首页>安全资讯>10秒破解一辆特斯拉?网安人员再曝低级漏洞,软硬件成本仅1000块

10秒破解一辆特斯拉?网安人员再曝低级漏洞,软硬件成本仅1000块

特斯拉又被曝出安全隐患?

这次出问题的是“无钥匙进入系统”。

一位网安人员发现,通过中继攻击,只需10秒就能解锁一辆Model 3或Model Y。

而这种方法操作起来并不难,只需要在车主手机(密钥卡)及车辆附近架上设备,就能伪装成车主打开车门、开走车辆。

用到的技术软件和硬件加起来的成本,也就1000块左右,在网上都能买到。

目前,网安人员已经和特斯拉上报了这一漏洞。

还未发现有人利用此方法偷窃特斯拉的案例。

1000块钱就能入侵一辆特斯拉

这次破解主要针对无钥匙进入系统使用的蓝牙低功耗(BLE)。

这是蓝牙技术中的一种,特点是超低功耗、成本低、短距离使用。常用在物联网智能设备上,比如智能门锁、智能家电、防丢器、健康手环等。

和经典蓝牙相比,它更适合传输小体量的数据,比如把监测到的心率血压值传到手机上。

特斯拉无钥匙进入系统也是使用BLE,让手机或密钥卡与车辆通信。

利用这一原理,网安人员使用中继攻击就能完成破解。

该方法需要将一台解码感应设备靠近车主的手机或密钥卡,采集相应的数字密码传输给汽车旁的接收设备,这时车辆会误以为接收设备就是密钥,经过简单操作后车门就能被打开了。

10秒破解一辆特斯拉?网安人员再曝低级漏洞,软硬件成本仅1000块 第1张

网安人员介绍,这种攻击方法需要利用蓝牙开发套件代码,该套件在网上花50美元(人民币约338元)就能买到。

使用到的硬件设备花大约100美元(人民币约677元)也能从网上买到。

发现这一漏洞的网安人员目前已经向特斯拉披露了该问题,但工作人员表示,这不构成一个重大风险。

而且这种方法不只限于攻击特斯拉汽车。

2019年,英国一项调查发现,有超过200种车型易受到这种攻击。

就连家门上使用的智能锁,也能用此方法打开。

由此,不少厂家也都想出了应对策略。

比如福特刚刚申请了车辆密钥卡中继攻击预防系统的专利。

这是一种新的身份认证系统,可以判断出原始钥匙是否在车辆附近,从而阻断中继攻击。

10秒破解一辆特斯拉?网安人员再曝低级漏洞,软硬件成本仅1000块 第2张

现代汽车使用的办法是让无钥匙进入系统在设备静止时处于睡眠模式,从而阻止无线电信号的传输。

市面上也有卖可以切断信号的钥匙盒,不过这种方法就不适用于手机解锁了。

汽车厂商之外,还有一些厂家会使用双重身份认证系统,比如智能门锁公司Kwikset Corp. Kevo。

他们表示,使用iPhone开锁时可以用这一办法防止入侵,而且iPhone操作有30秒的时间限制,也能阻止黑客破解。

至于安卓用户,后续会有系统升级解决该问题。

One More Thing

特斯拉被曝出安全漏洞早已不是新鲜事了。

今年年初,一位19岁的德国男孩就利用程序漏洞,连续破解了25辆特斯拉汽车。可以远程控制门窗、灯光、音乐,甚至可以开走。

不过这一漏洞并不在特斯拉系统上,而是在第三方软件里。

此前,还有研究人员Model S的软件存在缺陷,可能导致黑客可以在汽车行进时关闭引擎系统。

2020年,Model X被曝出自动驾驶仪多次被黑客入侵。

还有比利时鲁汶大学的研究人员,演示过如何在90秒内“偷走”一辆Model X。

他们用树莓派DIY了一把车钥匙,利用特斯拉密钥存在的漏洞,在车主附近(15米内)就能“复制”原钥匙。不仅能打开车门,甚至还能启动车载系统。

显然,网联汽车的安全问题还有待进一步加强……

对此,你怎么看呢?

参考链接:

[1]https://www.bloomberg.com/news/articles/2022-05-16/hacker-shows-off-a-way-to-unlock-tesla-models-start-the-engine

[2]https://www.bloomberg.com/news/articles/2022-01-13/german-teen-stumbled-across-flaw-allowing-him-to-hijack-teslas

声明:本文相关资讯来自量子位,版权归作者所有,转载目的在于传递更多信息。如有侵权,请联系本站删除。

10秒破解一辆特斯拉?网安人员再曝低级漏洞,软硬件成本仅1000块 第3张

专题推荐

等保2.0时代,网络安全需要这样保护

关键信息基础设施保护,国际安全局势动荡,网络安全不容小觑

网络通信安全,需要https守护——SSL证书助力保障网站安全可信

最新资讯

工信部:推动建立工业互联网安全分类分级管理制度

电子签名助力企业数字化转型,怎么签署电子签名你知道吗?

网络钓鱼事件频发,网络安全须重视,如何防范网络钓鱼攻击?

CA/B论坛新规:9月1日起弃用SSL证书中的 OU字段

俄乌冲突凸显网络对抗加剧:“热战”之前网络战先行

标签推荐:数字证书申请 | 域名ssl证书 | https证书申请| 数字证书过期| 网站证书安装| 可靠的ssl证书| 小程序证书| ca认证电子签名| 微软代码签名| android数字签名| java代码签名| ssl证书部署| 时间戳技术| 电子签名技术| https证书配置| 谷歌浏览器证书| tomcat数字证书| openssl漏洞| ECC加密算法| 服务器SSL证书| 链路层劫持| 物联网安全技术| 火狐插件签名证书