(ChinaZ.com) 9月16日 消息：如今，智能手機、平板電腦、筆記本電腦和物聯網設備都使用到了藍牙軟件，需要警覺的是，這些軟件很容易受到今年夏天披露的一個新的安全漏洞的攻擊。
該漏洞被稱為BLESA (Bluetooth Low Energy Spoofing Attack)，會影響運行Bluetooth Low Energy (BLE)協議的設備。
據悉，BLE是原始藍牙(經典)標準的精簡版，旨在節省電池電量，盡可能長時間保持藍牙連接。由于其節省電池的特性，BLE在過去的十年中被廣泛采用，成為一種幾乎無處不在的技術。
由于這種廣泛采用，安全研究人員和學者多年來也多次對BLE的安全缺陷進行調查，經常發現重大問題。
然而，以前關于BLE安全問題的絕大多數研究幾乎都只關注于配對過程，而忽略了BLE協議的大部分內容。普渡大學( Purdue University )組成的一個研究團隊在著手調查BLE協議后，發現了安全問題。
他們把工作集中在“重新連接”過程上。此操作發生在配對操作期間兩臺BLE設備(客戶端和服務器)相互認證之后。
當藍牙設備移出范圍，然后再移回到范圍內時，就會發生重新連接。
正常情況下，當重新連接時，兩臺BLE設備應該檢查彼此在配對過程中協商的密鑰，然后重新連接并繼續通過BLE交換數據。
但是普渡大學的研究小組說，他們發現官方的BLE規范沒有包含足夠強的語言來描述重新連接的過程。因此，有兩個系統問題進入了BLE軟件的實施，影響了軟件供應鏈：
設備重新連接期間的身份驗證是可選的，而不是強制的。
如果用戶的設備未能強制物聯網設備對所通信的數據進行身份認證，則可能會繞過認證。
這兩個問題稱BLESA攻擊打開了大門——在此期間，附近的攻擊者就可以繞過重連接驗證，并向帶有錯誤信息的BLE設備發送欺騙數據，并誘導使用者和自動化流程做出錯誤決定。
隨后，研究人員分析了多種用于支持不同操作系統，包括基于linux的物聯網設備、安卓、iOS等上的BLE通信的軟件棧，都容易受到BLESA攻擊，而Windows設備中的BLE堆棧則不受影響。
雖然可以通過更新來修復漏洞，糟糕的是，根據以前BLE的使用統計數據，研究團隊認為使用易受攻擊的BLE軟件棧的設備數量有數十億。其中，有一些早期的設備并未內置更新機制，這意味著這些設備將永遠無法修補漏洞。
