信息通信

别乱开蓝牙 当心你的隐私

作者:来源:科技日报发布时间:2019-08-22 08:48我要评论

蓝牙耳机、蓝牙手环、车载蓝牙……蓝牙技术自问世以来,不仅解决了许多数据传输方面的难题,同时也开启了无线生活的大门,得到各类智能设备的青睐。但这项技术为我们生活带来便利的同时,也带来一些安全隐患。

据外媒报道,来自波士顿大学的研究人员于日前发现,在Fitbit智能手环等蓝牙设备上,蓝牙通信协议中存在的漏洞,其会导致敏感的个人信息被窃取,允许第三方追踪设备所在位置。这些数据很可能被“有心人”拿去使用,考虑到如今蓝牙产品的普及率之高,专家建议用户要在这方面提高警惕。

那么,这个漏洞是什么?目前蓝牙设备还存在着哪些安全隐患?作为消费者以及技术厂商应该如何防范相关的技术风险?科技日报记者就此采访了有关专家。

“商标”信息导致设备被跟踪

那么,波士顿大学研究者们发现的漏洞究竟是什么?

“这一漏洞与蓝牙设备建立通信连接的方式有关。” 福建省网络安全与密码技术重点实验室副主任、福建师范大学教授黄欣沂解释道,蓝牙设备与目标终端设备建立通信连接,需要一个“配对—连接—传输数据”的过程。在此过程中,蓝牙状态改变、搜索设备、绑定设备等信号,都是通过广播接收到的,攻击者可在无线网络中“监听”到蓝牙设备的广播信息。若能确定在一定范围内仅有一名用户,那攻击者在该范围内搜索到的蓝牙信号、蓝牙地址,就只会是该用户的,从而建立起蓝牙设备和用户之间的一一对应关系。

“一些蓝牙设备内的蓝牙地址具有唯一性,一旦这个地址与用户相关联,他的行动就可以被记录,用户隐私也就难以得到保障了。”黄欣沂说,那么即使该用户不在原来的地点使用蓝牙设备,只要其设备的蓝牙地址被“盯”上,攻击者仍能知道哪些蓝牙数据是属于该用户的。

“在大部分设备上,蓝牙地址都会被定期重新随机设置,以切断设备和用户之间的对应关系。”360安全研究院独角兽安全团队专家秦明闯说,据波士顿大学的研究人员公布的最新研究成果显示,在蓝牙通信标准中最新找到的漏洞正存在于蓝牙的身份识别功能中。该漏洞不需要攻击者主动发数据包,只要“监听”蓝牙的广播信道就能“跟踪”某个设备。

为何蓝牙设备地址被随机改变后,攻击者仍可以找到原用户?“一些厂商为了能‘认识’自家设备,在随机化的蓝牙地址、广播信息中,编入了一些与设备有关的信息,好比产品商标,导致设备还是可以被追踪到。”秦明闯说。

360安全研究院独角兽安全团队专家殷文旭举例解释说,如Windows 10系统广播的蓝牙数据包中,部分数据在每台设备上不同,且会出现周期性变化。与随机化的蓝牙地址类似,其初衷也是防止被“有心人”跟踪,但这部分数据变化的周期和蓝牙地址变化的周期不同步,攻击者可通过周密的分析和解读,将二者关联起来,实现对设备的持续追踪。

根据波士顿大学研究者们的测试结果,他们发现的漏洞出现在Windows 10系统、iOS系统、macOS系统等软件系统以及Apple Watch、Fitbit智能手环等拥有蓝牙功能的设备上,因为这些设备都会定期发送含有自定义数据的信息,以便和其他设备进行互动。

可穿戴蓝牙设备隐藏更多风险

据统计,目前全球有数十亿台智能设备采用了蓝牙技术。尽管Wi-Fi可替代蓝牙满足用户的无线传输需求,但在无线耳机、扬声器等设备上,通常会同时配备蓝牙和Wi-Fi功能。

“无线扬声器、车载信息娱乐系统,这类带有蓝牙功能的设备通常只涉及点对点的单线传输,几乎不涉及其他设备,因而比较少泄露隐私。例如,无线耳机通常只连接用户自己的手机或其他个人设备,不会连接他人的设备。”黄欣沂说,但与体育和健康有关的、备有蓝牙功能的智能可穿戴设备,如智能手环、智能眼镜、智能运动鞋等,则会通过手机软件将用户的心率、睡眠、体脂等个人信息上传至服务器中,也就是非个人用户设备中,这就会存在较大的隐私泄露风险。

据福建宜准信息科技有限公司技术总监蔡云鹏介绍,因为可穿戴设备要启动蓝牙功能,就需要广播地址和名称,在广播过程中,攻击者就可通过“监听”间接定位到具体终端佩戴者的位置,也就能获取用户位置信息。另外,攻击者还可通过标准协议,获取部分设备实时采集到的健康体征信息,这部分数据一般都未经过加密处理,很容易就被“有心人”利用。同时,手机端的来电或应用消息一般都会推送到带有蓝牙功能的可穿戴设备上,当该设备被监控后,用户手机上的消息也可能随之被泄露。

黄欣沂举例说道,目前市面上大多数智能手环都采用直接工作配对模式,即用户主动发起连接却看不到配对过程,且设备通常对蓝牙指令的来源不经认证。在这种情况下,攻击者只要将一段含有特殊格式的数据传至蓝牙设备,就能对手环随意“发号施令”,如控制LED颜色变化、开启实时步数监控功能等等。

我国尚未出台专门的安全标准

据测算,预计到2022年,支持蓝牙功能的设备数量将从现在的42亿提升至52亿,相关的安全问题将会变得日益严峻。

不过,波士顿大学的研究者们也表示,Windows 10系统和iOS系统用户只需把蓝牙关掉再重新打开一次便可新设一个蓝牙地址。“在厂商们对此漏洞进行修复前,这个‘笨’办法对于注重个人隐私安全的用户来说,也许是最有效的了。”蔡云鹏说。

2018年6月11日,全国信息安全标准化技术委员会秘书处就国家标准《信息安全技术蓝牙安全指南》发出了征求意见稿,目前该文件处于报批阶段。“当前我国尚未出台专门的安全标准,我建议应尽快完善与蓝牙设备相关的安全标准,如对某些设备加入强制蓝牙地址随机化功能,规定盗用、滥用蓝牙数据将受到严厉惩处,让攻击者不敢利用技术漏洞做违法的事。”黄欣沂说。

在技术方面,蔡云鹏建议企业和生产厂商应对蓝牙系统在配对和连接环节加强保护措施:在配对时,增加验证配对密钥环节;在连接时,要使用相互身份验证方式来保证连接安全。在保护云端数据安全方面,厂商应尽量选择高安全性的服务商,及时备份用户信息、加密传输重要文件、使用加密云服务、认真对待密码,加强生产环境数据安全审计;硬件上可采用高安全性的蓝牙系统芯片和模块,尽量降低技术漏洞给用户带来的影响。

“消费者在选择产品时,应尽量选择正规大厂家生产的产品,不要一味追求低价,这样在安全性方面会更有保障。此外,在使用产品时,用户在不使用的情况下,应尽量关闭蓝牙功能,还要及时更新系统软件版本,堵住漏洞。”蔡云鹏建议,用户应尽量减少蓝牙配对次数,并选择在安全的地方进行配对,不要让其他人看到配对口令。同时,用户在使用手机时,尽量不去连接、配对不可信的设备,只与熟悉的设备进行配对。

殷文旭表示,前不久Windows 10技术团队已修复了波士顿大学研究者发现的漏洞,用户只要进行软件更新就可完成修复。但对于手环这类更新比较慢的物联网设备,漏洞或将存在一段时间,建议其他生产厂商及时跟进并修复该漏洞,发布系统更新,同时检查其余产品中也是否存在类似漏洞。


责任编辑:马利亚
相关链接

2019世界VR产业大会新闻发布会

6月20日,工业和信息化部、江西省人民政府在北京联合召开新闻发布会,介绍2019世界VR产业大会有关情况及筹备工作进展。

第十一届中国中部投资贸易博览会电子信息产业发展论坛

5月19日,第十一届中国中部投资贸易博览会电子信息产业发展论坛在江西南昌召开。南昌市人民政府副市长杨文斌、江西省工信厅副厅长王亦斌出席并致辞。

2019世界超高清视频产业发展大会

5月9日,2019 世界超高清视频(4K/8K)产业发展大会在广州召开。大会由工业和信息化部、国家广播电视总局、中央广播电视总台、广东省人民政府共同主办。工业和信息化部部长苗圩出席大会并致辞。

第七届中国电子信息博览会

本次峰会主题是“创新驱动发展 智慧赋能未来”,将邀请政府行业主管部门、国内外著名专家学者和企业家发表主题演讲,深入探讨产业创新发展新模式、新动能、新路径,推动电子信息产业高质量发展。...

首届全球IC企业家大会

12月11日,由工业和信息化部、上海市人民政府指导,中国半导体行业协会、中国电子信息产业发展研究院主办,北京赛迪会展有限公司、中国电子报社、上海市集成电路行业协会承办的“首届全球IC企业家大会暨第十六届中国国际...

2018世界VR产业大会

10月19日,2018世界VR产业大会在南昌盛大开幕。开幕式上,全国政协副主席卢展工宣读国家主席习近平贺信,工业和信息化部部长苗圩,江西省委书记刘奇,江西省委常委、南昌市委书记殷美根分别致辞。

第二届中国虚拟现实创新创业大赛启动...

8月20日,在中国创新创业大赛组委会办公室指导下,由虚拟现实产业联盟、国科创新创业投资有限公司共同举办的第二届中国虚拟现实创新创业大赛启动新闻发布会在北京举行。

2018年上半年家电网购分析报告发布会

8月2日,工业和信息化部赛迪研究院、中国电子报社在北京发布了《2018年上半年家电网购分析报告》(以下简称《家电网购报告》)。报告显示,2018年上半年,我国B2C家电网购市场(含移动终端)规模达2641亿元...

2018制造业“双创”高峰论坛

6月22日,2018制造业“双创”高峰论坛在北京举办。本次论坛由中国电子信息产业发展研究院、中国制造企业双创发展联盟和中国软件行业协会工业互联网分会主办,中国电子报社、北京云道智造科技有限公司和中国船舶工...

2018世界VR产业大会新闻发布会

5月21日,记者从在北京人民大会堂召开的2018世界VR产业大会新闻发布会上获悉,由工业和信息化部、江西省人民政府共同主办,中国电子信息产业发展研究院、江西省工业和信息化委员会、南昌市人民政府、虚拟现实产业...

数字经济前沿论坛-CITE2018第六届中国电...

为贯彻落实党的十九大精神,充分展示新一代信息技术产业最新发展成就,促进产业核心技术突破,加快形成数字经济新动能,引领信息技术产业供给侧改革,工业和信息化部、深圳市人民政府将于2018年4月9日-11日在深圳市共 ...

中国超高清视频(4K)产业发展大会

3月29日,中国超高清视频(4K)产业发展大会在广州市召开。大会由工业和信息化部、国家广播电视总局、广东省人民政府主办,广东省经济和信息化委员会、广东省新闻出版广电局、广东省通信管理局、广州市人民政府、中...

2019上半年中国家电市场报告发布

7月29日,中国电子信息产业发展研究院在北京发布了《2019上半年中国家电市场报告》(以下简称《报告》)。《报告》显示,2019年1月-6月,我国家电行业运行稳定、稳中有进,产销均高于去年同期。其中,...

壮丽70年 奋斗新时代

70年来,中国共产党人从未停下“赶考”脚步。神州大地上,一幅幅壮丽的发展画卷在描绘,一部部感天动地的奋斗史诗在书写。...

2019打造制造业“双创”升级版

围绕制造业“双创”升级的内涵本质、发展趋势、实践启示等方面,邀请政府部门及事业单位领导、两院院士及专家学者、重点地区及企业领导等撰写相关文章,共同探讨制造业“双创”发展新路径。...

聚焦2019全国两会

3月3日电 凝聚共识谱写时代华章,共商国是同绘复兴宏图。中国人民政治协商会议第十三届全国委员会第二次会议3日下午在人民大会堂开幕。...

MWC2019世界移动大会报道

MWC,世界移动通信大会。主办方全球移动通信系统协会(GSMA)成立于1987年,是世界移动通信界的三大国际组织之一,目前其成员已包括来自220个国家的近800家移动运营商以及230多家更为广泛的移动...

CEN视频新闻 | 2019 CITE 瑞萨电子高级副总裁

第七届电子信息博览会上,瑞萨电子高级副总裁 真冈朋光接受《中国电子报》记者采访。...

视频新闻丨院士专家畅谈智能网联汽车

3月19日,慕尼黑上海电子展前夕,新能源与智能网联汽车创新发展论坛在上海举办,论坛邀请了30多为海内外行业人士,近35场精彩发言,围绕新能源和智能网联两大领域展...

两会专访丨全国政协委员、新大陆科技集团总裁王晶

2019年全国“两会”期间,全国政协委员、新大陆集团总裁王晶在接受《中国电子报》记者采访时表示:传统农村需要发挥信息技术和互联网的载体和引擎作用,促进农业生产、...

友情链接
关于我们 | 联系我们 | 广告服务
电子信息产业网LOGO