Apple藍牙追蹤爆漏洞
藍牙無線傳輸大眾化至今¼個世紀，作為短距離通訊，用途廣泛，相信讀者都可能擁有不少藍牙產品。近年極低耗電量的藍牙設備普及化，續航力大增，甚至演變成利用微型電池就可推動的追蹤器，利用群眾外包網絡追蹤，誤差10米範圍內。蘋果的AirTag就是這類產品之一。近期更有部份手機關機後亦繼續發出藍牙訊號，實現關機追蹤。筆者前期文章已提出，群眾外包一旦被騎劫，後果不堪設想。不幸地，筆者擔憂的事件正在發生。上月底，George Mason University研究團隊發現蘋果Find My功能一個被稱之為nRootTag的嚴重安全漏洞(註1)，黑客可利用蘋果網絡定位及追蹤目標藍牙設備。換句話說，該網絡內的藍牙設備可化成AirTag追蹤器。團隊示範利用漏洞如何跟蹤一部飛機上的藍牙遊戲機，全程記錄軌跡。團隊已於去年年中知會蘋果，但無奈漏洞至今尚未修補。有研究人員警告即使推出更新，可能都需要數年時間將舊裝置逐步淘汰。安全漏洞在於藍牙加密鎖匙強度不足，只要用數百個GPU運算力便可破解，成功率達90%。這樣級數的運算力，只要付費便可利用雲端計算，對於使用國家級資源或極權地方簡直是垂手可得，用作目標追蹤及滋擾，甚至竊取機密。一個藍牙門鎖，若韌體有安全弱點，如果位置同時曝光，就可成為攻擊對象。
藍牙通訊存在隱患
類似利用藍牙追蹤系統，還有谷歌的Find My Device及三星的SmartTag，雖然暫沒有報道相關功能有同類安全漏洞，但風險性質亦不容忽視。安卓系統本月更升級至尋找家人及朋友功能，若有漏洞威脅升級。藍牙當初被認為風險相對較低，主要原因是連線距離短。但隨着藍牙與整個系統整合連接，性質跟物聯網裝置已分別不大。藍牙一直面對三大弱點。一是藍牙裝置本身的安全問題，未有及時修補或韌體缺乏更新。有些甚至刻意設計後門。出名的事件有當年中國大陸酷派手機藍牙直入後門CoolReaper，竊取個人資料並允許酷派執行任何任務。其次是連線的版本，最新的版本6解決了不少已知的安全問題，但版本4及5依然有中間人攻擊的各種潛在漏洞，可被BlueBorne、BLUFFS等攻擊，竊取裝置資料甚至更執行代碼插入木馬程式。再前期的版本已不能視作安全。最後是接上藍牙的裝置本身的安全漏洞。上述任何層面出現問題，都有機會被第三方利用。令問題複雜的是使用藍牙裝置頗多，甚至用家未有為意。當中有高私隱風險的包括智能手錶、健康追蹤器等，部份裝置更不提供關閉藍牙的選項。亦有家中關鍵安全設施例如藍牙門鎖、監控鏡頭等，位置固定，亦未必可控制藍牙開關。市面上還有專門收集藍牙訊號的工具，可找出藍牙地址及版本，截取訊息包，更可針對特定企業及人物作出攻擊。
留意風險加強控制
因應蘋果藍牙安全漏洞，筆者建議用家對藍牙產品採取更審慎的風險管理。首先，請改變思維，儘量避免倚賴藍牙作為物件位置管理。妥善保管重要裝置，尤其是手機，一旦遺失，藍牙尋找不但未必成功，很多失竊手機馬上被運往外地。因應蘋果事件，筆者建議暫時關閉裝置搜尋功能，並退出參與尋找網絡，iOS及安卓裝置皆容許用戶選擇。其次，使用藍牙設備需要一些守則。避免在公眾場所使用藍牙產品，這些地方會增加被攻擊的風險，若要使用請選擇最新的v6版本，或製造商仍然提供韌體維繫的硬件。任何裝置避免將藍牙處於長期開啟狀態或處於被發現狀態，只在需要時才開啟。確保你的所有藍牙裝置配對時，必須有認證登入步驟，例如PIN。小心一些無法關閉的藍牙裝置，尤其是穿戴的藍牙裝置或固定的裝置，若果牽涉敏感個人資料，可利用飛行模式關閉藍牙。電腦鍵盤及通話耳機屬於關鍵設備，建議使用直接連線。請了解家中所有電子設備，有否不以為意全程開啟的藍牙功能。其三，管理連上藍牙的裝置，保持裝置設備的作業系統處於最新狀態。嚴格控制手機內軟件取得藍牙的權限。藍牙應處於關閉狀態，需要時才開啟。清除舊有藍牙連線紀錄，並關閉藍牙自動連功能。另外，越來越多硬件即使關機亦無法停止藍牙傳送，若閣下身份敏感，購買時請多做功課。最後，若你擔心被人利用各種藍牙裝置追蹤，可安裝一個叫AirGuard的開源軟件，檢查有否不知名的裝置在你附近。
世界並無免費午餐，任何帶來方便的產品，必須同時了解風險所在。筆者並非反對使用藍牙產品，而是鼓勵在理解及控制風險後使用，成為一個精明的用家。◇
註1: https://cec.gmu.edu/news/2025-02/find-my-hacker-how-apples-network-can-be-potential-tracking-tool
----------------------
🎯 專題：中共海外升級攻擊法輪功
https://hk.epochtimes.com/category/專題/中共海外升級攻擊法輪功
----------------------
【不忘初衷 延續真相】
📰周末版復印 支持購買👇🏻
http://epochtimeshk.org/stores
🔔下載大紀元App 接收即時新聞通知
🍎iOS：https://bit.ly/epochhkios
🤖Android：https://bit.ly/epochhkand
