谷歌在发现黑客漏洞后回忆起蓝牙版Titan Security Key

谷歌正在召回其Titan Security Key的蓝牙低功耗（BLE）版本，并为所有者提供免费更换服务。

召回事件发生在该公司意识到可能允许附近的黑客劫持安全设备的安全问题之后。谷歌表示，安全问题仅影响在美国销售的2FA设备的蓝牙版本。

在博客文章中，Google Cloud产品经理Christiaan Brand解释说，该漏洞源于Titan Security Keys的蓝牙配对协议中的错误配置。这不仅可以与密钥本身进行通信，还可以与连接的计算机进行通信。

谷歌表示“攻击者必须密切协调一系列事件”才能利用此漏洞：

• 当您尝试在设备上登录帐户时，通常会要求您按BLE安全密钥上的按钮将其激活。在此时刻身临近距离的攻击者可能会在您自己的设备连接之前将自己的设备连接到受影响的安全密钥。在这种情况下，如果攻击者以某种方式已经获得您的用户名和密码并且可以准确地计算这些事件，则攻击者可以使用他们自己的设备登录您的帐户。
• 在使用安全密钥之前，必须将其与您的设备配对。配对后，与您近距离接触的攻击者可以使用他们的设备伪装成受影响的安全密钥，并在您被要求按下密钥上的按钮时连接到您的设备。之后，他们可能会尝试将其设备更改为蓝牙键盘或鼠标，并可能会对您的设备执行操作。

Google坚持认为此问题不会影响针对网络钓鱼的保护，并建议人们继续使用Titan安全密钥，直到他们能够获得替代品。可以通过查看印在后面的T1或T2来识别受影响的单元。

您可以通过转到google.com/replacemykey获取替代品。

Google向iOS和Android用户提供以下建议：

iOS设备：

在运行iOS 12.2或更早版本的设备上，我们建议您将受影响的安全密钥用于潜在攻击者不在物理上接近（大约30英尺）的私人场所。在您使用密钥在设备上登录Google帐户后，请立即取消配对。在等待更换时，您可以再次以这种方式使用密钥，直到您更新到iOS 12.3。

更新到iOS 12.3后，受影响的安全密钥将不再有效。您将无法使用受影响的密钥登录自己的Google帐户或受密钥保护的任何其他帐户，并且您需要订购替换密钥。如果您已在iOS设备上登录自己的Google帐户，请不要注销，因为在获得新密钥之前您将无法再次登录。如果您在更换密钥到达之前锁定了iOS设备上的Google帐户，请参阅这些说明以重新访问您的帐户。请注意，您可以继续在非iOS设备上登录Google帐户。

在Android和其他设备上：

我们建议您将受影响的安全密钥用于潜在攻击者不在物理上接近（大约30英尺）的私人场所。在您使用受影响的安全密钥登录Google帐户后，请立即取消配对。使用即将到来的2019年6月安全补丁级别（SPL）更新的Android设备将自动取消受影响的蓝牙设备，因此您无需手动取消配对。您还可以继续使用Android上支持的USB或NFC安全密钥，但不受此问题的影响。