APP下载

【台湾资安大会直击】趋势资安专家揭露汽车车载OBD存有安全漏洞,利用App轻松就能控制汽车门窗开启

2018-03-19 17:32

趋势科技核心研究开发部技术经理谢起昌表示,为了因应车联网风潮,现在越来越多新出厂汽车的内部网络(CAN)都开始可以连上互联网,也让骇客有机可趁。

当汽车变得越来越聪明,能做更多事,也让许多人不禁担心,汽车会不会像电脑一样遭到骇客入侵操控。趋势科技核心研究开发部技术经理谢起昌在2018台湾资安大会上,首次揭露他们最近在一款VW GOLF汽车配备的OBD装置上发现存有安全漏洞,可能导致骇客利用有问题App发送指令,就能成功控制车中的汽车门窗开启,轻松就能窃取车上的财物。整个犯案过程不到两分钟就完成。

随着车联网应用越来越普遍,现在,许多新出厂的汽车都主打连网功能,甚至俨然已经变成汽车的标准配备,但是反过来说,这也让汽车成为骇客锁定攻击的新目标,甚至谢起昌直接挑明的说:“不像以前,现在骇客想要入侵一辆汽车变得很容易。”

他观察到,为了因应车联网风潮,现在越来越多新出厂汽车的内部网络(CAN)都开始可以连上互联网,也让骇客有机可趁。谢起昌指出,目前骇入汽车主要有3种途径:遥控无钥匙门锁、IVI车载资讯娱乐系统(In-Vehicle Infotainment system)、以及汽车诊断,或推送软件更新常用的车载装置OBD-II(On-Board Diagnostic)。

他指出,这3种入侵管道都有个共通点,皆有连到车上CAN网络,同时也能与互联网相连,因此,就很容易成为有心人士攻击的目标。他形容,“这就如同骇客准备发动攻击前,通常会先入侵目标对象的内网,先在电脑上植入恶意程式取得控制权限后,再伺机来发动攻击。”

谢起昌更首次在大会中揭露他们最近在一款VW GOLF汽车配备的OBD装置上发现的安全漏洞,可能导致骇客从手机App发送指令,就能控制汽车各种功能。

谢起昌与另一名参与合作的资安研究员骆一奇两人,先是利用工程师在OBD装置上预留侦错用的后门,绕过其硬件保护机制,得以完整读出固件内容,再透过逆向工程分析手法,破解了原本固件更新时采用的安全保护机制,成功将原来的OBD固件,替换成他们修改过、有问题的固件,进而能利用OBD进到汽车内网,控制汽车功能。

在入侵手法上,他表示,骇客可以经由社交工程或其他方法,想办法让车主下载一个有问题的App,就能够让骇客暗中替车上OBD更新一个有问题的固件,进而控制OBD装置。

甚至谢起昌分析后,还发现这款OBD装置存在另一个更严重安全漏洞,在手机与OBD装置建立连线时,缺乏有效安全防护及验证机制,导致骇客甚至不需要替换车主的手机App,就能利用蓝牙强制连上OBD装置替换成有问题的固件,“等于是,骇客拿着自己手机,随便到路上找一台相同厂牌的汽车,只要靠近就可以更新车内的OBD固件,进而控制汽车。”他说。

为了向大家证明如今骇客想要入侵一辆汽车,可以有多简单。谢起昌还在现场实际用一段影片,向大家示范利用事先已安装在自己手机改过、有问题的App,成功将别人车内OBD固件更新,替换成有问题的固件版本,甚至可以利用App发送指令,打开汽车车窗,轻松就能窃取车上的财物。整个入侵过程不到两分钟。

谢起昌表示,他们发现这款汽车搭载的OBD装置存有安全漏洞后,也已经通报车厂处理,目前该车厂已经将这个漏洞修补。

现场展示一小段骇入汽车打开车窗的影片

 

 

相关文章

最新资讯

  • 加速5G普及助燃消费激情 北京移动推出iPhone1…
    2020-10-23 16:01
  • 中国短视频/直播声卡市场规模已达18.9亿元 森…
    2020-10-23 16:01
  • 超豪车主打造“九头蛇”Jesko 紫黑超跑狂轰 1600 匹
    2020-10-25 17:54
  • 腾讯 START 云游戏开启 macOS / Windows 平台…
    2020-10-25 16:55
  • 治愈用户选择困难症 国美真选产品正式上线
    2020-10-25 16:56

手机

  • 苹果警告称MagSafe充电器可能会在皮革保护壳上留下圆形印记
    2020-10-25 16:50
  • iPhone 12开启5G电池吃很大?智慧数据模式有何作用?苹果高层一次讲清楚
    2020-10-25 14:51
  • iPhone 12/Pro续航力网友实测 5奈米制程真能让缩水的电池维持续航力?
    2020-10-24 14:49
  • HUAWEI Mate 40系列全球发布:史上最强大的华为Mate
    2020-10-24 13:50
  • 被吐槽最丑却卖得最好 中国售出的iPhone 12有一半都选塑胶蓝
    2020-10-24 10:47

数码

  • iPhone 7基本定型:换触控式Home键
    2019-02-27 00:42
  • 三星Note 6惊人曝光:也有曲面屏!
    2019-02-27 00:42
  • 传惠普Elite X3 Win10智能手机六月推出
    2019-02-27 00:42
  • 雷军直播曝光小米Max:5月10日发布
    2019-02-27 00:42
  • realme Watch S 将于 11 月 2 日在海外正式发布
    2020-10-25 14:58

科技

  • 杀毒软件严重拖慢Windows10:微软WindowsDefender首当其冲
    2018-05-13 10:33
  • 三联折叠屏平板电脑?微软三屏折叠专利曝光
    2018-05-13 10:33
  • 新闻汇:锤子一加新品将至 谷歌IO大会干货满满
    2018-05-13 10:33
  • 国产手机中即将出现的3款佼佼者手机 这个月就会到来你期待吗?
    2018-05-13 10:33
  • 小米+360+锤子 它们的三款机型让OPPO、vivo无地自容
    2018-05-13 11:33