Bluetooth SIG 关于 "Bluetooth Mesh 供应中的可预测AuthValue导致MITM "漏洞的声明
Agence nationale de la sécurité des systèmes d'information (ANSSI)的研究人员在Bluetooth® Mesh 配置文件 Specification 1.0和1.0.1版本中发现了一个与供应有关的安全漏洞。研究发现，观察或参与Mesh 供应程序的攻击者有可能在AuthValue具有固定值或可预测地选择或具有低熵的情况下对其进行暴力攻击。
识别AuthValue通常需要对供应者产生的供应随机和供应确认进行粗暴搜索。对于随机选择的AuthValue，这种粗暴的搜索必须在供应程序超时之前完成，这可能需要大量的资源。
如果不是在每次新的供应尝试中随机选择AuthValue，那么暴力搜索就会发生在离线情况下，如果成功的话，允许攻击者识别AuthValue并对供应者和供应的设备进行验证，从而允许对未来使用相同AuthValue的供应尝试进行MITM攻击。
Bluetooth SIG ，建议mesh ，在实施允许的情况下，使用所有可用的比特强制执行随机选择的AuthValue。
同时，我们也Bluetooth SIG 在广泛地与我们的会员 公司沟通这个漏洞的细节及其补救措施，并鼓励他们迅速整合任何必要的补丁。 一如既往，Bluetooth 用户应确保他们已经安装了设备和操作系统制造商推荐的最新更新。
详情请参考CERT协调中心的声明。
