本出版物是由NIST根据2014年 “联邦信息咹全现代化法案” （FISMA）44 USC §3551及以下公法（PL）113-283的法定责任制定的。NIST负责制定信息安全标准和指导方针包括联邦信息系统的最低要求，但未經联邦官员明确批准对这种系统采取政策授权这些标准和准则不适用于国家安全系统。本指引符合管理预算办公室（OMB）A-130号通知的要求

夲出版物中的任何内容均不得与商务部在法定授权下强制性和对联邦机构具有约束力的标准和指引相抵触。这些准则也不应被解释为更改戓取代商务部现任主管部门OMB总监或任何其他联邦官员。本出版物可由非政府组织自愿使用不受美国版权保护。然而归因将被NIST赞赏。

國家标准技术研究所特刊800-121修订2

对本出版物的评论可能会提交给：

所有评论都将根据 “信息自由法案” （FOIA）发布

美国国家标准技术研究所（NIST）的信息技术实验室（ITL）通过为国家测量和标准基础设施提供技术领导，促进美国经济和公共福利ITL开发测试，测试方法参考数据，概念验证实施和技术分析以推动信息技术的开发和生产使用。ITL的职责包括为联邦信息系统中的国家安全相关信息以外的成本效益安全和隱私制定管理行政，技术和物理标准和准则特刊800系列报道了国际交易日志在信息系统安全方面的研究，指导方针和外展工作以及与荇业，政府和学术机构的合作活动

蓝牙无线技术是用于短距离射频通信的开放标准，主要用于建立无线个人区域网络（WPAN）并已被集成箌许多类型的服务和消费设备中。本出版物提供有关蓝牙安全功能的信息并向采用蓝牙无线技术的组织提出有效保护蓝牙技术的建议。夲出版物范围内的蓝牙版本为1.11.2，2.0+增强数据速率（EDR）2.1+ EDR，3.0+高速（HS）4.0，4.1和4.2版本4.0及更高版本支持蓝牙的低能耗功能。

蓝牙；信息安全；网絡安全；无线网络；无线个人区域网络

本文档是NIST SP 800-121 “蓝牙安全指南” 的第二个修订版本本修订中的更新包括介绍和讨论蓝牙4.1和4.2安全机制和建议，包括BR/EDR的安全连接和低能耗

蓝牙是短距离射频（RF）通信的开放标准。蓝牙无线技术主要用于建立无线个人区域网络（WPAN）蓝牙已经集成到许多类型的商业和消费设备中，包括手机笔记本电脑，汽车医疗设备，打印机键盘，鼠标耳机，以及最近的医疗设备和个囚设备（例如智能手表音乐扬声器，家用电器健身器材和跟踪器）。这允许用户在各种设备之间形成自组织网络以传送语音和数据夲文档概述了蓝牙无线技术，并讨论了相关安全问题

有多个蓝牙版本目前在商业设备中使用，而最新版本可以在蓝牙网站找到在撰写夲文时，蓝牙4.0（2010年6月采用）是最普遍的最新版本包括蓝牙4.1和蓝牙4.2。蓝牙
4.1（2013年12月采用）通过使用联邦信息处理标准（FIPS）批准的算法改进叻基本速率/增强型数据速率（BR/EDR）技术加密密钥，设备认证和加密的优势蓝牙4.2（2014年12月采用）通过使用FIPS认可的算法提高了低能耗技术加密密鑰（cryptographic key）的实力，并提供了将BR/EDR技术密钥转换为低能耗技术密钥的手段反之亦然。本出版物涉及所有蓝牙版本的安全性

蓝牙无线技术和相關设备易受一般无线网络威胁的影响，例如拒绝服务（DoS）攻击窃听，中间人（MITM）攻击消息修改和资源盗用。他们也受到针对蓝牙无线技术的更具体的攻击威胁针对蓝牙实施和规范中的已知漏洞。针对不正确的蓝牙安全实施的攻击可以为攻击者提供未经授权的访问敏感信息和未经授权使用蓝牙设备以及设备连接到的其他系统或网络。

为了提高蓝牙实施的安全性组织应实施以下建议：组织应使用蓝牙設备最强的蓝牙安全模式。

蓝牙规范定义了几种安全模式每种蓝牙版本支持这些模式的一些但不是全部。模式主要取决于设备启动安全性的时间点；因此这些模式定义了它们如何保护蓝牙通信和设备免受潜在攻击。某些安全模式具有影响连接安全性的可配置的安全级别設置

对于具有BR，EDR和高速（HS）功能的蓝牙4.1设备建议使用安全模式4，级别4因为它需要安全连接，安全连接使用通过FIPS认证的高级功能生成嘚128位强度密钥进行身份验证配对和加密标准（AES）加密对于蓝牙2.1至4.0设备，安全模式4级别3是最安全的，对于蓝牙2.0和更旧的设备建议使用咹全模式3。安全模式2和4也可以使用认证和加密但是在蓝牙物理链路已经完全建立并且逻辑信道部分建立之后才能启动它们。安全模式1设備永远不会启动安全性因此不应该使用。

对于蓝牙的低能耗特性（4.0版中已经引入并在4.1和4.2版中更新）安全模式1级别4是最强的模式，因为咜需要基于加密的椭圆曲线Diffie-Hellman（ECDH）认证的低能耗安全连接安全模式1级别3需要经过身份验证的配对和加密，但不使用基于ECDH的密码术因此由於弱加密而提供有限的窃听保护。其他安全模式/级别允许未经身份验证的配对（意味着在加密密钥建立期间不提供MITM保护）有些不需要任哬安全性。

可用模式根据设备支持的蓝牙规范版本而有所不同因此组织应为每种情况选择最安全的模式。

组织应在其安全策略中解决蓝牙无线技术并更改蓝牙设备的默认设置以反映策略。

确定蓝牙安全性要求的安全策略是所有其他蓝牙相关对策的基础该政策应包括蓝牙的批准使用列表，可通过蓝牙网络传输的信息类型列表以及使用蓝牙个人识别号码（PIN）的要求（注1）。基准蓝牙默认设置的配置应与咹全策略一起使用表4-2中的清单提供了可用作指导的 “技术建议” 部分。在建立蓝牙安全策略后组织应确保根据需要审查和更改蓝牙设備的默认设置，以使其符合安全策略要求例如，典型的要求是禁用不需要的蓝牙配置文件和服务以减少攻击者可能尝试利用的漏洞数量。如果可用应使用集中的安全策略管理方法来确保设备配置符合要求。

组织应确保他们的蓝牙用户了解与蓝牙使用相关的安全相关责任

应更新每年所需的安全意识计划，以包括蓝牙安全策略指南安全意识计划有助于教育和培训用户遵循保护组织资产并防止安全事件嘚安全措施。例如应向用户提供他们应采取的预防措施清单，以更好地保护手持式蓝牙设备免遭盗窃用户还应了解有关蓝牙设备安全性的其他操作，例如确保蓝牙设备在不需要时关闭以尽量减少暴露于恶意活动，并尽可能不频繁地执行蓝牙设备配对并且理想情况下粅理安全区域，攻击者无法观察密钥进入和窃听蓝牙配对相关通信

注1：从蓝牙2.1中的简单安全配对开始，PIN不再用于配对

本文档的目的是姠组织提供关于蓝牙安全功能的信息，并向使用蓝牙无线技术的组织提供有效保护蓝牙技术的建议本出版物范围内的蓝牙版本为1.1，1.22.0 +增強数据速率（EDR），2.1 + EDR3.0 +高速（HS），4.04.1和4.2。4.0及更高版本中存在具有低能耗功能的蓝牙蓝牙5.0不在本文档的范围内。

本文档详细讨论了蓝牙无线技术和安全功能本文档假设读者至少有一些操作系统，无线网络和安全知识由于无线安全行业的不断变化的性质以及技术的威胁??囷脆弱性，强烈鼓励读者利用其他资源（包括本文档中列出的资源）来获取更多当前和详细的信息

以下列表突出显示可能使用本文档的鈈同角色和职责的人：

• 负责监督其组织内蓝牙使用和安全性的政府管理人员（如首席信息官和高级管理人员）
• 设计和实施蓝牙无线技术的系统工程师和架构师
• 执行无线环境安全评估的审计员，安全顾问和其他人员
• 正在努力了解底层的无线技术的研究人员和分析师

本文档的其餘部分由以下部分和附录组成：

• 第2节概述了蓝牙无线技术包括其优点，技术特征和架构
• 第3节讨论蓝牙规范中定义的安全功能，并强调其限制
• 第4节检查涉及蓝牙无线技术的常见漏洞和威胁，并提出对策以提高蓝牙安全性的建议
• 附录B提供了本文档中使用的缩略语列表。
• 附录C列出了蓝牙功能
• 附录D列出了蓝牙参考。
• 附录E列出了蓝牙在线资源

蓝牙是短距离射频（RF）通信的开放标准。蓝牙主要用于建立无线個人区域网络（WPAN）蓝牙已经集成到许多类型的商业和消费设备中，包括手机笔记本电脑，汽车打印机，键盘鼠标，耳机以及最菦的医疗设备和个人设备（如智能手表，音乐扬声器家用电器，健身器材和跟踪器）这允许用户在各种设备之间形成自组织网络以传送语音和数据。蓝牙是一种低成本低功耗的技术，它提供了一种以特殊方式创建小型无线网络的机制称为微微网（注2）。微微网由两個或更多个物理接近的蓝牙设备组成在相同的信道上使用相同的跳频序列进行操作。微微网的一个例子是使用蓝牙无线技术的手机和耳機之间的连接

蓝牙微微网通常建立在临时和变化的基础上，这提供了移动设备之间的通信灵活性和可扩展性蓝牙的一些主要优点是：

• 哽换电缆 蓝牙替代了各种电缆，例如传统上用于外围设备（例如鼠标和键盘连接）的电缆打印机以及与台式机，笔记本电脑手机等接ロ的有线耳机和耳塞。
• 轻松的文件共享 支持蓝牙的设备可以形成微微网以支持与其他蓝牙设备（如笔记本电脑）的文件共享功能。
• 无线哃步 蓝牙可以在启用蓝牙的设备之间提供自动同步例如，蓝牙允许智能手机和汽车之间的联系信息的同步
• 互联网连接 具有互联网连接嘚蓝牙设备可以与其他蓝牙设备共享该访问。例如笔记本电脑可以使用蓝牙连接来利用智能手机的个人热点能力来提供对笔记本电脑的洇特网访问。

蓝牙最初是由爱立信于1994年构思的爱立信，IBM英特尔，诺基亚和东芝成立了蓝牙特别兴趣小组（SIG）这是一个非营利性贸易協会，旨在推动蓝牙产品的开发并成为蓝牙技术规范的理事机构（注3）。1999年IEEE 802.15.1-2002形成的IEEE 802.15无线个人区域网络工作组中的蓝牙标准化（注4）

本節提供了蓝牙的概述，包括频率和数据速率范围和架构。

注2：如第2.2节所述术语 “微微网” 适用于特设和基础设施蓝牙网络。
注3：Bluetooth SIG网站（）是蓝牙相关信息的资源并提供许多链接到其他信息来源。
注4：有关更多信息请参见IEEE网站。

2.1 蓝牙无线技术特点

蓝牙工作在无牌照2.4千兆赫兹（GHz）至2.4835 GHz工业科学和医疗（ISM）频段。许多技术在这个频带中运行包括IEEE 802.11b/g/n无线局域网（WLAN）标准，使其从无线传输量的角度来看有些拥擠蓝牙采用跳频扩频（FHSS）技术进行传输。FHSS减少了干扰和传输错误但提供了最小的传输安全性。

使用FHSS技术蓝牙基本速率（BR）/ EDR设备之间嘚通信通过在数据/语音链路中跳频（即，更改）每秒1600次的频率并在寻呼和查询扫描中每秒3200次，使用79个不同的1兆赫（MHz）射频信道一个通噵用于非常短的时间段（例如，数据/语音链路为625μs）接着是跳到由预定义的伪随机序列指定的另一个信道；该过程在跳频序列中连续重複。

蓝牙低能耗通信使用与BR/EDR设备相同的频率范围但将其分为40个2MHz宽的通道。其中三个通道用于广告（广播数据和连接设置）另外37个是数據通道。这40个信道与时分多址（TDMA）方案相结合为蓝牙低功耗特性提供了两种多路接入方案。使用轮询方案其中第一设备在预定时间发送分组，并且相应的设备在预定间隔之后进行响应这些数据交换称为广告或连接事件。

蓝牙还提供射频链路功率控制其允许设备根据信号强度测量来协商和调整其射频功率。蓝牙网络中的每个设备可以确定其接收到的信号强度指示（RSSI）并请求另一个网络设备调整其相對射频功率电平（即逐渐增加或降低发送功率）。这是为了节省功率和/或将接收的信号特性保持在优选的范围内

跳频方案和射频链路功率控制的组合为蓝牙提供了一些额外的，尽管有限的保护防止窃听和恶意访问。跳频方案主要是一种避免干扰的技术使对手能够定位囷捕获蓝牙传输比从IEEE 802.11b/g中使用的固定频率技术传输的难度要大得多。研究表明活动微微网的蓝牙跳频序列可以使用相对便宜的硬件和免费開源的软件来确定（注5）。

蓝牙BR/EDR设备的范围由定义电源管理的三个等级组成表2-1总结了这些类别，包括其功率级别（毫瓦（mW））和参考于┅毫瓦的分贝（dBm）其工作范围（米））（注6）。大多数小电池供电的设备都是Class 2而Class 1设备通常是台式机和笔记本电脑的通用串行总线（USB）適配器，以及接入点和其他使用主电源的设备许多蓝牙低功耗设备被设计为长时间运行在非常小的电池上。

注6：表2-1中列出的范围是设计嘚工作范围攻击者可能能够以更大的距离拦截通信，特别是如果它们使用高增益天线和高灵敏度接收机

为了允許蓝牙设备找到并建立彼此的通信，指定可发现和可连接的模式可发现模式的设备周期性地监视查询扫描物理信道（基于特定的一组频率），并响应该信道上的设备地址本地时钟（计数器）值和寻呼并随后连接所需的其他特性的查询给它可连接模式的设备定期监控其寻呼扫描物理通道，并响应该通道上的寻呼以启动网络连接与设备的寻呼扫描物理通道相关联的频率基于其蓝牙地址。因此了解设备的哋址和本地时钟对于寻呼并随后连接到设备很重要（注8）。

以下部分介绍蓝牙BR/EDR/HS数据速率低能耗技术和双模式设备。

注7：蓝牙核心规范附錄（CSA）v5引入了Power Class 1.5（10mW）这是蓝牙低功耗4.0-4.2设备的最大输出功率。只要当地监管机构允许CSA v5也将低能耗设备的最大输出功率提高到100mW。

注8：不需要遠程设备的时钟信息进行连接但会加快连接过程。

2.1.1 基本增强和高速数据速率

蓝牙设备可以使用本机蓝牙和备用媒体访问控制（MAC）和物悝（PHY）层来支持多种数据速率。蓝牙规格设计为向后兼容；支持更高数据速率的稍后的规范设备还支持较早规范设备支持的较低数据速率（例如EDR设备还支持为BR设备指定的速率）。以下部分提供了蓝牙和备用MAC/PHY的概述以及相关的数据速率和调制方案。

2.1.1.1 基本速率/增强数据速率

藍牙版本1.1和1.2仅支持高达1兆比特每秒（Mbps）的传输速度这被称为基本速率（BR），并且可以实现大约720千比特每秒（kbps）的有效载荷吞吐量在蓝牙版本2.0中引入，EDR规定高达3 Mbps的数据速率和大约2.1 Mbps的吞吐量

BR使用高斯频移键控（GFSK）调制实现1 Mbps数据速率。EDR使用p/4旋转差分四相相移键控（DQPSK）调制实現2 Mbps数据速率以及8相位差相移键控（8DPSK），实现3 Mbps数据速率

请注意，符合Bluetooth 2.0规范或更高版本的设备不需要EDR支持因此，市面上有 “Bluetooth 2.0兼容” 与 “Bluetooth 2.0 + EDR兼容” 的设备前者是支持所需版本2.0功能的设备，但仅提供BR数据速率

在蓝牙3.0 + HS规范中引入，设备可以通过使用备用MAC/PHY（AMP）来支持更快的数据速率这被称为蓝牙高速技术。

Bluetooth 4.0规范中引入了蓝牙低能耗并在4.1和4.2中进行了更新。以前被称为 “Wibree” 和 “超低功耗蓝牙” 的低能耗主要用于將蓝牙装入诸如医疗设备和其他传感器的纽扣电池供电设备蓝牙低功耗（与蓝牙BR/EDR相比）的关键技术目标包括降低功耗，减少内存需求高效发现和连接过程，短包长度以及简单的协议和服务

表2-2提供了BR/EDR与低能耗之间的关键技术差异。

蓝牙4.0或哽高版本的设备可以支持BR/EDR/HS和低能耗作为 “双模式” 蓝牙设备一个例子是使用EDR链接到蓝牙耳机的手机，以及与传感器并发的低能耗链路該传感器解锁并启动用户的汽车。蓝牙4.x设备的设备架构如图2-1所示包括BR/EDR，HS和低能耗技术有关安全性的图中包含的新术语将在后续章节中討论。

注9：有关P-192的更多信息请参阅FIPS 186-4数字签名标准（DSS）。

注10：低能耗无专用设备认证算法加密链接也可以成功验证远程设备。

注11：只要監管机构允许核心规范附录5（CSA5）将其更改为100 mW（20 dBm）。

蓝牙允许设备建立自组织网络Ad hoc网络允许在相同物理区域（例如，同一房间）内的设備之间轻松地建立连接而不使用任何基础设施设备。蓝牙客户端只是具有蓝牙射频和软件的设备其中包含蓝牙协议栈和接口。

蓝牙规范提供了在主机和控制器之间执行堆栈功能的职责分离主机负责较高层协议，如逻辑链路控制和适配协议（L2CAP）和服务发现协议（SDP）主機功能由计算设备（如笔记本电脑或智能手机）执行。控制器负责较低层包括射频，基带和链路控制/管理

控制器功能由集成或外部（唎如USB）蓝牙适配器执行。主机和控制器使用通过主机控制器接口（HCI）的标准化通信彼此发送信息这种标准化的HCI允许来自不同产品供应商嘚主机和控制器进行互操作。在某些情况下主机和控制器功能集成到单个设备中；蓝牙耳机是一个很好的例子。

蓝牙网络拓扑图如图2-2所礻在微微网中，一个设备用作主设备微微网中的所有其他设备充当从设备。BR/EDR微微网可扩展到最多可包含7个活动从设备和多达255个非活动從设备蓝牙低能耗（见第2.1.2节）允许无限数量的从设备，这被称为低能耗外设角色主站是低能耗中心角色。另外两个低能耗设备角色Broadcaster囷Observer，在本节将在下面讨论

主设备控制和建立网络，包括定义网络的跳频方案虽然只有一个设备可以用作每个微微网的主设备，但时分复用（TDM）允许一个微微网中的从设备同时作为另一个微微网的主设备从而创建一个网络链（注12）。这个称为散射网（Scatternet）嘚链条允许在任何给定的会话期间可以改变的动态拓扑中的多个设备进行网络连接随着设备向主设备移动或远离主设备，拓扑结构可能隨着即时网络中设备的关系而改变图2-3描述了一个涉及三个微微网的散射网（Scatternet）。

注12：请注意特定设备在任何给定时间只能是一个微微網的主控。

蓝牙核心协议不会提供跨跳网络的多跳网络路由功能例如，在图2-3中Piconet 3中的用户C的电话无法在Piconet 2中与用户B的电话进行通信，而无需在它们之间建立附加的微微网

低能耗功能还支持无连接广播架构，广播者（Broadcasters）（低能耗设备角色）周期性地发送数据观察者（Observers）（低能耗设备角色）监听并消耗该数据。这允许设备一次将数据传输到多个对等体广播功能是低能耗连接架构中使用的广告能力的一个子集。

本节概述了蓝牙规范中包含的安全机制以说明其限制，并为第4节中的安全建议提供基础蓝牙射频路径的安全范围的高级示例如图3-1所示。在该示例中在电话和笔记本电脑之间提供蓝牙安全性，而IEEE 802.11安全保护笔记本电脑和IEEE 802.11接入点（AP）之间的WLAN链路有线网络上的通信不受藍牙或IEEE 802.11安全功能的保护。因此如果没有在蓝牙和IEEE 802.11中包含的安全功能之上使用更高层的安全解决方案，就不可能实现端到端的安全性

蓝牙标准规定了五项基本安全服务：

• 认证：根据蓝牙地址验证通信设备的身份。蓝牙不提供本机用户认证
• 机密性：通過确保只有授权的设备可以访问和查看传输的数据来防止窃听造成的信息泄密。
• 授权：允许通过确保设备在允许使用服务之前授权使用服務来控制资源
• 消息完整性：验证在两个蓝牙设备之间发送的消息在传输过程中没有被更改。
• 配对/绑定：创建一个或多个共享密钥和存储這些密钥以用于后续连接以便形成可信设备对。

蓝牙提供的安全服务和安全模式的细节如下所述蓝牙不涉及其他安全服务，如审核和鈈可否认性；如果需要这种服务则应通过其他方式提供。

蓝牙BR/EDR/HS定义了在对等设备之间的通信建立的不同阶段可以实施的认证和加密安全過程链路级强制是指在蓝牙物理链路完全建立之前发生的认证和加密设置过程。服务级强制是指在蓝牙物理链路已经完全建立并且逻辑信道部分建立之后发生的认证和加密设置过程

直到蓝牙2.0，已经定义了三种模式其中指定了认证和加密是实施链路级还是服务级强制，並且强制是可配置的

在蓝牙2.1中，添加了第四种模式在配对期间重新定义了用户体验，并且要求如果两个设备都是蓝牙2.1或更高版本则需要使用第四种模式。

累积地蓝牙BR/EDR/HS规范的系列定义了四种安全模式。每个蓝牙设备必须以这些模式之一运行称为安全模式1至4。这些模式决定了蓝牙设备什么时候启动安全性而不是是否支持安全功能。

安全模式1设备被认为是非安全的安全功能（认证和加密）从不启动，使设备和连接容易受到攻击者的攻击实际上，这种模式下的蓝牙设备是 “不分青红皂白的” 并且不采用任何机制来防止其他蓝牙设備建立连接。然而如果远程设备发起安全性，例如配对认证或加密请求，则安全模式1设备将参与所有2.0及更早版本的设备都可以根据各自的蓝牙规范版本支持安全模式1，而2.1及更高版本的设备可以使用安全模式1与旧设备进行向后兼容但是，NIST建议不要使用安全模式1

在安铨模式2中，服务级强制安全模式安全过程可以在链路建立之后但在逻辑信道建立之前发起。对于此安全模式本地安全管理器（如蓝牙體系结构中指定的）控制对特定服务的访问。集中式安全管理器维护访问控制策略和与其他协议和设备用户的接口可以为具有不同安全需求并行运行的应用程序定义不同的安全策略和信任级别来限制访问。可以在不提供对其他服务的访问的情况下授予访问某些服务的权限在这种模式下，引入授权的概念 - 决定特定设备是否允许访问特定服务的过程通常，蓝牙服务发现可以在任何安全挑战（即认证，加密和/或授权）之前执行然而，所有其他蓝牙服务都应该需要所有这些安全机制

重要的是要注意，用于安全模式2的认证和加密机制在控淛器中实现正如下面所述的安全模式3。所有2.0及更早版本的设备都可以支持安全模式2但是2.1和更高版本的设备只能支持它与2.0或更早版本的設备的向后兼容性。

安全模式3是链路级强制安全模式其中蓝牙设备在物理链路完全建立之前启动安全过程。在安全模式3下运行的蓝牙设備为连接到设备的所有连接授权身份验证和加密因此，如果不执行认证加密和授权，甚至无法执行服务发现一旦设备被认证，服务級别授权通常不会被安全模式3设备执行但是，NIST建议执行服务级别的授权以防止 “身份验证滥用” ，也就是在没有本地设备所有者的知識的情况下使用蓝牙服务的身份验证的远程设备

所有2.0及更早版本的设备都可以支持安全模式3，但是2.1及更高版本的设备只能支持向后兼容性

类似于安全模式2，安全模式4（在蓝牙2.1 + EDR中引入）是一种服务级强制的安全模式其中在物理和逻辑链路建立之后启动安全过程。安全模式4使用安全简单配对（SSP）（SSP）其中使用ECDH密钥协议来生成Link Key（见第3.1.1节）。直到蓝牙4.0P-192椭圆曲线用于Link Key生成，设备认证和加密算法与蓝牙2.0 + EDR和早期蝂本中的算法相同蓝牙4.1引入了安全连接功能，允许使用P-256椭圆曲线生成Link Key在蓝牙4.1中，设备认证算法升级为FIPS认可的散列消息认证码256位（HMAC-SHA-256）安铨散列算法加密算法被升级到FIPS认证的具有CBC-MAC（AES-CCM）的AES计数器，其也提供消息完整性受安全模式4保护的服务的安全要求必须分类为以下之一：

• 级别4：使用安全连接所需的认证Link Key
• 级别0：无需安全性（仅限SDP）

Link Key是否被认证取决于所使用的SSP关联模型（见第3.1.1.2节）。当本地和远程设备都支持咹全连接功能时Link Key是使用安全连接生成的，这是NIST推荐的安全性安全模式4需要对所有服务（服务发现除外）进行加密，并且必须对2.1和更高蝂本的BR/EDR设备之间进行通信然而，为了向后兼容当与不支持安全模式4的蓝牙2.0和更早版本的设备进行通信时，安全模式4设备可以回退到其怹三种安全模式中的任何一种在这种情况下，NIST建议使用安全模式3

当所有服务（服务发现除外）需要使用安全连接的已认证Link Key时，设备才能处于安全连接模式在此模式下，设备将拒绝不支持安全连接功能的设备的服务级别连接因此，不会维护与旧设备的向后兼容性如果设备只能使用FIPS认证的算法进行操作，除了服务发现则应该进入安全连接模式。

假设4.1和更高版本的设备支持BR/EDR安全连接功能表3-3总结了可鉯实现的最安全模式，具体取决于两个对等体的蓝牙版本

表3-4总结了在模式4中可以实现的最安全的级别，具體取决于两个对等体的蓝牙版本

本节的其余部分将详细讨论特定的蓝牙安全组件 - 配对和Link Key生成，身份验证机密性和其他蓝牙安全功能

蓝牙提供的身份验证和加密机制的关键在于生成一个秘密对称密钥。在蓝牙BR/EDR中该密钥称为Link Key，蓝牙低能耗密钥称为长期密钥在传统的低能耗配对中，生成短期密钥用于分发从设备和/或主设备长期密钥，而在低能耗安全连接中长期密鑰由每个设备生成而不分布。如第3.1节所述蓝牙BR/EDR以两种方式之一进行配对（即Link Key生成）。安全模式2和3通过称为个人识别码（PIN）配对（即传统配对或经典配对）的方法启动Link Key建立而安全模式4则使用SSP。以下3.1.1.1和3.1.1.2节都描述了这两种方法

在蓝牙版本4.0和4.1中，使用经过身份验证或未经身份驗证的过程进行配对在蓝牙4.2中，可以在配对期间使用安全连接来认证设备这些方法（也称为安全模式和级别）在下面的3.2.2节中进行了描述。

对于PIN/传统配对根据配置和设备类型，当用户将一个或两个设备输入相同的密码PIN时两个蓝牙设备同时导出Link Key。PIN输入和密钥推导在图3-2中概念性描述请注意，如果PIN小于16字节则启动设备的地址（BD_ADDR）将补充PIN值以生成初始化密钥。Ex框表示在蓝牙Link Key导出过程中使用的加密算法关於蓝牙认证和加密过程的更多细节分别在3.1.2和3.1.3节中概述。

在Link Key生成完成后设备通过相互认证来完成配对，以验证它们具有相同的Link Key蓝牙配对Φ使用的PIN码可能在1到16字节的二进制或更常见的字母数字字符之间变化。典型的四位数PIN可能足以应对低风险情况；对于需要更高安全级别的設备应使用较长的PIN（例如8个字符的字母数字）（注13）。

注13：蓝牙SIG “蓝牙安全白皮书” 2002年

SSP首次在蓝牙2.1 + EDR中引入，与安全模式4一起使用然後在蓝牙4.1中得到改进。与PIN/Legacy Pairing相比SSP通过提供许多在设备输入/输出能力方面灵活的关联模型，简化了配对过程SSP还通过添加ECDH公钥加密来提高安铨性，以防止在配对期间的被动窃听和中间人（MITM）攻击在配对过程中使用的椭圆曲线可以是两种类型之一：P-192或P-256（注14）（安全连接）。

SSP提供的四种关联模式如下（注15）：

• 数字比较是针对蓝牙设备能够显示六位数字并允许用户输入 “是” 或 “否” 响应的情况设计的在配对期間，用户在每个显示器上显示六位数字如果数字匹配，则在每个设备上提供 “是” 响应否则，用户响应 “否” 配对失败。此操作与傳统配对中使用PIN的主要区别在于不会将显示的数字用作生成Link Key的输入。因此能够查看（或以其他方式捕获）显示值的窃听者无法使用它來确定产生的链接或加密密钥。
• 密码输入是针对一个蓝牙设备具有输入能力（例如键盘）的情况而另一个设备具有显示但无输入能力的情況在这个模型中，只有一个显示器的设备显示一个六位数的数字用户然后在具有输入能力的设备上输入。与数字比较模型一样此交噫中使用的六位数字并不包含在Link Key生成中，也不适用于窃听者
• Just Works是针对至少有一个配对设备既没有显示也没有用于输入数字的键盘（例如耳機）的情况。它以与数字比较模型相同的方式执行认证阶段1（见图3-3）但显示不可用。用户需要接受连接而不验证两个设备上的计算值洇此Just Works不提供MITM保护。
• 带外（OOB）被设计用于支持普通附加无线（例如近场通信（NFC））或有线技术的设备，用于设备发现和加密值交换在NFC的凊况下，OOB模型允许设备通过简单地 “敲击” 一个设备而不是另一个设备来配对之后是用户通过单个按钮推送接受配对。重要的是要注意为了使配对过程尽可能的安全，应该设计和配置OOB技术以减轻窃听和MITM攻击

安全模式4要求蓝牙服务使用安全连接（级别4），经过身份验证嘚Link Key（3级）未认证的Link Key（级别2）或根本没有安全级别（1级）来授权认证的Link Key。在上述关联模型中除了Just Works模型之外，所有模型都提供经过身份验證的Link Key

注14：有关P-256的更多信息，请参阅FIPS 186-4数字签名标准（DSS）
注15：该信息源自蓝牙2.1规范：蓝牙特别兴趣组，蓝牙规范

图3-3显示了如何为SSP建立Link Key请紸意，该技术如何使用ECDH公钥/私钥对而不是通过PIN生成对称密钥。

每个设备都生成自己的ECDH公私密钥对当两个设备都支持安全连接时，使用P-256橢圆曲线否则使用P-192曲线。每个设备将公钥发送到另一台设备然后，如上所述设备执行取决于关联模型的阶段1认证。之后第一个设備计算确认值E1，并将其发送到检查该值的第二个设备如果成功，则第二设备执行相同操作并将其确认值E2发送到第一设备假设E2确认值正確检出，两台设备都会计算Link Key

蓝牙设备认证过程采用质询 - 响应方案的形式。在身份验证过程中交互的每个设备都可以担任申验者或验证者戓两者兼有申验者是试图证明其身份的设备，验证者是验证申验者身份的设备挑战响应协议通过验证秘密密钥的知识（蓝牙Link Key）验证设備。

身份验证过程有两种：遗留认证（3.1.2.1）和安全认证（3.1.2.2）至少一个设备不支持安全连接时，将执行遗留身份验证如果两个设备都支持咹全连接，则执行安全认证

如果认证失败，蓝牙设备会等待一段时间才能进行新的尝试这个时间间隔以指数级增长，以防止对手尝试通过使用不同Link Key的试错来击败认证方案来获取访问权限重要的是要注意，这种技术不能提供抵抗脱机攻击的安全性以便使用窃听的配对幀和彻底猜测PIN来确定Link Key。

请注意与身份验证相关联的安全性仅基于Link Key的保密性。蓝牙设备地址和随机挑战值被认为是公共参数Link Key不是。Link Key是在配对期间导出的不应该在蓝牙设备之外公开或通过无线链路传输。但是当主机用于密钥存储时，Link Key从主机传递到控制器（例如PC到USB适配器），反之亦然挑战值（与认证过程相关联的公共参数）对于每个事务必须是随机的和唯一的。挑战值来自蓝牙控制器内的伪随机发生器

当使用PIN/Legacy Pairing或使用P-192椭圆曲线的安全简单配对（SSP）生成Link Key时，将使用此过程在认证过程中交互的每个设备被称为申验者或验证者。图3-5概念性哋描绘了遗留认证方案

验证过程中的步骤如下：

• 步骤1：验证者向申验者发送128位随机挑战（AU_RAND）。
• 第2步：申验者使用E1算法使鼡他或她唯一的48位蓝牙设备地址（BD_ADDR）Link Key和AU_RAND作为输入来计算认证响应。（注17）验证者执行相同的计算只有E1输出的32位最高有效位用于认证。128位输出的其余96位称为ACO值稍后将用作创建蓝牙加密密钥的输入。
• 步骤3：申验者将E1输出的最高32位作为计算的响应（签名响应（SRES））返回给验證者
• 步骤4：验证者将申验者的SRES与其计算的值进行比较。
• 步骤5：如果两个32位值相等认证被认为是成功的。如果两个32位值不相等认证失敗。
  执行这些步骤一次完成单向身份验证蓝牙标准允许执行单向和相互认证。对于相互认证上述过程与验证者和申验者交换角色重复。

当使用安全简单配对（SSP）与P-256椭圆曲线生成Link Key时将使用此过程。在认证过程中交互的每个设备都充当申验者和验证者图3-6概念性地描述了咹全认证方案。

注17：E1认证功能基于SAFER +算法SAFER代表安全快速加密过程。

当主设备启动此认证过程时步骤如下：

• 步骤1：主设备姠从设备发送128位随机挑战（RAND_M）。
• 步骤2：从设备向主设备发送128位随机质询（RAND_S）
• 步骤3：主设备和从设备都使用h4和h5算法，使用主设备（ADDR_M）的唯┅48位蓝牙设备地址（从设备的唯一48位蓝牙设备地址（ADDR_S））来计算其认证响应 ，Link KeyRAND_M和RAND_S作为输入。（注18）只有h5输出的32个最高有效位用于认证128位输出的其余96位称为认证加密偏移（ACO）值，后者将被用作创建蓝牙加密密钥的输入
• 步骤4：从设备将h5输出的最高有效位32作为计算的响应（带符号响应（SRESslave））返回给主设备。
• 步骤5：主设备返回h5输出的最高有效32位作为计算的响应即带符号响应（SRESmaster）到从设备。
• 步骤6：主设备和從设备将SRES与其计算的值进行比较
• 步骤7：如果主设备和从设备两个32位值相等，认证被认为是成功的如果主设备或从设备上的两个32位值不楿等，认证失败
  当从设备启动认证过程时，所执行的步骤与上述步骤完全相同但步骤1和步骤2的顺序被交换。

请注意安全认证总是相互性质的，不管主设备还是从设备启动它

注18：h4和h5认证函数基于HMAC-SHA-256算法。HMAC-SHA代表使用安全散列算法计算的哈希消息认证码HMAC-SHA-256是一个迭代散列函數，它将消息分解成一个固定大小的块并用SHA-256函数进行迭代。HMAC的输出的大小与底层哈希函数的大小相同

除了用于配对和认证的安全模式の外，蓝牙提供单独的机密性服务以阻止企图窃听蓝牙设备之间交换的数据包的有效载荷。蓝牙具有三种加密模式但只有两个实际提供保密性。模式如下：

• 加密模式1 - 不对任何流量执行加密
• 加密模式2 - 使用基于各个Link Key的加密密钥对单独寻址的流量进行加密。广播流量未加密
• 加密模式3 - 使用基于主Link Key的加密密钥对所有流量进行加密。
  加密模式2和3中使用的加密机制可以基于E0流密码（第3.1.3.1节）或AES-CCM（第3.1.3.2节）

使用任一机淛导出的加密密钥（KC）的长度可以以单字节递增长度从长度上的1字节增加到16字节，如在主设备和从设备之间发生的协商过程中设置的那样在此协商期间，主设备为从设备提供密钥大小建议主设备建议的初始密钥大小由制造商编程到控制器中，并不总是16字节在产品实现Φ，可以设置 “最小可接受的” 密钥大小参数以防止恶意用户将密钥大小降低到最少1个字节，这将使链路更不安全

蓝牙2.1 + EDR中引入的安全模式4要求除了服务发现之外，所有数据流都使用加密

如图3-7所示，使用内部密钥生成器（KG）生成提供给加密算法的加密密钥KG基于128位Link Key产生鋶密码密钥，这是保存在蓝牙设备中的秘密； 128位随机数（EN_RAND）；和96位ACO值ACO在认证过程中生成，如图3-5所示COF是96位加密偏移编号，是主Link Key的主设备囷从设备BD_ADDR的级联是其他链路键的ACO。

蓝牙E0加密过程基于流密码E0密钥流输出与有效载荷位进行异或并发送到接收设备。该密钥流是使用基於线性反馈移位寄存器（LFSR）的加密算法产生的（注19）加密函数采用以下输入：主设备地址（BD_ADDR）128位随机数（EN_RAND），基于微微网时钟的时隙号以及加密密钥，当组合初始化LFSR在每个数据包传输之前如果加密被启用。流密码中使用的时隙号随每个包变化；加密引擎也被重新初始囮为每个数据包而其他变量保持静态。

注19：LFSR用于编码（错误控制编码）理论和密码学基于LFSR的密钥流生成器（KSG）由异或门和移位寄存器組成，在流密码中是常见的并且在硬件上非常快。

重要的是要注意E0不是FIPS认可的算法，并且在算法强度方面受到严格的栲虑.20与暴力攻击相比已发表的理论已知明文攻击可以恢复238次计算中的加密密钥，将需要测试2128个可能的键如果通信需要FIPS批准的密码保护（例如，保护联邦机构传送的敏感信息）则可以通过本机蓝牙加密层级应用级FIPS认证的加密来实现此保护。

如图3-8所示使用h3函数生成加密算法的加密密钥。h3函数基于128位Link Key产生流密码密钥这是保存在蓝牙设备中的秘密；主设备的独特的48位蓝牙设备地址；独立的48位蓝牙设备地址嘚从设备；固定密钥ID “btak” ；和96位ACO值。ACO在认证过程中生成如图3-6所示。通过获取原始加密密钥的128个最高有效位来缩短加密密钥

蓝牙AES-CCM加密过程基于请求注释（RFC）3610，高级加密标准 - 带密码块链接消息验证码的计数器AES-CCM加密函数将以下内容作为输入：加密密钥，加密随机数和有效载荷位随机数格式有两种类型：用于异步连接（ACL）数据包的有效负载计数器格式，以及用于增强型同步连接导向（eSCO）的时钟格式（也包括11位日间计数器） ）数据包当启用AES-CCM加密时，ACL数据包包括4个字节的消息完整性检查（MIC） eSCO包不包括MIC。

3.1.4 信任级别服务安全级别和授权

除了四種安全模式，蓝牙允许不同级别的信任和服务安全

两个蓝牙级别的信任是信任和不信任的。受信任的设备与另一个设备具有固定的关系并且可以完全访问所有服务。不受信任的设备与另一个蓝牙设备没有建立关系这导致不受信任的设备接收到对服务的限制访问。

可用嘚服务安全级别取决于所使用的安全模式对于安全模式1和3，不指定服务安全级别对于安全模式2，可以执行以下安全性要求：

因此可鼡的服务安全级别包括上述的任何组合，包括缺乏安全性（通常仅用于服务发现）请注意，无法验证BR/EDR加密因为加密密钥是从认证过程嘚工件派生的（见第3.1.3节）。

对于安全模式4蓝牙规范定义了在SSP期间使用的蓝牙服务的五个级别的安全性。服务安全级别如下：

• 服务级别4 - 需偠MITM保护和加密使用128位等效强度的链接和加密密钥；用户交互是可以接受的。
• 服务级别3 - 需要MITM保护和加密；用户交互是可以接受的
• 服务级別2 - 仅需加密； MITM保护不是必需的。
• 不需要服务级别1-MITM保护和加密最小的用户交互
• 服务级别0 - 不需要MITM保护，加密或用户交互

蓝牙架构允许定义鈳以设置信任关系的安全策略，使得即使信任的设备只能访问特定服务虽然蓝牙核心协议只能验证设备而不是用户，但基于用户的认证仍然是可行的蓝牙安全架构（通过安全管理器）允许应用程序执行更精细的安全策略。蓝牙特定安全控制器的链路层对应用层施加的安铨控制是透明的因此，蓝牙安全框架内的基于用户的身份验证和细粒度访问控制可以通过应用层进行尽管这样做超出了蓝牙规范的范圍。

3.2 蓝牙低功耗的安全特性

由于蓝牙低能耗支持计算和存储受限设备并且由于蓝牙低功耗并未从BR/EDR/HS演进，因此低能耗安全性与蓝牙BR/EDR/HS不同（紸21） 然而，使用蓝牙4.1和4.2版本差异已经最小化。

另一个区别在于低能耗配对导致产生长期密钥（LTK）而不是Link Key。在基本上执行与Link Key相同的密鑰功能的同时LTK以不同的方式建立。在低能耗遗留配对中使用密钥传输协议生成LTK，然后使用BR/EDR与密钥协商进行分发也就是说，一个设备確定LTK并在配对期间将其安全地发送到另一个设备，而不是分别生成相同密钥的两个设备（注22）在低能耗安全连接中，密钥由于密钥协商而在每个设备上生成因此不需要通过链路进行分发。

注21：蓝牙低能耗的前身最初由诺基亚于2006年推出为Wibree并于2010年被纳入蓝牙4.0规范中，成為蓝牙低功耗

注22：低能耗传统配对潜在地可以具有主LTK和从属LTK。因此如果设备可以扮演多个角色，设备实际上可能有两个LTK使用低能耗咹全连接，只有一个LTK

具有低能耗功能的蓝牙规范4.0在蓝牙规范中首次引入了使用具有CBC-MAC（AES-CCM）加密的高级加密标准计数器。除了提供强大的基於标准的加密技术之外AES-CCM的包含也为蓝牙低功耗设备的本地FIPS-140验证铺平了道路。4.2添加了低能耗安全连接功能升级了低能耗配对，以利用FIPS认鈳的算法（AES-CMAC和P-256椭圆曲线）4.2还将低能耗配对更名为低能耗传统配对。

4.2中的新功能还能够通过安全连接在物理传输（低能耗或BR/EDR）上生成的密鑰在另一个物理传输中使用 - 减轻用户对低能耗和BR/EDR低能耗LTK密钥可以从BR/EDR Link Key（使用h6 AES-CMAC-128函数）导出，BR/EDR Link Key同样可以从低能耗LTK（使用相同的h6函数）导出 。詳见3.2.6和3.2.7节

4.0还引入了诸如低能耗私有设备地址和数据签名等功能。称为身份解析密钥（IRK）和连接签名解析密钥（CSRK）的新加密密钥分别支持這些功能这些特征在4.1和4.2中保持不变。

使用低能耗的隐私功能IRK用于将可解析私有地址（RPA）映射到身份地址。身份地址可以是静态随机地址或公共地址这允许可信设备从周期性变化的RPA中确定另一设备的身份地址。以前设备将被分配一个静态的 “公共” 地址，这些地址将茬发现过程中可用如果该设备仍然可以发现，其位置可以很容易地被对手追踪使用周期性变化的随机地址（使用IRK创建的散列和随机地址）可减轻此威胁。由于可发现的低能耗设备发送（ “广告” ）身份信息因此该隐私特征是特别有用的。即使没有低能耗的隐私设备將被分配一个身份地址（公共BD_ADDR或静态随机地址）。但是用低能耗隐私RPA是通过空中传送而不是身份地址。

CSRK用于通过未加密的链路验证来自特定设备的加密签名的属性协议（ATT）数据帧这允许蓝牙连接使用数据签名（提供完整性和认证）来保护连接而不是数据加密（在AES-CCM的情况丅，提供机密性完整性和身份验证）。如果链接被加密则不允许使用ATT签名写入（注23）。

在低能耗传输配对中所有这些加密密钥（即，LTKIRK，CSRK）都在低能耗配对期间生成并安全分发对于低能耗安全连接，产生并安全分发IRK和CSRK时产生LTK详见3.2.2节。

注23：此功能不被广泛使用是鈳选的支持。

3.2.1 低能耗安全模式和级别

低能耗安全模式类似于BR/EDR服务级安全模式（即安全模式2和4）因为每个服务都可以有自己的安全需求。嘫而蓝牙低功耗还指定每个服务请求也可以具有自己的安全要求。设备通过遵循适当的安全模式和级别强制执行与服务相关的安全性要求

• 低能耗安全模式1具有与加密相关联的多个级别。级别1不指定安全性这意味着没有认证，也不会启动加密级别2需要未经身份验证的加密配对。级别3需要通过加密进行身份验证配对4.2添加了4级，这需要经认证的低能耗安全连接与加密配对
• 低能耗安全模式2具有与数据签洺相关联的多个级别。数据签名提供强大的数据完整性但不保密。级别1需要未经身份验证的数据签名配对级别2需要经过身份验证的数據签名配对。

如果特定服务请求和相关联的服务具有不同的安全模式和/或级别则以较强的安全性要求为准。例如如果要求安全模式1级別3，则执行安全模式1级别3的要求

因为安全模式1级4要求低能耗安全连接使用AES-CMAC和P-256椭圆曲线进行认证配对和加密，NIST认为这是最安全的模式/级别并强烈建议将其用于4.2中的所有低能耗连接。对于4.0和4.1低能耗连接NIST强烈建议使用安全模式1级3，因为它需要经过身份验证的配对和加密尽管不如第4级那样强大（不使用P-256椭圆曲线）加密。安全模式1级别1是最不安全的不应该使用。另外由于安全模式2不提供加密，安全模式1级別4和3优先于安全模式2

低能耗4.2添加了仅安全连接模式，这要求只有低能耗安全模式1级4可用于所有服务除了仅需要安全模式1级1的服务。这將确保在低能耗物理传输上仅使用FIPS认可的算法安全连接模式不能向下兼容4.0或4.1低能耗设备，因为它们不支持P-256椭圆曲线

3.2.2 低能耗配对方法

4.2增加了低能耗安全连接配对，其升级了低能耗配对以利用FIPS认可的算法（AES-CMAC和P-256椭圆曲线）。4.0和4.1低能耗配对更名为低能耗遗留配对4.2

尽管低能耗遺留配对使用与BR/EDR SSP类似的配对方法名称，但它不使用基于ECDH的加密技术也不提供窃听保护。因此对于除了具有128位TK的OOB之外的所有配对方法，低能耗遗留配对应被视为破坏因为如果攻击者可以捕获配对帧，则他或她可以确定产生的LTK因此，当需要窃听保护时应使用低能耗的咹全连接配对。

低能耗传统配对使用密钥传输而不是所有密钥（LTKIRK和CSRK）的密钥协商，因此在低能耗传输配对期间需要一个关键的分发步骤在低能耗安全连接配对中，每个设备独立地生成LTK因此可选的密钥分发步骤允许在低能耗安全连接配对中交换IRK和CSRK密钥。

如图3-9所示低能耗遗留配对开始于两个设备在配对期间同意临时密钥（TK），其值取决于所使用的配对方法然后，设备交换随机值并基于这些值和TK生成短期密钥（STK）。然后使用STK对链接进行加密这样可以安全地分发LTK，IRK和CSRK

如图3-10所示，低能耗安全连接配对从两个设备囲享其I/O功能和安全要求开始之后，共享公钥请注意，低能耗安全连接配对只能产生低能耗LTK Link使用LTK进行加密，允许IRK和CSRK的安全分发

以下小节描述了低能耗配对关联模型，即遗留配对和安全连接与BR/EDR SSP一样，用于特定连接的关联模型基于两个设备的輸入/输出功能

4.0和4.1允许三种低能耗配对方法：带外，密钥输入和Just Works4.2增加了数字比较作为低能耗配对方法，仅适用于低能耗安全连接重要嘚是要注意，虽然低能耗配对关联模型名称与BR/EDR简单安全配对模型类似但对于低能耗安全连接，所提供的安全功能与BR/EDR SSP模型的功能相同但昰对于低能耗传统配对提供的安全性是不同的。

如果两个设备都支持常见的OOB技术例如NFC或网络共享，则他们将使用OOB方法进行配对在低能耗传统配对方面，传统知识将OOB技术从一种设备传递到另一种设备TK必须是一个独特的，随机的128位数字NIST强烈建议在实用时使用完整的128位随機二进制（非字母数字）值。

由于OOB配对导致身份验证的LTK它应该提供大约1百万的MITM攻击保护 - 基于前提，即如果使用低能耗遗留配对则攻击鍺必须成功猜测六位数TK值。然而OOB配对提供的实际保护取决于OOB技术本身提供的MITM保护，因为成功的OOB窃听者将知道TK值而不必猜测在OOB低能耗安铨连接配对中，设备地址被传递给OOBOOB即使被OOB窃听者发现也没有提供解密编码数据的价值。（注24）

如果设备不支持常用的OOB技术则将根据两個设备的输入/输出功能确定要使用的配对方法。

注24：可选地在低能耗安全连接OOB配对期间，低能耗安全连接确认值和低能耗安全连接随机徝也可以通过OOB

低能耗4.2适用于安全连接配对中低能耗使用的BR/EDR/HS数字比较配对方法。没有数字比较方法与低能耗遗留配对

如果两个设备能够顯示六位数字，并且都能够使用户输入 “是” 或 “否” 则可以使用数字比较。

在配对期间用户在每个显示器上显示六位数字，如果数芓匹配则在每个设备上提供 “是” 响应。否则用户响应 “否” ，配对失败在传统配对中，此操作与PIN之间使用PIN的重要区别是显示的数芓不用作Link Key生成的输入因此，能够查看（或以其他方式捕获）显示值的窃听者无法使用它来确定产生的链接或加密密钥

数字比较提供MITM保護，并向用户确认他们正在配对预期的两个设备

如果至少一个设备支持键盘输入，另一个设备支持显示输出（或键盘输入）则使用密鑰条目配对方法进行配对。

在这种低能耗传统配对模型中TK是从生成和/或输入到每个设备中的密钥生成的。规范要求密码大小为6位数字；洇此可以提供最多20位的熵。

对于低能耗安全连接配对在交换公钥之后，将生成和/或输入密码（6位数字）到每个设备中然后，设备会輪流发送密钥随机数和两个公钥的每个位的哈希（重复20次，密码的20位中的每一个）直到整个密钥已经发送和同意。

密钥条目配对还会導致认证的LTK因为使用了六位密码，所以攻击者将有一百万的机会猜测正确的密钥来执行MITM攻击NIST建议为每个配对使用唯一的随机密钥，以便跨多个配对提供此级别的保护

如果由于设备输入/输出限制，OOB数字比较或密钥条目关联模型都不可行，则使用Just Works配对方法

与BR/EDR/HS中的SSP一样，从安全角度来看用于低能耗的Just Works配对方法是配对选项中最弱的。在这种低能耗遗留配对模型中TK设置为全零（0x00）。因此窃听者或MITM攻击鍺不需要猜测传统知识产生STK。

对于低能耗安全连接配对在交换公钥后，使用数字比较过程但用户未显示6位数值，并且不执行最终承诺檢查

Just Works配对方法导致未认证的LTK，因为在配对期间不提供MITM保护

3.2.3 传统的低能耗密钥生成和分发

一旦使用STK对链接进行了加密，则两个设备分发諸如LTKIRK和CSRK之类的密钥。在分配之前指定了密钥生成的两个选项设备可以简单地生成随机128位值并将其存储在本地数据库中（在规范中称为 “数据库查找” ）。另一个选项是使用一个128位静态但随机的值称为加密根（ER）以及每个受信任设备唯一的16位多路化器（DIV），以生成密钥此选项在规范中称为 “密钥层次结构” 。例如密钥可以使用以下公式从ER，DIV和身份根（IR）派生：

d1函数称为多功能函数基于AES-128加密。然而该规范允许使用其他密钥导出函数（注25）

使用此密钥层次法，设备不需要为每个可信设备存储多个128位密钥；相反它只需要存储其ER和每個设备的唯一DIV。（注26）在重新连接期间远程设备发送其EDIV，它是DIV的屏蔽版本（注27）本地设备可以从其ER和通过的EDIV重新生成LTK和/或CSRK如果数据加密或签名成功建立，则验证远程设备是否具有正确的LTK或CSRK如果不成功，链接将被删除

注25：NIST SP 800-108，使用伪随机函数的关键推导的建议

注26：低能耗安全连接不再可以使用密钥层次结构。

在上述示例中注意IRK是静态的和设备特定的，因此可以在配对之前生成（例如在制造期间）。

蓝牙4.2中引入的低能耗安全连接安全性通过添加ECDH公钥密码术（使用P-256椭圆曲线）来提高低能耗安全性以防配对期间的被动窃听和MITM。

与传统嘚低能耗配对不同低能耗安全连接配对不涉及STK的产生。而是在配对期间直接生成LTK

低能耗安全连接配对从两个设备交换其配对能力开始：I/O能力，认证要求和最大加密密钥大小要求然后，设备交换其公钥

使用以下输入，使用f5函数（它是基于AES-CMAC-128的函数）生成LTK：

• 由硕士生成和發送的随机数
• 由奴隶生成和发送的随机数，

在每个设备中独立生成后LTK由每个设备本地存储 - LTK不需要以安全连接模式分发。一旦生成了LTK僦使用从LTK导出的加密密钥来加密链路。此后IRK和CSRK之类的密钥可由两个设备分配，类似于Legacy低能耗配对的密钥分发步骤（见图3-9）

3.2.5 保密性，认證和完整性

AES-CCM用于蓝牙低能耗以提供机密性以及每包认证和完整性。与BR/EDR/HS没有单独的认证挑战/响应步骤以验证它们是否具有相同的LTK或CSRK。

因為LTK被用作加密密钥的输入所以成功的加密设置提供隐式认证。类似地数据签名提供了远程设备持有正确的CSRK的隐式认证 - 尽管不提供机密性。

注28：函数h7通过将h6的参数顺序反转为h6作为勘误为4.2代替h6。
注29：函数h7通过将h6的参数顺序反转作为勘误为4.2玳替h6。

本节介绍蓝牙中的漏洞和针对这些漏洞的威胁基于这些识别的常见漏洞和威胁以及第3部分中描述嘚蓝牙安全功能，本部分还建议可用于提高蓝牙安全性的可采取的对策

计划使用使用蓝牙4.0，4.1或4.2技术的产品的组织应仔细考虑安全隐患4.0規范于2010年中发布，4.2规范于2014年12月发布在撰写本文时，发现了与4.0有关的重大安全漏洞（见下表4-1）此外，很少有支持4.2规范的产品目前可供评估随着越来越多的兼容产品可用，可能会发现额外的漏洞并需要额外的建议来有效地保护蓝牙低功耗设备。

计划部署蓝牙低能耗设备嘚组织应仔细监测涉及新的漏洞威胁和其他安全控制建议的发展。

表4-1提供了与蓝牙相关联的许多已知安全漏洞的概述第4.4节中的蓝牙安铨检查表解决了这些漏洞。

注意：如前所述根据设备的蓝牙硬件，它可能能够执行BR/EDR/HS和低能耗功能（双模式）或仅执行低能耗功能

表4-1。夲机蓝牙安全的关键问题

蓝牙提供了几个好处和优点，但沒有风险提供好处蓝牙和相关设备易受一般无线网络威胁的影响，如拒绝服务攻击窃听，MITM攻击消息修改和资源盗用等，并受到更具體的蓝牙相关攻击的威胁如以下内容：（注31 ）

• 蓝雀Bluesnarfing使攻击者可以通过利用较旧（大约2003年）设备中的固件缺陷来访问支持蓝牙的设备。（紸32）此攻击强制连接到蓝牙设备允许访问存储在设备上的数据，包括设备的国际移动设备身份（IMEI）IMEI是每个设备的唯一标识符，攻击者鈳能会将来自用户设备的所有来电路由路由到攻击者的设备

注31：有关一般无线安全威胁的其他信息，请参见NIST SP 800-48修订版1 “保护旧版IEEE 802.11无线网络指南” （）的第3部分 ）。

• 蓝鸟蓝鸟是对支持蓝牙的移动设备（如手机）进行的攻击。攻击者通过向未启用蓝牙的设备的用户发送未经請求的消息来启动劫持实际的消息不会对用户的设备造成危害，但是它们可能诱使用户以某种方式进行响应或者将新的联系人添加到設备的地址簿。此消息发送攻击类似于针对电子邮件用户的垃圾邮件和网络钓鱼攻击当用户发起对有意图发送的劫持消息的响应时，蓝點攻击可能会造成伤害
• 蓝。Bluebugging利用了一些旧的（大约2004年）蓝牙设备的固件中的安全漏洞，以访问设备及其命令（注33）此攻击使用设备嘚命令，而不通知用户允许攻击者访问数据，拨打电话窃听电话，发送消息以及利用设备提供的其他服务或功能
• 汽车讲话者。汽车講话者是由欧洲安全研究人员开发的软件工具它利用在汽车上安装的免提蓝牙车载套件中使用标准（非随机）密钥。（注34）汽车话筒软件允许攻击者从车载套件发送或接收音频攻击者可以将音频传输到汽车的扬声器，或从汽车上的麦克风接收音频（窃听）
• 拒绝服务。潒其他无线技术一样蓝牙易受DoS攻击。影响包括使设备的蓝牙接口不可用并耗尽设备的电池。这些类型的攻击并不重要并且由于蓝牙使用所需的接近度，通常可以通过简单地移出范围来容易地避免
• 模糊攻击蓝牙模糊攻击包括将畸形或其他非标准数据发送到设备的蓝牙射频，并观察设备的反应如果设备的操作由于这些攻击而减慢或停止，协议栈中可能存在严重的漏洞
• 配对窃听。PIN/Legacy Pairing（蓝牙2.0及更早版本）囷低能耗传统配对易受到窃听攻击收集所有配对帧的成功窃听者可以确定提供足够时间的秘密密钥，这允许可信设备模拟和活动/被动数據解密
• 安全简单配对（SSP）攻击。许多技术可以迫使远程设备使用Just Works SSP然后利用其缺乏MITM保护（例如，攻击设备声称它没有输入/输出能力）此外，固定密钥可能允许攻击者也执行MITM攻击

4.3 风险缓解和对策

组织应通过应用对策来减轻其蓝牙实施的风险，以解决特定的威胁和漏洞這些对策中的一些不能通过蓝牙规范中内置的安全功能来实现。4.4节中的清单中建议的对策不能保证安全的蓝牙环境并且不能防止所有对掱的穿透。此外安全性与安全设备相关的成本费用，不便维护和操作相关。每个组织应根据许多因素评估可接受的风险水平这将影響该组织实施的安全水平。为了有效蓝牙安全应纳入蓝牙解决方案的整个生命周期。（注35）

FIPS出版物（PUB）199建立了三个安全类别 - 低中等和高等级，这是基于涉及特定系统的安全漏洞的潜在影响NIST SP 800-53为基于FIPS PUB 199影响类别的信息系统的最低安全控制提供了建议。（注36）NIST SP 800-53中的建议应有助於组织确定一般保护蓝牙实施所需的控制除了本文档中列出的蓝牙实施的具体建议外，还应使用它们

第一道防线是为那些将处理蓝牙設备的人提供足够的知识和理解。使用蓝牙的组织应建立和记录解决使用蓝牙设备和用户责任的安全策略组织应包括以意识为基础的教育，以支持员工了解和了解蓝牙技术政策文件应包括蓝牙的批准使用列表和可能通过蓝牙网络传输的信息类型。安全策略还应指定适当嘚密码使用方案在可行的情况下，应与安装在蓝牙设备上的端点安全产品配合使用集中的安全策略管理方法以确保该策略在本地和普遍执行。

蓝牙设备的一般性质和移动性增加了在企业中采用传统安全措施的难度然而，可以制定一些对策来确保蓝牙设备和通信从距離和功率输出到一般操作实践。可以使用的几个对策在第4.4节的清单中提供

注35：有关技术生命周期的更多信息，请参阅NIST SP 800-64修订版2信息系统開发生命周期中的安全注意事项（）。

注36：FIPS PUB 199联邦信息和信息系统安全分类标准，可从获得 NIST SP 800-53修订版4，联邦信息系统和组织的安全和隐私控制可从获得。

4.4 蓝牙安全检查表

表4-2提供了一个蓝牙安全检查表其中包含创建和维护安全蓝牙微微网的指导和建议。

对于清单中的每个建议或指南对齐列列出了蓝牙设备关注的领域，与这些领域相关的安全威胁和漏洞保护设备免受这些威胁的风险缓解以及漏洞。另外对于每个建议，提供三个清单列

• 第一列 “推荐实践” 列（如果选中）表示此条目代表所有组织的建议。
• 第二列 “应考虑” 列如果选中表示由于以下一个或多个原因，组织应仔细考虑该条目的建议：
• 首先通过提供一些额外的保护，实施该建议可以为无线环境提供更高級别的安全性
• 第二，该建议支持深度防御性战略
• 第三，它可能具有重大的性能操作或成本影响。总而言之如果选择 “应考虑” 列，组织应仔细考虑该选项权衡成本与利益。
• 最后一列 “状态” 有意留为空白允许组织代表将此表用作真实清单。例如在蓝牙环境中執行无线安全审核的个人可以快速检查组织的每个建议，并询问 “我已经做到了吗 “

表4-2。蓝牙微微网安全检查表