蓝牙存安全漏洞：可识别和跟踪iOS、微软移动设备用户

据外媒报道，研究人员称，蓝牙通信协议中的一个漏洞可能会使现代设备用户被跟踪并泄露设备ID。

尽管本地操作系统保护开启，但该漏洞仍可用于监视用户。漏洞影响Windows 10、iOS和macOS的蓝牙设备，其中包括iPhone、iPad、Apple Watch、MacBook以及Microsoft平板电脑和笔记本电脑。

美国波士顿大学的研究人员David Starobinski和Johannes Becker在瑞典斯德哥尔摩举行的第19届隐私增强技术研讨会（the 19th Privacy Enhancing Technologies Symposium）上介绍了他们的研究成果。

根据其研究论文《跟踪匿名蓝牙设备》（Tracking AnonymizedBluetooth Devices），许多蓝牙设备使用MAC地址以防止长期跟踪，但该团队发现漏洞可以绕过随机化地址，一直监控特定设备。

识别令牌通常与MAC地址一起使用，波士顿大学开发的一种称为地址携带算法的新算法能够利用有效载荷的异步特性和地址变化来实现超出设备地址随机化的跟踪。该算法不需要解密消息或以任何方式破坏蓝牙的安全性。

研究人员称，大多数计算机和智能手机操作系统都会默认实施地址随机化，以防止被长期跟踪。但是，他们发现运行Windows 10、iOS或macOS的设备会定期发送包含自定义数据结构的广告，这些结构用于启用与BLE范围内其他设备的特定平台的交互。这种技术适用于Windows、iOS和macOS系统，但Android操作系统不受影响。

预计2019年至2022年间蓝牙的使用量将从42亿增加到52亿，建立防跟踪方法是研究人员未来的研究重点。