击者是怎么下手的，以及我们该怎么防。
核心观点：BLE安全不是「配对就完事」，而是从广播、连接、数据传输到固件升级的全链路防护。
1.1 智能锁攻击案例：配对劫持与重放攻击
先说说智能锁。这玩意儿现在太常见了，门禁、酒店、家庭都用。但问题也最多。
我记得有一次，某知名品牌的智能锁被爆出漏洞——攻击者可以在10米内开锁。怎么做到的？其实原理不复杂。
攻击流程：
- 广播嗅探：智能锁在广播阶段会发送包含设备ID的ADV_IND包。攻击者用nRF52840 DK或Ubertooth One就能抓到。
- 配对拦截：当用户手机与锁配对时，攻击者利用「Just Works」配对模式（无认证）插入中间人攻击。
- 密钥提取：部分锁使用固定LTK（长期密钥），攻击者通过逆向手机App就能拿到。
- 重放攻击：拿到密钥后，攻击者伪造开锁指令，直接重放给锁。
避坑指南：我曾经见过一款锁，它的配对密钥竟然是出厂序列号的MD5值。你想想看，序列号印在锁体上，谁都能看到。这种设计等于把钥匙挂在门上。
防御方案：
- 必须使用LE Secure Connections配对，启用MITM保护
- 每次开锁指令加入随机数（Nonce），防止重放
- 固件签名验证，防止恶意升级
1.2 医疗设备攻击案例：胰岛素泵的致命漏洞
这个案例让我印象特别深。2019年，某主流胰岛素泵被爆出严重漏洞——攻击者可以远程修改注射剂量。
为什么会这样？说白了，设计者只考虑了「方便」，没考虑「安全」。
漏洞细节：
| 攻击面 | 具体问题 | 后果 |
|---|---|---|
| 配对过程 | 使用Passkey Entry但Passkey固定为000000 | 攻击者可任意配对 |
| 数据传输 | 未启用加密，明文传输指令 | 可嗅探并篡改剂量 |
| 固件更新 | OTA更新无签名验证 | 可植入恶意固件 |
我个人习惯在评估医疗设备时，会特别关注三个点：配对强度、数据加密、固件签名。这三个但凡有一个没做好，就是高危。
我的建议：医疗BLE设备必须使用OOB（带外）配对，比如通过NFC交换临时密钥。别图省事用Just Works，那是拿人命开玩笑。
1.3 可穿戴设备攻击案例：心率数据的隐私泄露
可穿戴设备，比如手环、手表，看起来人畜无害。但攻击者能从中获取什么？比你想象的要多。
我参与过一个项目，某品牌手环的心率数据通过BLE广播直接发送，连配对都不需要。攻击者只要在10米内，就能抓到你实时心率、步数、甚至睡眠周期。
攻击手法：
- 使用Wireshark + BLE dongle抓取广播包
- 解析ADV_IND包中的Manufacturer Specific Data字段
- 直接读取心率值（通常以uint16格式存储）
// 伪代码：解析心率广播包
uint8_t* adv_data = get_adv_data(packet);
if (adv_data[0] == 0x16) { // Service Data - 16-bit UUID
uint16_t heart_rate = (adv_data[3] << 8) | adv_data[2];
printf("Heart Rate: %d bpm\n", heart_rate);
}嗯，这里要注意：很多可穿戴设备为了省电，把敏感数据放在广播包里。但广播是明文、无连接的，谁都能收。我个人习惯是：所有个人健康数据必须通过加密的GATT连接传输，广播包只放设备ID。
1.4 工业IoT攻击案例：传感器网络的中间人攻击
最后说说工业场景。工厂里的BLE传感器网络，比如温度、振动、压力传感器，攻击者一旦介入，后果可能是停产甚至安全事故。
我记得有个案例：某工厂使用BLE网关收集200多个传感器的数据。攻击者利用BLE的Connection Signature Resolving Key（CSRK）漏洞，伪造传感器身份注入虚假数据。
攻击步骤：
- 嗅探合法传感器的蓝牙地址和CSRK
- 伪造相同地址的BLE设备
- 向网关发送篡改后的传感器数据（如降低温度读数）
- 导致控制系统误判，触发错误动作
关键点：工业IoT的BLE安全，核心在于身份认证和数据完整性。光有加密不够，还得确保「说话的人是对的」。
防御措施：
- 使用BLE 5.0的LE Secure Connections + 数字签名
- 每个传感器预置唯一证书，网关验证签名
- 数据包加入时间戳和序列号，防止重放
1.5 知识体系总览
下面这张图，是我自己总结的BLE攻击与防御框架。你可以把它当作一个检查清单。
这张图把四个案例的攻击面、核心问题、以及对应的防御方案串起来了。你想想看，是不是每个案例都能在图上找到对应位置？
个人经验：我每次做BLE安全评估，都会拿这张图当checklist。从广播层看到固件层，缺哪个补哪个。别嫌麻烦，真出了事才叫麻烦。
好了，四个案例讲完了。从智能锁到医疗设备，从可穿戴到工业IoT，攻击手法虽然不同，但本质都是利用了BLE协议栈中「默认不安全」的配置。下一章我们会深入BLE配对协议，看看密钥协商过程到底哪里容易出问题。
公众号:蓝海资料掘金营，微信deep3321