在瑞萨DA145xx系列BLE芯片开发中，配对与绑定是实现加密通信、设备记忆重连的核心功能。在SmartBond SDK6.0.24环境下，整套安全能力分为编译期宏开关与应用层安全结构体配置两个层级，两层配置需要配合生效，仅修改其中一部分，极易出现配对异常、安全能力不生效、客户端访问GATT服务失败等现象。

一、编译期宏开关：开启BLE安全底层基础

编译开关决定安全相关代码是否编译进工程，是配对绑定功能生效的前置条件，主要包含安全应用模块、LE安全连接、安全随机数三大模块配置。

  1. 启用Application Security安全应用模块在da145xx_config_basic.h头文件中定义#define CFG_APP_SECURITY，该宏会开启应用层安全任务、回调函数以及BondDB绑定数据库支持。一旦取消该宏定义，所有安全相关代码会被裁剪。

    重点注意：单纯关闭该宏不会自动把GATT服务改为明文访问。如果GATT特征依然保留加密、认证访问权限，客户端访问时直接报错失败，关闭安全功能时，必须同步检查修改GATT服务权限配置。

  2. 开启LE Secure Connections安全连接da145xx_config_advanced.h中配置#define CFG_ENABLE_SMP_SECURE，开启后协议栈支持P‑256 ECDH算法，启用LESC安全连接模式。 若未开启该宏，即便应用层配置请求安全连接，底层代码也会强制回退至传统Legacy配对模式。不同芯片生成ECDH密钥时机存在差异：DA14585/586/531上电就生成密钥；DA14531‑01、DA14535收到配对请求后才生成密钥。不需要LESC时关闭该宏，能够减少RAM占用，缩短系统启动耗时。

  3. 安全随机数发生器配置BLE密钥、TK、LTK的生成依赖安全随机源，工程建议同时开启CFG_TRNG硬件真随机源与CFG_USE_CHACHA20_RAND伪随机加密算法。SDK内部密钥生成链路会调用随机接口，硬件TRNG为随机算法提供种子。量产严禁使用固定常量、普通rand函数、时间戳充当随机源，会直接破坏蓝牙通信安全属性。

二、user_security_conf结构体：配对绑定业务参数配置

编译开关完成底层能力使能后，需要在user_config.h中填充security_configuration结构体，定义本机配对能力、安全诉求。配对最终模式不是由单机参数决定，是本机与对端设备双向协商的结果。

static const struct security_configuration user_security_conf = {
.iocap = USER_CFG_FEAT_IO_CAP,
.oob = USER_CFG_FEAT_OOB,
.auth = USER_CFG_FEAT_AUTH_REQ,
.key_size = USER_CFG_FEAT_KEY_SIZE,
.ikey_dist = USER_CFG_FEAT_INIT_KDIST,
.rkey_dist = USER_CFG_FEAT_RESP_KDIST,
.sec_req = USER_CFG_FEAT_SEC_REQ,
};

  1. iocap：IO输入输出能力，必须匹配真实硬件IO能力描述设备硬件是否具备显示屏、按键确认功能，直接决定可使用的配对方式：Just Works、Passkey输入、Numeric比较。

    开发重要红线：配置必须如实反映硬件实际能力。硬件没有确认按键，代码却声明支持Yes/No确认，协议栈虽然完成配对，但实际上不存在中间人MITM防护，带来安全漏洞。配对模式由本机与手机/主机双方IO能力共同决定，单台设备参数无法决定最终配对结果。

  2. oob：带外认证数据配置OOB即带外配对，配置选项分为GAP_OOB_AUTH_DATA_NOT_PRESENT无OOB数据、GAP_OOB_AUTH_DATA_PRESENT存在OOB数据。SDK6.0.24中OOB功能仅支持Legacy传统配对，开启OOB会强制关闭LESC。开发示例中的OOB密钥仅用于演示，量产产品必须替换真实安全信道获取的密钥数据，保证带外信道具备机密性、防篡改能力。

  3. auth：本机主动提出的认证能力请求auth为位掩码组合，常用标志：

  • GAP_AUTH_BOND：请求绑定，配对成功保存密钥用于后续重连；

  • GAP_AUTH_MITM：需要具备中间人防护的配对流程；

  • GAP_AUTH_SEC：请求使用LE Secure Connections安全连接。

这里的配置只是本机对外的能力诉求，不能保证最终协商结果一定满足该诉求，是否允许降级，由sec_req参数控制。

  1. sec_req：设备可接受的最低安全等级（最容易被忽略）sec_req是安全策略的底线，限定本机能够接受的配对安全下限。

  • GAP_SEC1_NOAUTH_PAIR_ENC：最低只要求加密，允许无认证Just Works配对，对端能力不足时允许降级；

  • GAP_SEC1_SEC_PAIR_ENC：强制要求经过MITM认证的LESC安全连接，不允许降级，若两端硬件IO无法完成认证交互，配对直接失败。

注意：SDK枚举中没有专门代表“强制LESC但允许无MITM Just Works”的选项，配置时需要留意产品安全需求，区分“请求能力”auth和“接受底线”sec_req两个参数的差异，不要混淆两者功能。

  1. key_size：加密密钥长度密钥长度取值7‑16字节，协商结果取两端设备支持的较小值。若无老旧设备兼容需求，固定配置16字节。注意，Legacy模式下6位Passkey本身熵值很低，修改key_size参数不能提升Passkey安全性，但可以避免最终会话密钥被截短，保障链路加密强度。

  2. ikey_dist、rkey_dist：密钥分发策略ikey_dist代表配对发起方分发密钥集合，rkey_dist代表响应方分发密钥集合。BLE外设大多作为配对响应方，重点关注rkey_dist。

  • GAP_KDIST_ENCKEY：分发加密密钥，用于恢复加密链路；

  • GAP_KDIST_IDKEY：分发IRK身份解析密钥，开启RPA随机私有地址功能必须配置；

  • GAP_KDIST_SIGNKEY：CSRK签名密钥，用于未加密链路数据签名；

  • GAP_KDIST_NONE：不分发任何密钥，适用于不需要绑定的场景。

LESC安全连接模式下，不会像Legacy模式传输LTK、EDIV，SDK依靠EDIV等于0识别LESC生成的长期密钥。产品如果不用签名写操作，可以关闭SIGNKEY分发，减少设备状态存储开销；使用RPA隐私地址，务必保留IDKEY分发选项。

三、开发实践总结

瑞萨DA145xx的BLE配对绑定，需要编译开关与运行时结构体双重配合。编译开关负责把安全代码编译进固件，开启LESC、安全随机源底层能力；安全结构体定义对外能力、认证诉求、最低安全底线、密钥分发策略。

开发调试常见误区：只设置auth请求LESC，忘记打开CFG_ENABLE_SMP_SECURE编译宏，结果实际跑Legacy配对；混淆auth与sec_req，想要禁止安全降级却没有设置sec_req最低等级；IO能力参数与硬件不匹配，造成虚假的MITM防护；关闭安全模块后忘记修改GATT权限，访问特征报错。量产阶段还要替换示例中演示用的OOB、TK测试数据，使用硬件TRNG生成安全随机密钥，保障蓝牙链路整体安全水平。