挪威app安全公司Promon的安全專家成功控制了一臺特斯拉汽車，完全控制，包括找出車輛停放地點(diǎn)、打開車門和無鑰匙啟動。特斯拉智能手機(jī)app中安全的缺失為各種形式的漏洞利用敞開了大門。Promon的網(wǎng)絡(luò)攻擊，在之前9月底科恩(KEEN)安全實(shí)驗(yàn)室演示的黑客攻擊的基礎(chǔ)上，擴(kuò)展了更多的功能和實(shí)用性。

Promon創(chuàng)始人兼CTO湯姆·萊斯莫斯·漢森稱：“Keen安全實(shí)驗(yàn)室最近的研究，利用了特斯拉汽車CAN總線系統(tǒng)中的漏洞，讓他們可以控制該車部分功能。我們的測試是將特斯拉app作為切入點(diǎn)的首次嘗試，比他們的更進(jìn)一步，暴露出被黑app能直接導(dǎo)致車輛被盜。”

該黑客攻擊生效的方式之一，是在公共特斯拉充電樁之類的地方設(shè)置WiFi熱點(diǎn)。只要特斯拉用戶登錄并訪問網(wǎng)頁，針對車主的廣告就會浮現(xiàn)，用免費(fèi)午餐或免費(fèi)咖啡之類的誘惑車主去點(diǎn)擊。一旦點(diǎn)擊該鏈接，下載了隨附的app，黑客就能訪問用戶的手機(jī)，攻擊特斯拉app，獲取到用戶名和口令。

Promon列出了特斯拉app中存在的各種安全缺陷。

該攻擊不特定于特斯拉一家，其通用形式可被用于任意app。然而，特斯拉app沒有提供任何形式的防護(hù)措施來讓攻擊者耗費(fèi)時(shí)間精力，幾乎是一勾就走。

其中凸顯的一個突出問題是：OAuth授權(quán)令牌竟然是明文存儲的——明顯沒有任何加密措施來保護(hù)授權(quán)令牌。僅僅是獲取到該小片數(shù)據(jù)這一條，就能得知車輛停放位置，追蹤并解鎖車輛。

把車開走還需要用戶名和口令，但因該app對自身已被修改成帶發(fā)送憑證到服務(wù)器的惡意軟件類行為毫無所覺，攻擊者獲取用戶名和口令也是輕而易舉的事。

Promon表示：“如果特斯拉遵循最佳安全實(shí)踐(比如像開放web應(yīng)用安全項(xiàng)目建議的那樣)，包括在app內(nèi)部應(yīng)用自防護(hù)功能，那就需要更高的技術(shù)，投入更多的精力才能實(shí)施攻擊。”Promon稱與特斯拉進(jìn)行了密切磋商以解決這些app安全問題。

特斯拉發(fā)言人稱，“特斯拉從未收到過任何因app被黑而導(dǎo)致車輛被盜的報(bào)告”，并提供了以下聲明。

該報(bào)告和視頻并未證明任何特斯拉專屬漏洞。該演示僅表明了絕大多數(shù)人直觀感受到的事實(shí)——如果手機(jī)被黑，手機(jī)上的應(yīng)用可能不再安全。研究人員展示了已知社會工程技術(shù)可被用于引誘人們在自己的安卓手機(jī)上安裝惡意軟件，侵入他們整個手機(jī)及機(jī)上所有app，當(dāng)然，里面就包括了特斯拉app。特斯拉建議用戶使用最新版本的手機(jī)操作系統(tǒng)。

app安全公司Veracode首席解決方案架構(gòu)師約翰·史密斯評論道：“特斯拉剛剛修復(fù)了可致車輛被遠(yuǎn)程利用的漏洞，現(xiàn)在又曝出可致車輛被盜的新安全缺陷，凸顯出汽車制造商們因在車中引入了聯(lián)網(wǎng)服務(wù)而面臨諸多安全風(fēng)險(xiǎn)和挑戰(zhàn)。不安全的軟件是目前汽車行業(yè)所面臨的最嚴(yán)重問題之一。IDC最近的報(bào)告指出：車輛安全系統(tǒng)與黑客之間可能存在3年的時(shí)間差。

今天的聯(lián)網(wǎng)汽車?yán)镞\(yùn)行著超過2億行代碼，更不用說與車輛相連的手機(jī)app了。汽車廠商將安全置于開發(fā)策略的中心位置，而不是事后后悔，這是十分必要的。