編譯/ 張 鷗

編輯/ 吳 靜

設(shè)計(jì)/ 琚 佳

(資料圖片)

來源 /Ars Technica，作者：Jonathan M. Gitlin，題圖：Aurich Lawson/Getty Images

如果你在最近幾年里購(gòu)買了一輛新車，那么它大概率至少包含一個(gè)嵌入式調(diào)制解調(diào)器，用來提供連接服務(wù)。這能夠帶來不少好處，如在寒冷的早晨進(jìn)行車內(nèi)預(yù)熱，在故障發(fā)生前發(fā)出警告診斷，以及青少年司機(jī)監(jiān)控等安全功能。

在一些地區(qū)，聯(lián)網(wǎng)汽車甚至是強(qiáng)制性的，如歐盟的eCall系統(tǒng)。eCall是一項(xiàng)歐洲倡議，旨在為歐盟任何地方發(fā)生碰撞的駕車者提供快速援助。2018年4月起，歐盟境內(nèi)銷售的所有新車強(qiáng)制配備eCall。

而另一方面，這些系統(tǒng)所引發(fā)的汽車黑客事件已經(jīng)出現(xiàn)至少十多年了，直到2015年引起巨大反響的吉普車黑客事件，這個(gè)問題才終于得到重視。

當(dāng)時(shí)，一對(duì)黑客通過這款SUV信息娛樂系統(tǒng)中的一個(gè)漏洞，在駕駛過程中遠(yuǎn)程禁用車輛。從那時(shí)起，一些汽車的Wi-Fi網(wǎng)絡(luò)、NFC鑰匙和藍(lán)牙以及第三方遠(yuǎn)程信息處理系統(tǒng)都被檢查出了安全漏洞。

安全研究員查理·米勒（Charlie Miller）試圖從溝渠中拉回一輛吉普切諾基，因?yàn)樗膭x車在受控測(cè)試中被遠(yuǎn)程禁用。▼

2022年底，一位名叫薩姆·庫(kù)里（Sam Curry）的黑客測(cè)試了各個(gè)汽車制造商和遠(yuǎn)程信息處理系統(tǒng)的安全性，果不其然發(fā)現(xiàn)了安全漏洞，或者以他自己的標(biāo)準(zhǔn)來說，所見之處都是漏洞。

2022年秋天，庫(kù)里在訪問馬里蘭大學(xué)時(shí)決定探索汽車行業(yè)數(shù)字內(nèi)容潛在風(fēng)險(xiǎn)，因?yàn)樗谕嬉粋€(gè)電動(dòng)滑板車的應(yīng)用程序時(shí)發(fā)現(xiàn)，他可以打開整個(gè)車隊(duì)的喇叭和大燈。在向滑板車公司報(bào)告了這一漏洞后，庫(kù)里和他的伙伴們將注意力轉(zhuǎn)向了更大的車輛。

漏洞百出

庫(kù)里說：“我們意識(shí)到，在過去五年里制造的每一輛汽車都有幾乎相同的功能。如果攻擊者能夠找到車輛遠(yuǎn)程信息處理系統(tǒng)使用的API端點(diǎn)的漏洞，他們就可以做到遠(yuǎn)程按喇叭、閃燈、遠(yuǎn)程跟蹤、鎖定/解鎖和啟動(dòng)/停止車輛。”

他們發(fā)現(xiàn)16家汽車制造商、LoJack等聯(lián)網(wǎng)汽車系統(tǒng)、新的數(shù)字車牌、甚至美國(guó)廣播公司Sirius XM電臺(tái)都存在廣泛的問題。

除了車輛識(shí)別碼之外，黑客還能夠訪問謳歌、本田、英菲尼迪、起亞和日產(chǎn)汽車的遠(yuǎn)程服務(wù)，包括定位和解鎖汽車，啟動(dòng)或停止發(fā)動(dòng)機(jī)，或鳴笛。也有可能通過一個(gè)VIN碼接管一個(gè)用戶的賬戶。在起亞的案例中，研究人員甚至可以訪問車輛上的實(shí)時(shí)停車攝像頭。

Genesis和現(xiàn)代汽車同樣如此，盡管是通過車主的電子郵件地址而不是VIN。保時(shí)捷的車輛也容易受到遠(yuǎn)程信息處理漏洞的影響，庫(kù)里能夠定位車輛并發(fā)送命令。

庫(kù)里研究報(bào)告中的代碼截圖▼

“提供LoJack等服務(wù)的遠(yuǎn)程信息處理公司Spireon有多個(gè)安全漏洞，使黑客能夠獲得對(duì)全公司管理面板的全部管理員權(quán)限，并能夠向大約1550萬輛汽車發(fā)送任意命令（解鎖、啟動(dòng)發(fā)動(dòng)機(jī)、禁用啟動(dòng)器等），讀取任何設(shè)備位置，并閃現(xiàn)/更新設(shè)備固件?！睅?kù)里說。

有一次，庫(kù)里和他的同事進(jìn)入了一個(gè)隨機(jī)的車隊(duì)賬戶，緊接著收到了一個(gè)美國(guó)警察局的管理邀請(qǐng)，在那里可以跟蹤整個(gè)警察車隊(duì)。

2022年10月，加州批準(zhǔn)了數(shù)字車牌。庫(kù)里發(fā)現(xiàn)，他依舊可以獲得超級(jí)管理員權(quán)限并管理所有用戶賬戶和設(shè)備，包括跟蹤汽車和改變e-ink車牌上顯示的信息。

梅賽德斯-奔馳、寶馬和勞斯萊斯都是通過單一登錄漏洞被入侵的，這些漏洞允許訪問企業(yè)網(wǎng)絡(luò)和員工或客戶的個(gè)人身份信息。福特的遠(yuǎn)程信息處理API容易受到黑客攻擊，也暴露了客戶的信息。黑客甚至能夠找到法拉利、捷豹路虎和豐田金融客戶的信息。

此外，泄露的亞馬遜網(wǎng)絡(luò)服務(wù)密鑰使黑客能夠進(jìn)入衛(wèi)星廣播供應(yīng)商Sirius XM，檢索所有文件，包括用戶數(shù)據(jù)庫(kù)、源代碼和配置文件。

與智能手機(jī)App兼容的e-ink電子車牌▼

（來源：Riviver）

補(bǔ)救中的汽車公司

令人鼓舞的消息是，黑客的發(fā)現(xiàn)使受影響的公司修復(fù)了他們的缺陷。

謳歌和本田的發(fā)言人說：“本田已經(jīng)知悉SiriusXM聯(lián)網(wǎng)汽車服務(wù)的報(bào)告漏洞，根據(jù)SiriusXM的說法，他們很快就解決了。本田沒有看到任何跡象表明，有人惡意利用這個(gè)現(xiàn)已解決的漏洞來訪問本田或謳歌車輛的聯(lián)網(wǎng)車輛服務(wù)。”

寶馬集團(tuán)發(fā)言人稱：“寶馬正在持續(xù)監(jiān)測(cè)系統(tǒng)狀況，以發(fā)現(xiàn)可能的漏洞或安全威脅。此外，我們也在定期與外部安全專家密切合作。至于庫(kù)里文章中提到的漏洞，已經(jīng)根據(jù)我們的安全標(biāo)準(zhǔn)操作程序（例如，Bug Bounty Program）進(jìn)行了處理。所處理的漏洞問題在24小時(shí)內(nèi)被關(guān)閉，沒有數(shù)據(jù)泄露。因此，客戶、員工或與車輛相關(guān)的IT系統(tǒng)沒有受到影響，也沒有受到損害。”

關(guān)于福特遠(yuǎn)程信息處理系統(tǒng)的漏洞，該公司同樣表示進(jìn)行了修復(fù)。

現(xiàn)代汽車和Genesis的發(fā)言人說：“現(xiàn)代汽車與第三方顧問勤奮工作，在研究人員（庫(kù)里）提醒我們注意這個(gè)所謂的漏洞后立即進(jìn)行了調(diào)查。重要的是，除了屬于研究人員自己的現(xiàn)代汽車和賬戶外，我們的調(diào)查表明，無論是現(xiàn)代汽車還是Genesis的客戶車輛或賬戶，都沒有因?yàn)檫@個(gè)問題而被他人非法訪問?！?/p>

“我們還注意到，想要利用這個(gè)所謂的漏洞，需要獲取與特定的現(xiàn)代/Genesis賬戶和車輛相關(guān)的電子郵件地址以及庫(kù)里使用的特定網(wǎng)絡(luò)腳本?！痹摪l(fā)言人繼續(xù)說，“盡管如此，我們?cè)诮拥酵ㄖ蟮膸滋靸?nèi)就采取了應(yīng)對(duì)措施，以進(jìn)一步加強(qiáng)我們系統(tǒng)的安全和保障。另外，現(xiàn)代汽車和Genesis均未受到Sirius XM授權(quán)缺陷的影響?！?/p>

梅賽德斯-奔馳則表示庫(kù)里所報(bào)告的漏洞已經(jīng)修復(fù)，所發(fā)現(xiàn)的漏洞并沒有影響車輛的安全。

e-ink電子車牌服務(wù)商Reviver公司的一位發(fā)言人說：“我們的團(tuán)隊(duì)對(duì)這一報(bào)告進(jìn)行了調(diào)查，與該研究人員進(jìn)行了會(huì)談，并出于謹(jǐn)慎考慮，聘請(qǐng)了領(lǐng)先的數(shù)據(jù)安全和隱私專家進(jìn)行協(xié)助?！?/p>

“他們?cè)?4小時(shí)內(nèi)為應(yīng)用程序打了補(bǔ)丁，并采取了進(jìn)一步的措施，以防止將來發(fā)生這種情況。”Reviver發(fā)言人繼續(xù)說道，“我們的調(diào)查證實(shí)，這個(gè)潛在的漏洞沒有被濫用?？蛻粜畔]有受到影響，也沒有證據(jù)表明與這份報(bào)告有關(guān)的持續(xù)風(fēng)險(xiǎn)。作為我們對(duì)數(shù)據(jù)安全和隱私承諾的一部分，我們還利用這個(gè)機(jī)會(huì)實(shí)施了額外的保障措施?！?/p>

庫(kù)里發(fā)表在自己網(wǎng)站的文章名為《網(wǎng)絡(luò)黑客與汽車行業(yè)：法拉利、寶馬、勞斯萊斯、保時(shí)捷等的關(guān)鍵漏洞》▼

（來源：samcurry.net）

白宮希望國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所和聯(lián)邦貿(mào)易委員會(huì)提出一套基本的安全標(biāo)準(zhǔn)，以便美國(guó)人可以一眼看出新的揚(yáng)聲器或洗衣機(jī)是否有加入僵尸網(wǎng)絡(luò)或被勒索軟件攻擊的危險(xiǎn)。

2022年10月，黑莓公司就此進(jìn)行了一次網(wǎng)絡(luò)調(diào)查，幾乎四分之三的人都認(rèn)為，聯(lián)網(wǎng)汽車和電動(dòng)車充電器應(yīng)該根據(jù)其抵御網(wǎng)絡(luò)安全威脅的能力進(jìn)行評(píng)級(jí)。

現(xiàn)在看來，這個(gè)評(píng)級(jí)或許真的十分有必要。

本文由汽車商業(yè)評(píng)論原創(chuàng)出品

轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系說明

違規(guī)轉(zhuǎn)載必究

違規(guī)轉(zhuǎn)載必究