我曾在以前的一次信息安全会议上谈论一个名为Nokelock的挂锁。而我今天要讨论的是一款同样名为Nokelock的挂锁，它来自中国的Nokelock公司。这和我以前在会议上讨论过的挂锁并不是同一个，虽然它们的名字一样。
在亚马逊商城中有很多廉价的蓝牙挂锁都来自Nokelocks;这些锁的外观均不相同，而且锁的功能部件也有差异，例如有些带有指纹传感器，有些带有数字键盘。此外，有些还会被其他品牌重新包装再售卖，如Micalock。
我花了很多时间尝试对BEL（蓝牙）协议进行逆向工程，同时对API进行测试，最终发现不少有趣的漏洞。然后，在近6个月内，我们试图通过多种不同的渠道向厂商反映情况，但并没有得到任何回复。
在我们了解漏洞详情之前，让我们先说明如果你拥有Nokelock（或是它的重新包装版），我可以对它做些什么：
-
只要在10米范围内，我可以通过BLE打开你的锁。我不需要知道关于锁的帐户的任何信息，任何锁我都可以拿下。
-
我可以从Nokelock数据库中提取所有信息，包括你的电子邮件地址和密码哈希。
-
我可以获得锁的GPS坐标。
-
我可以取消锁的注册，并将其分配给另一个帐户，这样你就无法打开它。
还有人坚持使用Nokelock吗？
现在，让我们进入利用的细节…
所有Nokelock锁都遵循相同的BLE协议。该协议是在一个被混淆的Android应用中实现的。
与大多数BLE设备一样，它使用了某种通信特性：一个被写入时通知消息传递RX数据的TX特性。该特征的UUID为-00-fb; 并且在我研究过的每个锁上都一直位于句柄0x03处。
通过TX或RX传递的每个数据包是16个八位字节，并遵循如下模式：
上面的数据包是一个名为GET_BATTERY的命令，它会返回电池的当前状态。其中：
-
是静态命令，表示获取电池的状态
-
6e6eaebe是一个可以从设备获得的令牌
-
6cb42是随机填充以防止重复
然后使用AES加密算法和设备中的密钥对整个数据包进行加密，防止数据嗅探。
有许多不同的数据包可在与设备通信过程中获取电池状态，更改设置和解锁设备。如需解锁设备，程序需要从设备获取令牌，然后使用令牌调用unlock。
get token命令是，然后锁会返回060207以及一个四位八字节的令牌。接着就可以发送解锁命令（303030），模拟流程如下：
不过，实际情况下比上面所示的要复杂很多，因为整个数据包都被AES加密算法加密过。但幸运的是，我们可以通过两种方法从API获取密钥。而发送所有地API请求都需要一个有效的API令牌，不过我们只需通过废弃的电子邮件创建一个用户即可获得令牌。
从响应中我们可以看到有关该锁的大量敏感数据，包括加密密钥：
有许多日常用品，你司空见惯，并不在意它的细节（或者想当然）。但其实...你可能从来就没搞清楚它的真正用途！
你以为是让笔头干燥，或者保持压力平衡防止漏墨，其实全都错了！它是预防孩子吞咽笔盖而设计的，上面的孔可以在意外发生时，留出一点空气的通路，避免窒息
第一个作用是平衡空气压力，避免飞机飞到高处时内外压力差太大。第二个作用是预防窗户起雾
衣服自带的一小块布料？
你以为是用来给衣服打补丁用的吧？其实这是制造商提供的衣服材料样本，测试洗涤剂会对衣服造成什么影响
你以为是装逼用的？其实它是用来放怀表的（至少发明之初是这个作用）
你以为是为了好看？其实是避免裤子接缝处的应力太大而撕裂，用来加固的
你以为是通风用的？错了，它的作用是通过额外的鞋带，将鞋子进一步收紧，因为匡威鞋曾被当成是篮球鞋来设计
这个设计的目的，是可以用钉子或螺丝钩住小洞，避免卷尺打滑
长柄锅的手柄上有个洞？
你以为是用来悬挂锅子的，没错，但它还可以用来放勺子！
发夹的一侧弯曲成锯齿形？
你以为是好看？其实发夹是有正面和背面的，锯齿形这边应该朝向头发，它可以帮头发更好的固定
它的作用有两个，一是让水排出，防止生锈。二是可以方便加入润滑油
这些凸起的里面是铁氧体磁芯或电抗器，目的是抑制高频电磁干扰。通俗点说，你的手机靠近音箱的时候不是有干扰吗？这个凸起的一大坨，可以避免这种情况
美工刀尾巴上的这一块可以拿掉？
当顶部的刀刃磨损，你可以把尾巴上这一块拿下来，卡住刀刃，从刀刃上的分界线处掰断！这样你又有一把接近全新的刀了
键盘的F和J上面有凸起？
很显然，它们的作用是让打字的人方便盲打，只要把两手的食指分别放在这两个键上，就可以找到所有的字母键了
iPhone的摄像头旁边有个点点？
这是位于你相机背面的麦克风！
塑料瓶盖里面的小盖子？
明明没有这个盖子，瓶子依然能关紧啊？但是这个小盖子的作用是真正的密封，有了它，瓶子里的液体和二氧化碳才不会跑出来，否则就等着汽水变成糖水吧
翻译完这篇，我感觉我的生活常识突飞猛进了呢！
