[论文解读] Dead on Arrival: An Empirical Study of The Bluetooth 5.1 Positioning System

Marco Cominelli, Paul Patras+1 more|Edinburgh Research Explorer (University of Edinburgh)|Sep 2, 2019

Indoor and Outdoor Localization TechnologiesEngineering参考文献 17被引用 19

一句话总结

本文通过软件定义无线电测试平台对蓝牙5.1的到达角（AoA）定位系统进行了实证评估，表明虽然亚米级精度是可实现的，但角度检测仅限于狭窄扇区，且厘米级精度仍无法达到。研究进一步揭示了一个关键安全漏洞，攻击者可通过篡改数据包相位来操纵AoA测量结果，同时提出了简单的防护措施，例如采用非确定性的天线切换模式以确保测量完整性。

ABSTRACT

The recently released Bluetooth 5.1 specification introduces fine-grained positioning capabilities in this wireless technology, which is deemed essential to context-/location-based Internet of Things (IoT) applications. In this paper, we evaluate experimentally, for the first time, the accuracy of a positioning system based on the Angle of Arrival (AoA) mechanism adopted by the Bluetooth standard. We first scrutinize the fidelity of angular detection and then assess the feasibility of using angle information from multiple fixed receivers to determine the position of a device. Our results reveal that angular detection is limited to a restricted range. On the other hand, even in a simple deployment with only two antennas per receiver, the AoA-based positioning technique can achieve sub-meter accuracy; yet attaining localization within a few centimeters remains a difficult endeavor. We then demonstrate that a malicious device may be able to easily alter the truthfulness of the measured AoA, by tampering with the packet structure. To counter this protocol weakness, we propose simple remedies that are missing in the standard, but which can be adopted with little effort by manufacturers, to secure the Bluetooth 5.1 positioning system.

研究动机与目标

• 评估蓝牙5.1基于AoA的室内定位在实际部署中的真实精度与可行性。
• 研究在真实环境下，AoA定位中角度检测保真度的限制。
• 评估通过篡改BLE数据包结构，AoA机制对欺骗攻击的脆弱性。
• 提出制造商可实施的实用、轻量级防护措施，以保护AoA测量结果的完整性。

提出的方法

• 本研究使用软件定义无线电（SDR）测试平台，实现并评估BLE 5.1的AoA机制，采用双天线接收器配置。
• 通过比较两个天线接收到信号之间的相位差来计算角度测量值，使用单刀双掷（SPDT）开关实现接收切换。
• 通过在二维平面上多个固定接收器获取的角度测量值进行三角测量，实现位置估计。
• 通过在开关时间之后修改BLE数据包中导频训练符号（CTS）的相位，实施可控攻击，从而实现任意角度的操纵。
• 提出一种防护措施：在下一次数据包接收期间保持副天线处于激活状态，从而检测相位行为中的不一致。
• 通过随机化切换模式，防止攻击者预测并构造恶意信号。

实验结果

研究问题

• RQ1 在真实室内环境中，蓝牙5.1的AoA机制实际角度检测精度如何？
• RQ2 在实际部署中，AoA定位在多大程度上可实现亚米级和厘米级精度？
• RQ3 攻击者能否在不被检测的情况下，通过修改BLE数据包结构来操纵AoA测量结果？
• RQ4 在商业实现中，有哪些简单且可部署的防护措施可防止此类欺骗攻击？

主要发现

• AoA机制的检测角度被限制在以接收器为中心的狭窄扇区，显著限制了其可用范围。
• 定位精度可达到亚米级误差（95%的位置误差低于85厘米），但仅有15%的估计值在真实位置的10厘米以内。
• 攻击者可通过在天线切换时间之后人工修改CTS的相位，操纵检测到的角度，实现任意角度的欺骗。
• 该攻击仅需极少硬件支持（仅需一个SPDT开关），可实时执行，实验中已实现60°的角度偏移。
• 通过采用非确定性、隐藏的天线切换模式，可检测此类欺骗行为，因为其会暴露相位行为的不一致性。
• 所提出的防护措施轻量化，制造商仅需对现有软硬件进行极小改动即可实现。