【智能日报】11月30日消息，近日，Eurecom安全团队揭示了一系列被统称为“BLUFFS”的新型攻击方法，这些攻击方式利用了蓝牙标准中的两个以前未知的漏洞。
这一漏洞被标识为CVE-2023-24023，它并不仅仅是针对特定硬件或软件配置的，而是影响自2014年底以来所有蓝牙设备的安全性。从蓝牙4.2版本到5.4版本的所有设备都存在着被劫持的潜在风险。
据智能日报了解，Eurecom展示了对多种设备的攻击结果，显示出六种攻击方式至少有三种是有效的，受影响的设备包括iPhone 7/12/13、Pixel 2/6、小米10T以及AirPods Pro等。考虑到蓝牙作为广泛应用的成熟无线通信标准，这一漏洞可能对数十亿设备构成潜在威胁，包括笔记本电脑、智能手机和其他移动设备。
“BLUFFS”攻击旨在威胁蓝牙会话的过去和未来的保密性，对设备之间的通信造成潜在风险。攻击者通过利用四个会话密钥派生过程中的漏洞(其中两个是新发现的)，迫使生成一个短且容易预测的会话密钥(SKC)。这使得攻击者能够通过暴力破解密钥来解密过去的通信内容，并有可能解密或操控将来的通信。
无论受害者是否支持安全连接(Secure Connections, SC)或传统安全连接(Legacy Secure Connections, LSC)，这些攻击方式都具备可实施的潜力。
蓝牙SIG(蓝牙特别兴趣小组)已经发布了一份声明，建议采取各种强加密措施，例如拒绝连接强度低于七个字节的连接，使用“Security Mode 4 Level 4”，并在配对时仅使用安全连接模式进行操作，以降低“BLUFFS”攻击带来的潜在风险。
