科技动态:BLURtooth漏洞使攻击者可以覆盖蓝牙加密

互联网在提高人们社会活动质量的同时可能对部分互联网使用者造成伤害。我们要正确认识网络的两面性，用其所长、避其所短，发挥网络对生活的积极促进作用。把网络作为生活的补充就可以享受网络的诸多益处，接下来这篇文章给大家说说互联网科技的正能量。

ZDNet的一份新报告揭示了一个名为BLURtooth的新蓝牙漏洞已经出现。这使攻击者可以削弱和覆盖蓝牙加密，从而访问经过身份验证的服务。

此漏洞使攻击者可以在目标设备上进行不需要的身份验证。此外，所有具有Bluetooth 4.0或Bluetooth 5.0技术的设备都暴露于此BLURtooth漏洞。

蓝牙特别兴趣小组(SIG)和卡内基梅隆大学(CERT / CC)的CERT协调中心分别进行了两项研究，突显了这一点。

此外，BLURtooth的主要用途是用于具有“双模式”功能的蓝牙设备。实际上，BLURtooth是蓝牙标准中称为跨传输密钥派生(CTKD)的易受攻击的组件。

就您的上下文而言，此CTKD是与两个设备配对时用于设置身份验证密钥的组件。

攻击者可以在支持蓝牙经典和低能耗(LE)数据传输方法的设备上使用此漏洞。然后，BLURtooth将为两个设备设置两个唯一的身份验证密钥。

CTKD的主要用途是让连接的蓝牙设备选择要使用的标准版本。例如，蓝牙低功耗(BLE)或基本速率/增强数据速率(BR / EDR)标准。

BLURtooth可以更改CTKD组件以覆盖蓝牙身份验证

根据研究，发现攻击者可以操纵此CTKD组件。依次将覆盖蓝牙身份验证。

显然，是通过蓝牙让攻击者进入连接的设备。嗯，有两种方法可以发挥BLURtooth漏洞的作用。

首先，攻击者可以使用它来完全覆盖身份验证密钥。但是，这取决于蓝牙的版本。另一种方法是可以使用BLURtooth削弱加密并获得对连接设备的访问权限。

好消息是，运行蓝牙5.1的设备具有可以保护其免受这些BLURtooth攻击的功能。ZDNet指出，蓝牙SIG官员正在与供应商进行沟通。

并通知他们此新漏洞的潜在威胁。此外，他们还在研究如何预防此问题的选择。

解决方案…那么，补丁程序准备就绪后应该很快就可以使用

由于这是一个最近才发现的问题，因此当前尚无补丁程序。但是，我们确信授权方对此事非常重视。

但是，尚不清楚何时可以向大众提供补丁。一些OEM可能将其优先考虑，而另一些OEM可能不会优先考虑安全补丁。

无论是什么情况，我们都将密切注意这方面的任何进一步发展。