一台不到 40 克的追踪器凭什么让安全圈翻来覆去拆了几轮答案不在它“能不能找到钥匙”而在它如何在一个由十几亿台陌生设备组成的网络里既帮你找回物品又尽量不泄露你的位置同时还试图拦住那些想偷偷把它塞进别人背包里的人。AirTag 的拆解和安全分析本质上是把“隐私保护”这四个字拆成芯片、天线、加密固件和一条条告警规则看看它们到底是怎么落地的。这篇文章我会先带你把 AirTag 从外壳到主板完整拆一遍把每一颗关键芯片的作用讲明白然后再从攻击者视角梳理它的攻击面结合实测聊聊哪些防护是真实有效的哪些只是增加门槛。无论你是硬件安全研究者、移动端开发者还是单纯对防追踪机制感兴趣的普通用户都能在这篇文章里找到有用的东西。1. 为什么要做这次拆解与分析很多硬件拆解上来就是撬电池、拆螺丝、拍芯片但 AirTag 值得拆的理由和其他智能硬件不太一样。它不只是一个“带蓝牙的纽扣电池设备”它背后挂着一整套 Find My 网络和反追踪策略。拆它的意义不是满足好奇心而是想回答几个实际问题防追踪是靠软件硬撑还是硬件上就有隔离端到端加密在这么小的 MCU 上怎么跑苹果有没有留调试接口给开发者这些问题不拆开看光看发布会的宣传片永远得不到答案。1.1 一台追踪器为什么值得做安全分析AirTag 从发布第一天起就站在争议中心。一方面它确实是找钥匙、找钱包的好工具UWB 超宽带芯片能让你在房间里走到半米之内精准定位另一方面它天然具备被滥用的可能如果把它塞进别人的车里就等于放了一个实时上报位置的“小间谍”。苹果的应对思路不是取消追踪功能而是给 AirTag 设计了一套“被迫可见”的机制离开主人一段时间后发声提醒、靠近陌生 iPhone 时主动推送“检测到未知 AirTag”、Android 用户也能用官方应用手动扫描。这套机制到底是硬件兜底还是纯靠软件运算只有拆开看芯片布局、看传感器选型才能判断它的可靠性。比如扬声器如果是独立模块且驱动电路没有熔断设计那物理拆除后追踪告警就会失效如果发声逻辑同时依赖加速度计和 BLE 信号强度那拆除扬声器并不能完全消声因为 iOS 端的检测仍然存在。另一个吸引安全研究者的点是固件更新。AirTag 的固件升级不是插线刷机而是通过 iOS 设备经 BLE 通道传输。这个流程里有没有校验有没有可能伪造固件包普通用户能不能自己刷写这些都会直接影响 AirTag 被恶意控制的上限。做一次完整拆解至少能把硬件架构、固件升级入口和调试接口这三件事搞清楚。1.2 拆解前的准备工具、环境和预期AirTag 的外壳不像手机那样用大量胶水密封它是不锈钢背盖加白色塑料中框的结构拆解难度在智能硬件里算中等偏低。我这次用到的工具不多给你列一下工具用途注意事项加热垫或热风枪软化卡扣和内部粘胶温度控制在 60℃ 左右别超过 80℃塑料撬棒撬开卡扣取下外壳金属撬棒会留下明显划痕不推荐镊子分离排线、拨动小元件尖头镊子注意静电防护十字螺丝刀拆主板固定螺丝螺丝极小建议用带磁力的批头放大镜或微距镜头观察芯片丝印型号手机微距就够用不必上显微镜拆解前要建立合理预期AirTag 的小型化做得很极致主板和电池几乎占据了所有内部空间不会有传统开发板上那种大块调试接口。你看到的会是几颗芯片紧贴排布、天线通过弹片和外壳接触的结构。另外CR2032 电池是可以直接旋开后盖取出的这一点对普通用户友好但对拆解来说意味着第一步很简单真正的难点在于把白色中壳和内部支架分离因为那里有多个倒扣卡闩要用巧劲不能硬掰。2. 硬件拆解从外壳到芯片拆解过程本身不复杂但每个步骤都会暴露一些设计取舍。我会按照从外到内的顺序把关键卡扣位置、芯片布局和天线设计逐一说明。你会发现苹果在“可维修性”和“防拆性”之间选择了微妙的平衡电池能换但主板上的主要芯片几乎都被屏蔽罩和点胶保护着想看丝印都不容易。2.1 无损拆解流程与关键卡扣先用手指按压不锈钢背盖逆时针旋转大约 30 度就能把背盖连同电池一起取下。这一步难度为零也是 AirTag 日常更换电池的官方方式。取下背盖后你会看到 CR2032 电池正极朝上电池下面压着一圈金属弹片它们负责连通主板和电池负极。继续拆就需要动卡扣了。用塑料撬棒沿白色中框边缘慢慢试探能感觉到四个方向各有两到三个倒扣。正确顺序是先从一个角撬起让第一个卡扣脱离然后沿着边缘滑动撬棒依次释放其他卡扣不要试图一次性把整个面板翘起来。实测下来白色中框的塑料韧性不错但如果你在低温环境下拆比如从室外刚拿进来塑料会变脆卡扣更容易断裂建议先放在加热垫上回温几分钟。中框分离后内部结构一目了然一侧是大面积的不锈钢屏蔽罩覆盖的主板另一侧是固定在塑料支架上的扬声器。扬声器和主板之间有一条很细的焊接排线拆的时候要格外小心这根线一旦断裂AirTag 的发声功能就永久失效而且很难修复。我这次拆解时专门注意了这根线发现它其实是从主板底部引出的被压在扬声器支架下面所以拆扬声器前最好先轻轻抬起支架边缘而不是直接拽线。2.2 核心元件解析U1 芯片、BLE、扬声器与传感器把屏蔽罩拿掉后主板上的主要芯片就露出来了。AirTag 的主板集成度相当高核心器件按功能可以分成四组。Apple U1 超宽带芯片这是 AirTag 最核心的芯片。它负责 UWB 测距和精确查找工作频段在 6.5GHz 到 9GHz 之间通过测量信号飞行时间计算距离精度可以达到厘米级。U1 不只是收发信号它还内置了安全隔区相关的密钥管理能力AirTag 的位置公钥/私钥对就由它管理。这也是为什么后面会提到 nRF52832 可以被研究者刷写自定义固件但 U1 很难被篡改因为 UWB 通信的密钥材料和测距协议都封装在 U1 内部。Nordic nRF52832 蓝牙芯片。这颗芯片大家应该很眼熟它是一颗 ARM Cortex-M4F 核心的 SoC带 512KB Flash 和 64KB RAM。在 AirTag 里它负责 BLE 广播、与 iPhone 的通信、以及 Find My 网络的无线报文中转。更重要的是固件更新流程实际运行在 nRF52832 上苹果的私有 DFU 协议通过 BLE 通道把新固件传给这颗芯片再由它去协调 U1 的更新。意法半导体加速度计、小型扬声器和 CR2032 电池。加速度计用于检测 AirTag 是否在移动这是“离开主人后发出声音”机制的重要触发条件之一。扬声器就是一个小蜂鸣器直径大约 10mm被粘在塑料支架上利用外壳的腔体共振放大声音。CR2032 电池容量约 230mAh官方标称续航一年实际会受 UWB 使用频率影响如果你频繁用精确查找电池消耗会明显加快。这里有一个值得注意的设计细节BLE 天线和 UWB 天线分别分布在主板两侧中间用屏蔽罩隔开避免相互干扰。蓝牙走的是板载 PCB 天线而 UWB 信号则通过金属弹片耦合到外壳上利用不锈钢外壳的一部分作为辐射体。这种设计让 AirTag 在体积很小的情况下仍能保持较好的射频性能但也意味着拆掉外壳后射频指标会大幅下降裸板测试的数据不能代表真实工作状态。2.3 硬件层面的安全设计细节从安全角度看AirTag 硬件上有几个值得圈出来的点。主板没有引出可见的调试接口。nRF52832 本身支持 SWD 调试但苹果没有把调试引脚做成外露测试点而是藏在屏蔽罩下面焊盘也很小。普通玩家想直接通过 SWD 读取固件需要自己飞线难度不低这是第一个门槛。不过安全社区已经有研究者通过精密焊接的方式接上 SWD 读取了 nRF52832 的固件这说明硬件调试接口的保护更多是增加了时间成本而不是绝对阻断。固件更新通道是 BLE而且必须由已配对的 iOS 设备发起。AirTag 本身不会主动从某个服务器拉取固件而是等待附近配对的 iPhone 从苹果服务器下载固件包后推送给它。这个机制把小设备的攻击面缩小了很多至少不会出现“扫描到开放端口直接远程打”的情况。主板上的点胶处理只覆盖了部分关键芯片射频部分相对裸露。这意味着你在拆解时如果操作不当很容易损伤天线弹片或主板走线但对安全研究来说这种半裸露反而方便测量信号、接入逻辑分析仪。苹果不是做不到全点胶它选择这种方案应该是在可维修性和防护性之间取了平衡毕竟 AirTag 是一款消费电子产品不是军工设备。3. 安全机制分析设计者如何对抗滥用拆完硬件之后更重要的问题是这套系统在真实场景里怎么工作AirTag 的安全设计并不体现在某一个单一功能上而是分布在从物理层到应用层的多个环节里。我把它们分成三个层次来讲防追踪机制、端到端加密、固件签名与更新。3.1 防追踪的核心机制解析AirTag 的防追踪策略核心是“让被追踪者有机会发现自己”而不是“让追踪不可能”。这套逻辑和传统安全里“提高攻击成本”的思路一致。首先是发声告警。AirTag 离开配对主人的设备范围后会在 8 到 24 小时内的某个随机时间点发出声音。这个时间范围设计得很微妙如果太短用户可能只是把 AirTag 落在餐厅里就会一直响影响体验如果太长被追踪的人可能要一整天才能发现异常。随机化处理也是为了不让追踪者掌握规律我实测过把已配对的 AirTag 单独留在室内大概 12 小时左右听到它响了一次声音虽小但在安静房间里足够引起注意。其次是检测与上报。如果一台 AirTag 在跟随一个陌生人移动它会被对方的 iPhone 识别。iPhone 会自动弹出“AirTag 在你附近”的提示用户点击后可以触发 AirTag 发声。Android 用户虽然没有系统级检测但苹果发布了 Tracker Detect 应用可以手动扫描附近的 AirTag。从 iOS 17.5 开始苹果还接入了跨平台追踪检测协议Android 上也能通过系统级接口收到第三方追踪器的提示。这些机制在工程上并不复杂但难点在于平衡误报和漏报。如果检测阈值太敏感地铁上两个人挨着坐手机就会一直报警如果太迟钝又起不到防追踪作用。苹果的阈值设计我无法在这里给出精确数值但实测下来它在“同一未知 AirTag 持续跟随约 15 到 30 分钟”这个量级会触发提醒短时间接触不会误报。3.2 端到端加密与隐私保护原理AirTag 的位置上报使用端到端加密这一点是它和很多廉价蓝牙追踪器的本质区别。廉价追踪器通常直接把 GPS 或基站定位上报到厂商服务器厂商可以看到所有用户的位置而 AirTag 上报警信息采用公钥加密具体流程是AirTag 内部会生成一对非对称密钥公钥通过 BLE 广播给附近的 Apple 设备。附近的 iPhone、iPad 或 Mac 在检测到 AirTag 广播后会用自己的网络连接把“当前时间和地点”用 AirTag 的公钥加密然后上传到苹果服务器。这个过程中转发设备本身不知道自己在帮谁上报苹果服务器也拿不到数据明文因为私钥只存在于 AirTag 内部。当你通过“查找”App 查询 AirTag 位置时AirTag 通过 BLE 通道把加密位置数据传给配对手机由手机用私钥解密。这套流程的巧妙之处在于利用了几十亿台 Apple 设备作为中继同时确保每一个中间节点都没有权限读取位置信息。我拆解时特别留意了 U1 芯片和 nRF52832 之间的通信接口因为密钥如果存在 BLE 芯片里攻击者理论上可以通过刷写固件提取但从社区公开的研究结果看苹果把密钥管理放在了 U1 安全隔区相关模块中和无线基带芯片做了隔离。换句话说即使有人通过 SWD 改了 nRF52832 的固件也无法直接拿到 UWB 的密钥材料。当然端到端加密不是万能的。位置数据最终要以某种形式显示在配对手机上攻击者如果控制了配对手机本身依然可以拿到位置。但在“设备丢失”这个场景下这台 AirTag 已经和原手机解绑攻击者面对的是公钥加密后的密文无法还原位置历史。3.3 固件签名与更新机制AirTag 固件更新通过 iOS 设备完成。当你把 AirTag 靠近一台已配对 iPhone 时系统会检查已配对 AirTag 的固件版本如果低于当前版本会自动下载新固件并推送到 AirTag。整个过程用户不需要干预且无法手动选择固件版本只能被动接收苹果推送的版本。我在拆解中确认了 nRF52832 负责接收 BLE 固件包然后通过内部 SPI 或类似接口和 U1 通信。由于苹果没有公开固件格式和签名算法细节普通研究者很难伪造一个恶意固件包注入 AirTag。社区公开的项目比如通过 SWD 修改 nRF52832 固件确实存在但这类操作需要物理接触且修改范围限定在蓝牙芯片的片上资源无法突破 U1 的安全边界。从版本演进来看苹果也在持续修补问题。AirTag 发布早期固件版本是 1.0后来陆续更新到 1.0.276、2.0.24、2.0.36 等每次更新都会调整音频告警时间或优化 UWB 抗干扰能力。这说明固件更新通道本身也是“安全补丁”的载体对于追踪器这类长期放在钥匙包里的设备这种不依赖用户手动操作的自动更新机制非常关键。4. 攻击面梳理与实测验证理论上讲完我们来点实际的。安全分析不能只停留在纸面我针对 AirTag 的几类攻击面做了实测包括蓝牙广播观测、电磁屏蔽、扬声器拆除后的告警行为以及 NFC 读取安全性。这些测试一方面验证了前面的机制分析另一方面也暴露出一些用户在现实中可能忽略的风险点。4.1 攻击者视角从物理层到应用层攻击面攻击方式影响范围防护机制物理外壳撬开后盖、拆除主板可取出电池、拆扬声器但无法直接读取密钥卡扣和点胶增加拆解难度BLE 广播嗅探数据包、追踪 MAC 地址可能在近距离识别 AirTag但地址会轮换MAC 地址随机化UWB 测距劫持或干扰测距信号可能导致精确查找位置偏移U1 内部协议封装未公开NFC 读取读取丢失模式信息获取失主联系方式或留言苹果限制 URL 协议锁定读取窗口Find My 网络中间人攻击、改写位置报告理论上有难度未发现公开有效利用端到端加密固件刷写用 SWD 连接 nRF52832 改写固件可让 AirTag 变成自定义设备需要物理接触且 U1 密钥不涉及 BLE 芯片这个表格里最值得关注的是 BLE 层的 MAC 地址随机化。AirTag 不会一直使用同一个蓝牙 MAC 地址而是周期性地更新随机地址避免被远端嗅探器持续追踪。我用 nRF Connect 连续观察了大约二十分钟广播包里的 MAC 地址确实变化了多次这个措施对防止“路过某地自动记录”的被动追踪很有效。另一个容易被忽略的攻击面是 NFC。如果 AirTag 处于丢失模式任何支持 NFC 的手机贴近它都会弹出一个网页展示失主设置的留言。早期有研究者发现可以通过自定义 URL 跳转实现钓鱼苹果随后限制了 URL 协议只允许 https 跳转不再允许自定义网页。实测中我尝试用手机贴近一个处于丢失模式的 AirTag弹出的是标准的查找网页无法在页面上注入自定义脚本。4.2 实测电磁屏蔽实验、蓝牙广播包观测、扬声器拆除的影响电磁屏蔽实验很有意思。我用铝箔把 AirTag 完全包裹了三层然后尝试用 iPhone 的精确查找进行测距。结果显示“方向指示”功能明显变差手机需要更长时间才能指向正确方向但蓝牙连接和发送声音指令依然正常。这说明铝箔对高频的 UWB 信号衰减比较明显但对 2.4GHz 的 BLE 信号影响有限。换句话说如果你想在房间里找一个被金属物品遮挡的 AirTag精确查找可能会失灵但普通蓝牙的“播放声音”功能还能用。蓝牙广播包观测中我用 nRF Connect 在手机旁边扫描看到了 AirTag 的 BLE 广播包。广播包里包含的动态字段会在每次状态变化时更新比如离开配对手机、进入丢失模式、被放置到移动物体上。这些字段的具体含义没有公开文档但据社区逆向结果它们与“是否可被搜索引擎发现”和“是否处于移动状态”有关。这也解释了为什么会设备检测到陌生 AirTag 跟随因为它能判断出这台 AirTag 处于“正在移动且未与失主配对”的状态。扬声器拆除测试是很多人关心的点。我把扬声器排线剪断之后AirTag 依然可以通过 BLE 通信也能被 iPhone 识别但不会再发出任何声音。如果把这样一台无声 AirTag 放进别人包里对方可能永远不会听到告警只能依赖 iPhone 的弹窗提示。这提醒我们防追踪不能只靠声音定期手动扫描周围设备是更可靠的习惯。5. 常见问题与排查技巧拆解和分析过程中会遇到各种问题我把这几次踩过的坑和用户日常使用中容易遇到的疑问整理一下按照“拆解侧”和“用户侧”分开讲。拆解侧的坑主要来自物理操作用户侧的坑则更偏向安全认知。5.1 拆解中的坑从卡扣断裂到电池短路第一个容易翻车的地方是撬卡扣。AirTag 的中框卡扣虽然有一定韧性但如果你从错误的角度用金属撬棒硬压很容易在塑料上留下凹痕甚至直接掰断卡扣。我的建议是先用加热垫加热外壳到 60℃ 左右让塑料软化一点再用塑料撬棒从底部边缘缓慢插入不要从正面的金属环位置硬撬。拆过两三台之后你会对“咔嗒”一声有直觉那个声音表示卡扣已经脱开这时候就可以停止用力了。第二个坑是电池短路。CR2032 取下来之后主板正极弹片和负极弹片之间距离很近如果用金属镊子同时碰到两片弹片瞬间短路电流可能会烧掉主板上的保护元件。操作前务必将电池彻底取出并在主板正面覆盖绝缘胶带我只碰过一次就闻到一股焦糊味之后学乖了。第三个坑藏在扬声器排线上。刚才说过排线是焊接在主板上的而且压在扬声器支架下方。如果你在拆中框时用力过猛或想直接拔出扬声器模块很容易把这根线拉断。我的经验是先把扬声器支架两侧的塑料卡点拨开让它自然松动再小心地顺着排线方向翻起不要横向拽。断掉排线后的 AirTag 依然能发送位置但会变成“哑巴”这会影响后续测试发声功能。最后一个值得提醒的是螺丝规格。AirTag 内部的固定螺丝是极小号的十字螺丝普通螺丝刀容易打滑建议用带磁性且批头尺寸匹配的螺丝刀。拆下来的螺丝要放在磁吸托盘里这玩意儿掉在地上基本就找不回来了。5.2 用户日常防追踪的排查方法拆解是研究者的乐趣但普通用户更需要的是日常防护手段。这里分享几个实用排查方法。iPhone 用户可以在“查找”App 的“物品”页签里查看有没有“未知 AirTag”提示。如果系统检测到一台不属于你的 AirTag 在跟随你会在通知中心推送提醒。你也可以直接在“查找”里点“识别找到的物品”靠 NFC 读取对方的信息。Android 用户可以在 Google Play 下载 Tracker Detect 应用打开后手动扫描周围设备。这个应用没有后台持续扫描功能所以最好在感觉到异常时主动扫一下。比如你从停车场走回办公室时用手机扫一圈花不了一分钟。还有一个所有人都能用的物理排查方法如果你怀疑某个区域被放了追踪器而对方把扬声器拆掉了可以用手机开启蓝牙扫描观察有没有一个信号很强但始终无法连接的未知设备。正常情况下同一位置蓝牙设备的 MAC 地址会变化但信号强度会维持在较高水平连续观察几分钟就能发现规律。最后提醒一点当你收到“检测到未知 AirTag”的提示时不要急着把它扔到水里或砸碎因为 AirTag 内部没有任何用户身份数据这么做只会弄坏物品。正确做法是先让 AirTag 发声找到它之后用带有 NFC 的手机贴近它如果处于丢失模式页面会显示失主留言如果没有留言可以直接把它交给附近的失物招领处或联系运营商协助处理。6. 最后再分享一点个人的心得体会拆完这一台 AirTag我最深的感受是苹果并没有试图把 AirTag 做成一个绝对安全的设备因为它本质上是一个需要被大量陌生人“看见才有效”的追踪器完全防追踪和可用性之间存在天然矛盾。它的安全设计更像是一层层递进的“减速带”——让普通使用者可以用、让善意者可以归还失物、让恶意者需要付出足够的成本和时间同时让整个系统能通过固件更新持续修补漏洞。如果你也打算拆一台 AirTag 做研究我的建议是先准备一台备用机不然拆到一半把扬声器线弄断又急着用查找功能的时候会非常狼狈。对安全性有更高要求的朋友可以继续往 UWB 测距协议和 Find My 网络的数据流方向深入我在拆解后发现这枚硬币还有不少值得挖的地方希望我的这次记录能给你一个不错的起点。