《Computers & Security》：IoT security in the regulatory era: A case study on BLE pairing
编辑推荐：
安全标准化能够在维持不同制造商产品互操作性的同时提升产品安全性。研究人员通过剖析广泛采用的行业事实标准蓝牙低功耗（Bluetooth Low Energy, BLE），审视这一命题在物联网（Internet-of-Things, IoT）领域是否成立。研究人员
安全标准化能够在维持不同制造商产品互操作性的同时提升产品安全性。研究人员通过剖析广泛采用的行业事实标准蓝牙低功耗（Bluetooth Low Energy, BLE），审视这一命题在物联网（Internet-of-Things, IoT）领域是否成立。研究人员同时调研了物联网安全的国际标准化格局，发现智能家居安全即将由专门的ISO 27xxx系列标准予以规范。为评估现实世界合规情况，研究人员开发了自动化嗅探工具，分析物联网设备与其配套智能手机应用之间的BLE配对过程，判别设备是否采用了BLE标准规定的安全机制。结果令人担忧：受测设备中不足5%实现了标准规定的安全配对方法，多数设备采用较弱的标准机制或完全不采用。值得注意的是，部分制造商反向而行——未使用智能手机操作系统内置的安全配对机制，而是在自有专有应用协议中复制或模拟更高安全性的配对，这种做法削弱了标准化的本意，并暗示新兴的欧盟框架等监管压力可能是驱动物联网生态实质性安全合规的必要手段。
研究背景方面，标准化有望在跨制造商互操作前提下提升安全性，蓝牙低能耗（Bluetooth Low Energy, BLE）作为市场占比极高的事实标准（预计2028年97%蓝牙设备含BLE）是检验该假设的合适对象；然而默认BLE若无可配对与加密则易受被动窃听（Passive Eavesdropping, PE）与中间人（Man-in-the-Middle, MitM）攻击，且既有研究指出即便配对，Just Works等关联模型仍难防MitM。现实问题是制造商是否真采纳了标准内安全机制，以及国际监管（欧盟无线电设备指令Radio Equipment Directive, RED 2014/53/EU第3.3条d/e/f款、网络与信息安全法案式协调标准EN 18031系列、网络安全韧性法案Cyber Resilience Act, CRA、美国行政令14028）与标准（ETSI EN 303 645、ISO/IEC 27402等）能否倒逼合规。论文发表于《Computers & Security》。
关键技术方法上，研究人员选取25款市售BLE物联网设备（含追踪标签、温度传感器、智能门锁、穿戴健身设备），以iPhone 11 Pro（iOS 17.4.1）为中心设备，外设复位至出厂，此前配对记录清除；硬件用Nordic nRF52840 Dongle嗅探，软件用Python 3.10.12于Ubuntu 22.04解析，并以Wireshark 4.2.2加nRF Sniffer做人工交叉校验；自研工具alecsa按访问地址（Access Address）抓连请求（Connect Request）与配对请求/响应（Pairing Request/Response）包，判定是否走标准Legacy Pairing或Secure Connections及关联模型（Just Works、Passkey Entry、Numeric Comparison、Out of Band），同时记录设备地址是否静态可追踪。
研究结果部分，第1节引言指出BLE普及率高故适合作案例，假设多数外设可嵌用标准安全却存疑。第2节相关工作综述C?sar等（2022）逐版本弱点、Xu等（2013）与Ryan（2013）证Legacy+Just Works可被离线暴力解密、Hale等（2015）SecuWear半自动、Das等（2016）指静态地址追踪、Silva-Trujillo等（2023）穿戴设备静态地址问题及FitBit因中心设备异（Android vs iOS）致机制判断差。第3节国际标准化活动中，3.1述欧盟GDPR、RED（2025-08-01起Regulation (EU) 2022/30适用互联网连接无线电设备）、CRA（2027达标）及美国EO 14028；3.2列ISO/IEC 27400:2022、27402:2023、27403终草、27404草、ETSI EN 303 645及其测评TS 103 701；3.3用NIST IR 8425十项能力映射漏洞比对各标准覆盖；3.4指EN 303 645仅覆盖EN 18031中44项要求之30项，缺日志（LGM-1~4）、网络监视（NNM-1）、流量控制（TCM-1）、密钥强度（CCK-1）等RED必要项。第4节BLE配对案例中，4.1述三阶段（特征交换、Legacy短键/ Secure Connections长键、传输键分发）；4.2定PE与MitM两目标；4.3分Legacy Pairing（BLE 4.0，三模型，前二抗PE弱）与Secure Connections（BLE 4.2起，引入椭圆曲线迪菲-赫尔曼Elliptic Curve Diffie–Hellman, ECDH，四模型）。第5节评估显示25设备中仅7款用标准配对（<5%用“安全”定义下合规者），18款非标或无保护；追踪器如MikroTik无配对、Apple AirTag用Legacy+Just Works；穿戴中Garmin Vivoactive 5用Secure Connections+Numeric Comparison可抗PE/MitM，Apple Watch Series 6用Secure Connections+Out of Band，而FitBit Versa 3与Xiaomi Redmi Watch 2 Lite虽标Secure Connections但因MitM标志0或NoInputNoOutput退化为Just Works，且在BLE配对前先用应用层“仿Passkey Entry”非标流程，Samsung Galaxy Watch Active 2完全非标仿Numeric Comparison；智能锁四类均非标自用协议。
讨论与结论翻译部分，研究人员总结：标准化未必自动转化为物联网设备安全，因受测BLE设备中达标安全配对者不足5%，且部分厂商以专有协议模拟标准高安全模型，反而侵蚀标准可信度；国际基准（ETSI EN 303 645）不足以单独满足RED第3.3条，需EN 18031补强；监管（RED 2025执行、CRA 2027执行、美国标签计划）可能是纠偏关键。结论即：行业事实标准的安全机制在消费物联网中落地极差，厂商偏好弱标或非标自建，唯有强制监管框架结合协调标准方可驱动实质合规。
