蓝牙配对功能不仅可以在两部手机、计算机之间传送照片档案，还能连接耳机听音乐，然而近日却有传出蓝牙无线通信协议藏有安全漏洞，黑客伪装成通过身份验证的蓝牙设备与用户的蓝牙进行配对，进而存取用户设备的数据，受影响的设备包括 Apple iPhone、iPad、MacBook 以及 Android 手机等。
发现蓝牙资安漏洞的是瑞士洛桑联邦理工学院（cole Polytechnique Fédérale de Lausanne），据最新的研究报告指出，这次的蓝牙协定漏洞名称是“Bluetooth Impersonation Attacks 伪装蓝牙攻击”，简称 BIAS。它藏在蓝牙 6 个核心配置的其中 2 个，包括 Basic Rate 基本传输速率 和 Enhanced Data Rate 增强数据速率。
藏着漏洞的 2 个蓝牙协议核心配置主要用在低耗电的短距离通讯上，漏洞允许黑客的设备伪装成先前曾经和使用者配过的蓝牙设备，进而绕过安全连接必须进行的密钥认证程序。如此一来，使用者在无预警下与黑客伪装的设备配对，而黑客也就得以控制用户设备进而窃取数据。
根据研究报告内容，研究人员找来 iPhone 8、iPhone 7 Plus、 iPhone 6、iPhone 5S、iPad 、Macbook Pro ，以及 Android 系统的 Google Pixel 2、Pixel 3 等共 30 款主流消费电子产品进行测试，其中有 28 款电子产品蓝牙功能都会受到 BIAS 伪装蓝牙攻击。
报告进一步指出，受影响的蓝牙芯片来自 Intel 、Qualcomm、Samsung、CSR（Cambridge Silicon Radio）…等多家公司，而且波及市场上的数十亿蓝牙设备，影响范围非常广泛。
针对这项漏洞，SIG 蓝牙技术联盟公布暂时补救措施，建议蓝牙芯片供货商应禁止降级至长度低于 7 Octet 的加密密钥，并指出主机在执行认证时应启用交互认证、最好是支持 Secure Connections Only 唯一安全联机模式。同时，SIG 也更新了蓝牙核心规范，防止强制降级至经典蓝牙协议的伪装攻击。
