{"id":"mb-20261028-6a5f58","kind":"deep","title":"关机不等于断电：拆解iPhone低功耗芯片链与蓝牙固件未签名漏洞","summary":"现代iPhone在关机后仍会保留低功耗供电轨，为蓝牙、NFC和U1芯片供电长达24小时以支持查找网络与车钥匙。达姆施塔特工业大学研究发现，博通蓝牙芯片因缺乏固件数字签名校验，可被内核级恶意软件覆写内存并在关机后常驻运行。本文深入解析其硬件机制与攻击路径。","body":"你把一台 iPhone 滑动关机，主板上的电其实根本没断。\n哪怕屏幕已经黑透了，机身里面照样有三颗无线芯片在靠备用电跑代码。\n而且能连续跑上整整 24 个小时。\n有没有搞错？\n我都已经划下关机键了，它怎么还在耗电？\n苹果在主板硬件设计上，专门给这几颗芯片留了一条活路。\n平时我们用的关机，苹果管它叫软关机。\n你把关机滑块滑到底，手机里的电源管理芯片 PMU 确实会动手。\n它会掐断 A 系列主处理器、OLED 屏幕和摄像头的供电。\n主内存 RAM 里的数据，也会在这个时候被彻底清空。\n但是，电源管理芯片特意在主板上留下了一条独立的低功耗供电轨。\n在这条一直带电的供电轨上，坐着三颗完全独立的无线芯片：\n博通的蓝牙芯片、恩智浦的 NFC 芯片，以及苹果自研的 U1 超宽带芯片。\n苹果为什么要留着这三颗芯片不断电？\n为了那些即使关机也得能用的功能。\n比如手机没电自动关机之后，你还能刷交通卡进地铁。\n比如拿着手机靠近车门，数字车钥匙依然能解锁。\n更重要的，是苹果从 iOS 15 开始力推的关机后仍可查找功能。\n如果你手动关机，这三颗芯片能继续工作 24 小时。\n就算电池彻底耗尽自动关机，主板也会预留备用电量，让它们继续撑 5 个小时。\n这里面的工程配合很有意思。\n手机在真正断电关机前的一瞬间，主系统的 iOS 会在后台紧急干一件事。\n它利用 NIST P-224 椭圆曲线算法，预先算好 96 个不断轮换的公钥。\n为什么正好是 96 个？\n一天 24 个小时，每 15 分钟换一个公钥，乘下来刚好是 96 个。\n接着，iOS 通过主机控制接口 HCI 发送指令，把这 96 个公钥一口气打包塞进蓝牙芯片。\n紧接着，主系统发出一行断开指令，切断与主处理器通信。\n这时候，主芯片彻底断电下线。\n蓝牙芯片内部自己拉起一个独立的运行线程。\n接下来的 24 个小时里，主处理器完全处于沉睡状态。\n蓝牙芯片每隔两秒钟就自动醒过来一次，用低功耗蓝牙向周围广播当前那个 15 分钟对应的公钥。\n只要路过任何一台别人的 iPhone 或者 Mac，对方听到这个广播，就会用你的公钥把对方当前的 GPS 坐标加密，悄悄回传给苹果服务器。\n这就是关机之后还能定位手机的完整过程。\n单看这套逻辑，工程设计确实算得上精巧。\n但是，问题来了。\n这三颗在关机之后依然活着的芯片，真的安全吗？\n2022 年，德国达姆施塔特工业大学的移动网络安全实验室，也就是知名的 SEEMOO 实验室，对苹果这条低功耗硬件链条做了一次彻底的安全审计。\n研究团队发表了一篇论文，名字起得很有意思，叫《Evil Never Sleeps》，翻译过来就是恶魔永不眠。\n他们把这三颗无线芯片的固件安全架构拆开一看，结果挖出了一个让人冒冷汗的安全漏洞。\n恩智浦的 NFC 芯片，固件全程加密并且带有数字签名。\n苹果自研的 U1 超宽带芯片，在每次启动时也必须严格校验密码学签名。\n唯独那颗博通的蓝牙芯片，既没有固件加密，也没有数字签名校验。\n很多人可能会奇怪：苹果对安全要求那么严，怎么会在蓝牙芯片上漏掉签名？\n答案藏在博通古老的硬件架构里。\n博通在芯片出厂的时候，直接把基础固件烧死在了不可更改的掩膜只读存储器 Mask ROM 里面。\n掩膜 ROM 是在芯片制造时物理刻上去的，出厂之后一个比特都改不了。\n那芯片要是出了漏洞需要打补丁，或者要像苹果这样增加关机查找的新功能，该怎么办？\n博通设计了一套叫 PatchRAM 的机制。\n每次系统开机的时候，iOS 会直接通过特定的控制命令，把一段二进制补丁代码写进蓝牙芯片内部的静态随机存取内存 SRAM 里面。\n最要命的设计缺陷就在这里：\n博通的芯片硬件，从头到尾根本不检查这段 RAM 补丁有没有合法的数字签名。\n只要你把二进制代码塞进内存，芯片就毫无保留地直接执行。\n在正常情况下，只有合法的 iOS 内核才能往蓝牙芯片里写补丁。\n可是，如果这台手机之前已经被植入了内核级间谍软件，或者被通过本地漏洞越狱了呢？\n攻击者手里已经有了最高内核权限。\n在用户决定关机之前，黑客可以直接调用写内存指令，把一段恶意代码写进蓝牙芯片的 SRAM 内存，替换掉原来的固件补丁。\n接下来，精彩的操作来了。\n用户毫不知情地按住电源键，滑下滑块关机。\niOS 主系统开始关闭，主内存被彻底清空。\n原本藏在手机主系统里的恶意软件，随着主内存断电确实消失了。\n但是，电源管理芯片忠实地执行了苹果的省电策略：\n它继续保持那条低功耗供电轨通电。\n蓝牙芯片的 SRAM 内存根本没有断电。\n那段被黑客篡改过的恶意蓝牙固件，靠着手机电池的备用电，在后台继续平稳运行。\n这还不是最糟糕的。\n达姆施塔特工业大学的研究人员翻开 iPhone 的主板电路图，发现了一个更惊人的硬件连接。\n为了让手机在关机状态下也能刷车钥匙和公交卡，主板用专门的硬件总线，直接把蓝牙芯片、U1 芯片与 NFC 内部的安全元件连在了一起。\n这意味着什么？\n这颗被黑客篡改了固件的蓝牙芯片，在整台手机看起来完全关机的状态下：\n它可以持续对外发射自定义的伪造定位信标。\n它可以在空中静默监听黑客发来的无线唤醒指令。\n它甚至能通过底层的硬件总线，直接去访问储存着核心凭证的安全元件。\n有人可能会说：关机界面上不是有个按钮，叫暂时关闭查找功能吗？点一下输密码不就关掉了？\n如果你是一台干干净净的手机，这个功能确实管用。\n系统内核会通知电源管理芯片，彻底切断低功耗供电轨。\n可是，如果你的手机已经被内核级木马控制了呢？\n屏幕上的那个关机滑块和关闭按钮，其实只是一行可以被拦截的软件代码。\n恶意软件完全可以在屏幕上播放一个逼真的关机动画，把屏幕亮度调到零，却在后台直接把你的关闭请求扔进垃圾桶，并命令电源管理芯片继续给被攻陷的蓝牙芯片通电。\n当无线芯片可以在没有任何数字签名校验的情况下常驻内存，所谓的软件关机键就彻底失效了。\n在现代硬件设计里，关机早就已经算不上物理断电了。\n它其实是一群微控制器之间商量出来的软件状态。\n只要电池还没有被螺丝刀物理拔掉，或者整台手机没有被放进彻底隔绝无线电的法拉第屏蔽袋里，这颗无线芯片就完全有可能在黑暗中保持在线。","topic":"关机不等于断电：拆解iPhone低功耗芯片链与蓝牙固件未签名漏洞","frame_type":["机制"],"citations":[],"channel_note":"","identity_notice":"","source_type":"generated","status":"published","generated_at":"2026-10-28 07:13:00","legal_anchor_count":0,"transcript_citation_count":0,"seo_title":"关机不等于断电：拆解iPhone低功耗芯片链与蓝牙固件未签名漏洞","description":"现代iPhone在关机后仍会保留低功耗供电轨，为蓝牙、NFC和U1芯片供电长达24小时以支持查找网络与车钥匙。达姆施塔特工业大学研究发现，博通蓝牙芯片因缺乏固件数字签名校验，可被内核级恶意软件覆写内存并在关机后常驻运行。本文深入解析其硬件机制与攻击路径。","domain":"chips","domain_label":"芯片与硬件","domain_label_en":"Chips & Hardware","domain_url":"https://mubeitech.com/deep?domain=chips","canonical_url":"https://mubeitech.com/deep/mb-20261028-6a5f58","markdown_url":"https://mubeitech.com/deep/mb-20261028-6a5f58/markdown","json_url":"https://mubeitech.com/api/interpretations/mb-20261028-6a5f58","published_at":"2026-10-28T07:13:00Z"}