作者 |付東杰上海控安可信軟件創(chuàng)新研究院來源 |鑒源實驗室社群 |添加微信號“TICPShanghai”加入“上?？匕?1fusa安全社區(qū)”

01

引 言

藍(lán)牙協(xié)議自1999年誕生以來，經(jīng)過多個版本的演進(jìn)，功能不斷完善，已經(jīng)成為全球范圍內(nèi)最重要的短距離無線通信標(biāo)準(zhǔn)之一，其廣泛應(yīng)用于消費電子、物聯(lián)網(wǎng)、汽車電子及醫(yī)療設(shè)備等領(lǐng)域，例如手機(jī)、音響、車載娛樂系統(tǒng)等。

藍(lán)牙協(xié)議棧由藍(lán)牙技術(shù)聯(lián)盟（SIG）制定，通過精心設(shè)計的層次化結(jié)構(gòu)，系統(tǒng)性地定義了從物理層射頻信號處理到應(yīng)用層數(shù)據(jù)交互的完整通信流程。本文主要基于藍(lán)牙協(xié)議5.2版本對藍(lán)牙協(xié)議棧的架構(gòu)進(jìn)行分析介紹，藍(lán)牙核心系統(tǒng)采用“主機(jī)+控制器”的靈活架構(gòu)，分為主機(jī)子系統(tǒng)（Host）和控制器子系統(tǒng)（Controller），二者之間一般通過標(biāo)準(zhǔn)化的主機(jī)控制器接口協(xié)議（HCI）進(jìn)行通信。

02

藍(lán)牙架構(gòu)與設(shè)計

藍(lán)牙協(xié)議4.0 版本之后，為更好地匹配物聯(lián)網(wǎng)、音頻設(shè)備等多樣化場景對功耗與傳輸速率的不同要求，藍(lán)牙技術(shù)逐漸演進(jìn)為兩大分支：經(jīng)典藍(lán)牙（BR/EDR）和低功耗藍(lán)牙（BLE），經(jīng)典藍(lán)牙（BR/EDR）支持較高數(shù)據(jù)速率，適合音頻傳輸?shù)却罅髁繄鼍埃坏凸乃{(lán)牙（LE）則專注于極低功耗與低成本，適用于物聯(lián)網(wǎng)、穿戴設(shè)備等對電量敏感的應(yīng)用。在這一背景下，藍(lán)牙的硬件架構(gòu)也逐步形成了單模與雙模兩種形態(tài)。單模設(shè)備僅支持低功耗藍(lán)牙（BLE）或經(jīng)典藍(lán)牙（BR/EDR）中的一種，而雙模設(shè)備則可同時集成兩類控制器，兼顧高速與低功耗，真正實現(xiàn)“一機(jī)多用”，靈活適配復(fù)雜應(yīng)用場景。

藍(lán)牙協(xié)議棧如下圖所示，涵蓋了經(jīng)典藍(lán)牙和低功耗藍(lán)牙，其劃分為了三大模塊，控制器子系統(tǒng)（Controller），主機(jī)控制器接口(HCI)，主機(jī)子系統(tǒng)（Host）。

控制器子系統(tǒng)是藍(lán)牙協(xié)議棧的硬件底層核心，直接負(fù)責(zé)射頻信號的收發(fā)與最基礎(chǔ)的鏈路控制，包括了射頻信號的調(diào)制解調(diào)、跳頻、鏈路管理以及數(shù)據(jù)包的空中收發(fā)，其設(shè)計直接決定了設(shè)備的無線通信性能、功耗及抗干擾能力。

主機(jī)控制器接口則是對控制器子系統(tǒng)和主機(jī)子系統(tǒng)之間的交互信息和格式進(jìn)行標(biāo)準(zhǔn)化。

主機(jī)子系統(tǒng)是藍(lán)牙協(xié)議棧的智慧中樞，運行于設(shè)備的主處理器上，承載著協(xié)議棧中大多數(shù)的邏輯處理與決策功能。它通過HCI向下控制射頻硬件，并為上層應(yīng)用提供豐富的接口。

2.1 控制器子系統(tǒng)

控制器子系統(tǒng)作為藍(lán)牙功能的硬件核心，位于協(xié)議棧底層，直接管理無線射頻鏈路及基礎(chǔ)連接控制。控制器子系統(tǒng)包含了物理層（PHY），鏈路層（LL），鏈路層鏈路管理協(xié)議（LMP），鏈路層控制協(xié)議（LLCP），物理層（PHY）收發(fā)無線電波，完成數(shù)模轉(zhuǎn)換，鏈路層（LL）構(gòu)建鏈路、管理調(diào)頻與數(shù)據(jù)流，鏈路管理協(xié)議（LMP）和鏈路層控制協(xié)議（LLCP）分別基于經(jīng)典和低功耗模式，精細(xì)化控制鏈路安全、功耗與行為。

1）物理層（PHY）

物理層是藍(lán)牙通信的硬件基礎(chǔ)，直接控制射頻芯片與天線，實現(xiàn)數(shù)字信號與無線電波之間的轉(zhuǎn)換，其主要功能包括：

調(diào)制解調(diào)：采用高斯頻移鍵控（GFSK）等調(diào)制方式，將數(shù)字比特流轉(zhuǎn)換為射頻信號發(fā)射，并解調(diào)接收到的信號還原為數(shù)據(jù)。

頻道與信道管理：工作在2.4 GHz ISM頻段（2402–2480 MHz）。經(jīng)典藍(lán)牙使用79個物理信道，低功耗藍(lán)牙（BLE）使用40個信道，通過自適應(yīng)跳頻（AFH）實時檢測并避開干擾信道，提升抗干擾能力。

多模式調(diào)制支持（BLE）：

·LE 1M PHY：默認(rèn)模式，1 Mb/s速率，兼容性強。

·LE 2M PHY：速率提升至2 Mb/s，降低傳輸時長與功耗。

·LE Coded PHY：通過前向糾錯編碼提升接收靈敏度，支持遠(yuǎn)距離通信（4倍距離），速率降至125/500 Kb/s。

功耗與信號控制：動態(tài)調(diào)整發(fā)射功率，優(yōu)化能耗，檢測接收信號強度。

2）鏈路層（LL）

鏈路層是連接物理層與上層協(xié)議的樞紐，負(fù)責(zé)管理設(shè)備間的邏輯通信鏈路，其主要功能包括：

幀構(gòu)建與校驗：將上層數(shù)據(jù)封裝為幀結(jié)構(gòu)，添加地址、類型、校驗碼（CRC），確保數(shù)據(jù)完整性。

設(shè)備發(fā)現(xiàn)與連接控制：

·廣播與掃描（低功耗藍(lán)牙）：管理廣播信道，處理廣播報文（設(shè)備發(fā)現(xiàn)）與掃描請求。

·尋呼與查詢（經(jīng)典藍(lán)牙）：執(zhí)行設(shè)備發(fā)現(xiàn)與連接初始化。

連接管理與優(yōu)化：

·跳頻同步：主導(dǎo)設(shè)備間按序列同步切換信道，規(guī)避干擾。

·時序管理：控制連接間隔、監(jiān)督超時等參數(shù)，平衡實時性與功耗。

·應(yīng)答與重傳：通過確認(rèn)機(jī)制保證幀可靠傳輸，失敗時自動重發(fā)。

低功耗策略：設(shè)計休眠/喚醒時序，使設(shè)備在空閑時深度休眠，實現(xiàn)低功耗藍(lán)牙的超低功耗特性。

3）鏈路層鏈路管理協(xié)議（LMP）

鏈路層鏈路管理協(xié)議是經(jīng)典藍(lán)牙獨有的控制協(xié)議，負(fù)責(zé)管理已建立連接的鏈路，其主要功能包括：

鏈路建立與安全：負(fù)責(zé)配對、身份驗證和加密的整個過程。

鏈路配置與管理：協(xié)商連接參數(shù)，如主從設(shè)備角色切換、調(diào)整發(fā)射功率以節(jié)省電量等。

鏈路維護(hù)與控制：管理連接的保持、休眠、呼吸模式，保證服務(wù)質(zhì)量。

邏輯傳輸管理：管理用于同步面向連接（SCO/eSCO，主要用于音頻）和異步連接（ACL，主要用于數(shù)據(jù)）的不同邏輯通道。

4）鏈路層控制協(xié)議（LLCP）

鏈路層控制協(xié)議是低功耗藍(lán)牙的控制協(xié)議。它的設(shè)計理念與鏈路層鏈路管理協(xié)議完全不同，更加輕量、高效和快速，以滿足物聯(lián)網(wǎng)設(shè)備極低功耗的需求，其主要功能包括：

連接控制：管理連接的建立、更新（如連接間隔更新）和終止。

鏈路特性管理：處理加密啟動、頻道映射更新等功能。

連接參數(shù)更新請求：從設(shè)備可以主動向主設(shè)備請求更改連接參數(shù)（如間隔、延遲等），以優(yōu)化功耗或吞吐量。

信道選擇算法：控制使用哪個射頻信道進(jìn)行通信。

2.2 主機(jī)控制器接口（HCI）

HCI并非一個具體的硬件層，而是一個至關(guān)重要的標(biāo)準(zhǔn)接口協(xié)議。它為主機(jī)與控制器之間提供了一條雙向的命令與數(shù)據(jù)通道，是實現(xiàn)主機(jī)-控制器分離架構(gòu)的關(guān)鍵。HCI嚴(yán)格定義以下幾種類型的數(shù)據(jù)包[2]：

·HCI命令包: 由主機(jī)發(fā)送至控制器，用于查詢或控制控制器狀態(tài)（如發(fā)起連接命令）。

·HCI事件包: 由控制器發(fā)送至主機(jī)，用于報告狀態(tài)或確認(rèn)命令執(zhí)行結(jié)果（如連接完成事件）。

·HCI ACL數(shù)據(jù)包: 負(fù)責(zé)在主機(jī)和控制器之間雙向傳輸上層的應(yīng)用數(shù)據(jù)。

·HCI SCO數(shù)據(jù)包：用于雙向傳輸實時語音數(shù)據(jù)的“高速專車”，主要用于經(jīng)典藍(lán)牙的語音傳輸，它為同步語音流保留固定帶寬，以保障通話的低延遲，但通常不進(jìn)行錯誤重傳，而是優(yōu)先保證流暢性。主要用于經(jīng)典藍(lán)牙的耳機(jī)通話。

·HCI ISO數(shù)據(jù)包：這是為新一代LE Audio核心功能設(shè)計的“定時精準(zhǔn)的列車”。它支持多設(shè)備同步接收音頻流，是實現(xiàn)藍(lán)牙音頻共享、多聲道音頻等高附加值功能的基礎(chǔ)，提供了比SCO更強大、更靈活的同步數(shù)據(jù)傳輸能力。

這些數(shù)據(jù)包可以通過多種物理傳輸方式進(jìn)行傳輸，最常見的包括UART（串口，成本低）、USB（高速、即插即用）和SDIO（常用于嵌入式設(shè)備），其在設(shè)計時需通過相應(yīng)的傳輸層驅(qū)動進(jìn)行適配[3]。

2.3 主機(jī)子系統(tǒng)

主機(jī)子系統(tǒng)包括了邏輯鏈路控制與適配協(xié)議（L2CAP），安全管理協(xié)議（SMP），屬性協(xié)議（ATT），通用屬性配置文件（GATT），通用訪問配置文件（GAP），協(xié)議與配置文件間相互協(xié)作，構(gòu)筑了藍(lán)牙設(shè)備實現(xiàn)互聯(lián)互通、服務(wù)發(fā)現(xiàn)與安全通信的高級能力，支撐起從音頻傳輸?shù)轿锫?lián)網(wǎng)感知的廣泛應(yīng)用生態(tài)。

1）核心基礎(chǔ)協(xié)議與配置文件

·邏輯鏈路控制與適配協(xié)議（L2CAP）

L2CAP層位于主機(jī)子系統(tǒng)的底層，充當(dāng)承上啟下的"交通樞紐"角色。其核心功能包括三個方面：一是協(xié)議復(fù)用，通過不同的信道標(biāo)識符（CID）來區(qū)分上層多個協(xié)議或應(yīng)用的數(shù)據(jù)流；二是數(shù)據(jù)包分段與重組，將大的上層數(shù)據(jù)包分割成適合鏈路層傳輸?shù)钠尾⒃诮邮斩酥匦陆M裝；三是數(shù)據(jù)信道管理，管理面向連接的信道（基于CID尋址）和無連接信道（使用協(xié)議/服務(wù)復(fù)用器PSM注冊尋址）。

·通用訪問配置文件（GAP）

GAP是藍(lán)牙設(shè)備對外交互的"總章程"，定義了設(shè)備角色（Broadcaster、Observer、Peripheral和Central）、發(fā)現(xiàn)流程（可發(fā)現(xiàn)模式）、連接流程（可連接模式）以及廣播數(shù)據(jù)格式（包含設(shè)備名稱、服務(wù)UUID等關(guān)鍵信息）。

2）低功耗藍(lán)牙（BLE）

·安全管理協(xié)議（SMP）

安全管理協(xié)議是低功耗藍(lán)牙通信的安全基石，管理著配對、綁定和加密的全過程。其安全流程包括配對建立共享密鑰、綁定持久化存儲密鑰、使用LTK進(jìn)行加密從而建立安全通信。在安全算法方面，支持LE Secure Connections（基于ECDH算法）和多種關(guān)聯(lián)模型（Numeric Comparison、Passkey Entry、Just Works、OOB）以適應(yīng)不同應(yīng)用場景。

·屬性協(xié)議（ATT）與通用屬性配置文件（GATT）

ATT采用客戶端-服務(wù)器（C/S）模型，將數(shù)據(jù)抽象為屬性（Attribute）單元，每個屬性包含句柄（Handle）、類型（Type）、值（Value）和權(quán)限（Permissions）。它定義了一套精簡的操作協(xié)議，如查找信息、讀請求、寫請求、通知和指示。

GATT構(gòu)建在ATT之上，規(guī)定了屬性數(shù)據(jù)的組織方式與結(jié)構(gòu)，采用層次化的數(shù)據(jù)模型：服務(wù)（Service）是完成特定功能的數(shù)據(jù)集合，由主服務(wù)聲明開啟；特征（Characteristic）是服務(wù)中的單個數(shù)據(jù)值及其關(guān)聯(lián)信息，是實際交互的基本單元；描述符（Descriptor）提供特征值的附加定義、配置或信息。這種清晰的層級結(jié)構(gòu)使得不同設(shè)備間的數(shù)據(jù)交互具備了極強的語義一致性和互操作性。

3） 經(jīng)典藍(lán)牙（BR/EDR）

·服務(wù)發(fā)現(xiàn)協(xié)議（SDP）

作為經(jīng)典藍(lán)牙中服務(wù)發(fā)現(xiàn)的核心機(jī)制，SDP用于查詢對端設(shè)備提供的服務(wù)及其特性，包括服務(wù)類別、協(xié)議棧信息、服務(wù)屬性等。它采用客戶端-服務(wù)器架構(gòu)，客戶端通過SDP查詢可發(fā)現(xiàn)服務(wù)器端提供的服務(wù)記錄及其屬性。

·應(yīng)用配置文件架構(gòu)

經(jīng)典藍(lán)牙主要依賴配置文件（Profile）來定義應(yīng)用層功能，一個Profile本質(zhì)上是一份詳細(xì)的合作協(xié)議，它精確定義了為了完成某種特定任務(wù)，設(shè)備之間應(yīng)如何調(diào)用底層協(xié)議棧的各項能力。

常見的經(jīng)典藍(lán)牙配置文件（Profile）舉例：

03

總 結(jié)

藍(lán)牙協(xié)議棧憑借其高度結(jié)構(gòu)化、模塊化的分層設(shè)計，成功構(gòu)建了一個適應(yīng)性強且可擴(kuò)展的通信框架，完美適配了從高速數(shù)據(jù)傳感到低功耗物聯(lián)網(wǎng)的廣泛場景。其通過LE Audio、Mesh網(wǎng)絡(luò)等技術(shù)的持續(xù)演進(jìn)，不僅展現(xiàn)了強大的向后兼容性，更體現(xiàn)了該標(biāo)準(zhǔn)不斷融入前沿技術(shù)創(chuàng)新以滿足未來多樣化應(yīng)用需求的核心能力，鞏固了其在短距離無線通信領(lǐng)域的基石地位。隨著藍(lán)牙技術(shù)應(yīng)用范圍的不斷擴(kuò)大，其協(xié)議棧的安全性也顯得尤為關(guān)鍵。

上?？匕册槍?a href="http://www.makelele.cn/v/tag/204/" target="_blank">工業(yè)控制系統(tǒng)通信網(wǎng)絡(luò)中普遍存在的網(wǎng)絡(luò)安全風(fēng)險與潛在漏洞，自主研發(fā)了SmartRocket TestSec自動化智能模糊滲透測試平臺。該產(chǎn)品基于黑盒測試技術(shù)，面向工控軟件生態(tài)實現(xiàn)全棧覆蓋能力，可對協(xié)議棧、業(yè)務(wù)應(yīng)用、數(shù)據(jù)庫及操作系統(tǒng)內(nèi)核等關(guān)鍵層級實施深度安全檢測。

在功能架構(gòu)上，TestSec創(chuàng)新性地融合了動態(tài)模糊測試（Fuzzing）與滲透攻擊模擬雙引擎。TestSec搭載智能變異引擎，支持對藍(lán)牙HCI、L2CAP、SDP、SMP、PBAP等多個協(xié)議進(jìn)行模糊測試，以SDP協(xié)議為例：

（1）協(xié)議結(jié)構(gòu)解構(gòu)：針對SDP協(xié)議多種報文格式進(jìn)行字段級變異模糊測試。

（2）深度監(jiān)控體系：集成流量監(jiān)控、內(nèi)存狀態(tài)追蹤和異常行為感知模塊，構(gòu)建侵入式/非侵入式監(jiān)控套件監(jiān)測網(wǎng)絡(luò)。

（3）智能反饋機(jī)制：實時采集被測對象的響應(yīng)數(shù)據(jù)，動態(tài)分析系統(tǒng)狀態(tài)并評估測試效果，據(jù)此智能優(yōu)化模糊報文生成策略。

此外工具也支持對藍(lán)牙進(jìn)行滲透攻擊，包括重放攻擊、篡改攻擊、低功耗藍(lán)牙中間人攻擊等常見藍(lán)牙網(wǎng)絡(luò)攻擊，用戶也可根據(jù)自身需求，結(jié)合工具的基礎(chǔ)接口開發(fā)自定義用例。

通過構(gòu)建從軟件行為層到協(xié)議邏輯層的立體化測試矩陣，SmartRocket TestSec自動化智能模糊滲透測試平臺可對目標(biāo)網(wǎng)絡(luò)進(jìn)行全生命周期的安全測試，保障運行環(huán)境的穩(wěn)定性，有效提高系統(tǒng)抗攻擊能力。

文中術(shù)語表

參考文獻(xiàn)：

1. 趙義玲.基于低功耗藍(lán)牙的工業(yè)物聯(lián)網(wǎng)移動開發(fā)研究與設(shè)計[D].齊魯工業(yè)大學(xué),2025.DOI:10.27278/d.cnki.gsdqc.2025.000291.

2. 李想.藍(lán)牙協(xié)議棧的設(shè)計與實現(xiàn)[D].西安電子科技大學(xué),2007.

3. 梁軍學(xué),郁濱.Linux藍(lán)牙協(xié)議棧的USB設(shè)備驅(qū)動[J].計算機(jī)工程,2008,(09):273-275.

審核編輯 黃宇