贝叶斯蝴蝶1. 项目背景与核心需求
在蓝牙低功耗（BLE）安全通信领域，长期密钥（LTK, Long Term Key）是实现链路加密的核心要素。最近在测试三星手机与BLE设备的配对过程时，发现部分型号设备在安全连接建立后，无法通过常规方式获取LTK值。这给安全审计、设备互操作性测试和逆向分析带来了实际困难。
三星手机采用的BLE协议栈实现有其特殊性，特别是在SM（Security Manager）层的密钥分发机制上。传统Android设备可以通过Bluetooth HCI日志或内核调试接口获取LTK，但三星的某些定制化ROM会过滤这些关键信息。本方案通过组合使用蓝牙协议分析、系统API调用和底层调试技术，实现了对三星手机BLE LTK的可靠提取。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 技术原理与实现路径
2.1 BLE配对过程中的密钥生成
在BLE配对过程中，LTK的生成遵循以下技术路线：
- 配对方法选择：根据设备能力协商使用LE Legacy Pairing或LE Secure Connections
- 临时密钥生成：通过ECDH（椭圆曲线迪菲-赫尔曼）交换生成DHKey
- 密钥派生函数：使用h6函数从DHKey生成LTK（LE SC）或直接使用STK作为LTK（LE Legacy）
- 密钥分发：通过加密链路将LTK传输给从设备
三星设备在实现上的特殊之处在于：
- 对Just Works配对模式下的密钥可见性做了限制
- 部分型号会主动清除内存中的明文LTK
- 系统日志中过滤了SMP（Security Manager Protocol）相关数据包
2.2 关键突破点实现
2.2.1 HCI日志捕获增强
通过修改bt_stack.conf配置文件开启完整SMP日志：
properties复制# 启用SMP调试日志
BtSmpDebugLog=0x0F
# 保留加密密钥明文
BtSmpStoreDebugKeys=true
注意：此配置需要root权限，修改后需重启蓝牙服务
2.2.2 内存驻留密钥提取
开发定制版Bluetooth堆栈Hook模块，关键函数拦截：
cpp复制// 拦截SMP密钥存储回调
void (*orig_smp_store_ltk)(uin