蓝牙紧急呼叫防身工具中存在缺陷 或导致用户遭尾随

 聚焦源代码安全，网罗国内外最新资讯！

翻译：360代码卫士团队

安全研究人员在基于蓝牙的紧急呼叫按钮中存在多个缺陷，在最坏的场景下可能导致受影响的工具“完全不起作用”。

Duo Labs 公司准备了多款基于蓝牙的个人保护设备即紧急呼叫按钮，比如 ROAR、Wearsafe 和 Revolar。这些工具一般都连接到用户智能手机以便亲朋好友能了解用户行踪。在紧急情况下，这些按钮会通过手机发送文本求救信息。

研究员 Mark Loveless 在其中两款工具中发现了多个漏洞，如遭利用，可导致用户遭尾随或处于更危险的境地中。

Wearsafe的按钮易受拒绝服务攻击。如果 Wearsafe 收到洪水连接请求，那么黑客就能把用户从设备中踢出去，除非拿掉电池并重新插入。但设备还能继续播报蓝牙射频，也就是说工具仍然可遭跟踪。

Revolar 的按钮也易遭蓝牙追踪攻击。

Loveless 表示，“虽然不如远程跟踪 Revolar 设备机主那样简单，但仍然能在某个距离内通过低廉的可扩大扫描范围的天线经由蓝牙追踪 Revolar 或 Wearsafe 设备的机主。”

他指出，“作为个人保护设备，Wearsafe 和 Revolar 设备允许通过蓝牙扫描找到设备。这两款设备均可在某种程度上导致产生不安全的蓝牙配对。”

目前，两款设备的制造公司尚未对此事做出回应。

关联阅读

本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。

原文链接:

https://www.theregister.co.uk/2018/01/29/bluetooth_panic_buttons_hackable/