先说结论
蓝牙BLE配对安全的核心就三件事：用什么方式配对、配对后用什么密钥、数据传输出于什么加密级别。如果你做的是智能门锁、支付设备，直接上LE Secure Connections（安全级别4）；如果你做的是温度计、体重秤这类低敏感设备，用Just Works配对+AES-128加密就够用了。作为在蓝牙行业摸爬滚打多年的分销商，我们深圳市颖特新科技在给客户推荐BLE模块时，第一件事就是问清楚"你这个产品对安全的要求有多高"——安全等级选错了，要么被破解，要么成本白花。
配对流程到底是怎么回事？
很多新手工程师以为蓝牙配对就是"手机点一下就连上了"，其实底层有一套完整握手流程。BLE配对分三个阶段：
第一阶段：配对请求与能力交换
发起端和接收端互相通报自己的IO能力（输入输出方式）、认证要求、密钥大小等参数。这一步决定后面走哪条路。
第二阶段：密钥生成
根据双方能力，选择下面四种配对方式之一。
第三阶段：密钥验证与绑定
生成的密钥会存储下来，下次设备重新连接时直接用存储的密钥验证，不用再走一遍配对流程——这就是为什么你配对过一次的手机耳机，下次开机就自动连上了。
四种配对方式怎么选？
1. Just Works（零配对）
最省事的方案。用户点一下确认就完成了，没有输入密码环节。优点是用户体验好，连接快；缺点是中间人攻击风险相对高。适合的场景：BLE Beacon展示、低价值耗材、健康监测贴片。
2. Passkey Entry（密码输入）
一方显示6位数字，另一方输入这个数字来完成配对。安全等级中等，需要用户操作，适合有屏幕+按键的设备。典型应用：BLE键盘、遥控器、部分工业手持终端。
3. Numeric Comparison（数字比较）
双方各显示一个数字，用户判断是否一致后确认。这个是BLE 4.2之后引入的，主要为了防止中间人攻击，体验比Passkey好，安全性也更高。典型应用：手机与手表的配对、手机与耳机的配对（高端TWS耳机）。
4. OOB（带外通道）
通过NFC、二维码、WiFi等非蓝牙通道传输配对信息。安全性最高，但需要额外硬件支持，成本也最高。典型应用：高端门锁、支付设备、医疗器械。
| 配对方式 | 安全等级 | 用户体验 | 硬件要求 | 典型应用 | 推荐指数 |
|---|---|---|---|---|---|
| Just Works | 低 | ⭐⭐⭐⭐⭐ | 无额外硬件 | BLE Beacon、体重秤 | ⭐⭐⭐ |
| Passkey Entry | 中 | ⭐⭐⭐ | 屏幕/按键 | BLE键盘、遥控器 | ⭐⭐⭐⭐ |
| Numeric Comparison | 中高 | ⭐⭐⭐⭐ | 屏幕/按键 | 手机配对、手表 | ⭐⭐⭐⭐ |
| OOB（NFC/二维码） | 高 | ⭐⭐⭐ | NFC芯片/扫码器 | 门锁、支付终端 | ⭐⭐⭐⭐⭐ |
蓝牙BLE安全等级怎么分？
Level 1（无安全）：没有加密，没有认证。数据明文传输。这个等级的产品强烈不推荐。
Level 2（AES-CCM加密，无认证）：通信内容是加密的，但没有验证连接对象身份。适合数据敏感但不怕被假冒的场景。
Level 3（AES-CCM加密，静态PIN认证）：用固定6位PIN码做认证，安全性一般，因为PIN是静态的容易被破解。这个等级目前已基本淘汰。
Level 4（LE Secure Connections，ECDH密钥）：目前BLE最高安全等级，使用P-256椭圆曲线Diffie-Hellman密钥交换，能有效防止中间人攻击。做门锁、支付、身份识别的产品必须用这个等级。
| 安全等级 | 加密算法 | 认证方式 | 建议场景 | 典型芯片 |
|---|---|---|---|---|
| Level 1 | 无 | 无 | 开放数据广播 | BLE Beacon |
| Level 2 | AES-CCM | 无认证 | 非敏感数据采集 | 温湿度计 |
| Level 3 | AES-CCM | 固定PIN | 已淘汰，不推荐 | 老旧设备 |
| Level 4 | ECDH/P-256 | 强认证 | 门锁/支付/医疗 | nRF52840、CC2640R2 |
实战选型建议
后果严重（生命安全、金融风险）→ Level 4
典型产品：智能门锁、BLE支付终端、医疗器械
推荐芯片：Nordic nRF52840、TI CC2640R2
模块价格区间：含加密认证的模块约45-120元
后果中等（隐私泄露、财产损失风险）→ Level 4或Level 2
典型产品：BLE遥控器、考勤设备、智能家居中枢
推荐芯片：Nordic nRF52832、Dialog DA14580
模块价格区间：20-50元
后果轻微（用户无感知，数据价值低）→ Level 2或Just Works
典型产品：BLE Beacon、电子价签、运动手环基础模式
推荐芯片：Telink TLSR825x、REALTEK RTL8723
模块价格区间：8-20元
常见问题Q&A
Q1：BLE配对安全等级能不能后期OTA升级？
可以，但前提是你的芯片本身支持。目前主流芯片（nRF52832及以上）硬件层面都支持，只是需要固件升级来实现。如果你在立项时用的是低端芯片（CC2541这类），硬件不支持安全等级4，后期升级不了，只能换芯片。
Q2：Just Works配对真的不安全吗？
不安全是相对的。如果你的产品数据价值低（如BLE Beacon发广告数据），用Just Works完全合理。但如果被破解会导致用户隐私泄露或经济损失，哪怕只有万分之一的风险，也不要省这个成本。安全这事上，事后补救的成本永远比事前设计高得多。
Q3：BLE 4.2和BLE 5.0在安全性上有区别吗？
有。BLE 4.2引入了LE Secure Connections（安全级别4），而BLE 5.0主要是Range和Speed的提升，安全性上与4.2一致。所以如果你的产品对安全要求高，选BLE 4.2及以上的芯片即可。
Q4：BLE配对绑定了之后，换手机还能用吗？
不能。配对绑定是将设备与特定手机账号绑定，换手机需要重新配对。如果你想做"一机多人用"的场景，需要在应用层设计多账号支持，BLE底层还是一对一绑定的。
Q5：BLE模块本身能不能做安全加固？
可以。很多BLE模块出厂就支持BLE Secure Connections，比如Nordic系模块默认启用了Level 4。但模块只是底层，上层应用的数据加密、身份验证逻辑还需要你自己设计。模块不负责帮你做业务层安全。