安全研究人員發現了起亞系統中的嚴重缺陷。它們可以在車主不知情的情況下遠端控制汽車的幾個關鍵功能...
安全研究人員發現一連串嚴重缺陷在起亞經銷商入口網站中， 韓國汽車製造商。正如這項發現背後的研究人員之一 Sam Curry 所解釋的那樣，這些漏洞可能會導致“遠端控制關鍵功能”數百萬輛汽車。
例如，這些漏洞使得定位、追蹤和破解 2013 年之後生產的所有起亞汽車成為可能。車牌。駭客甚至不需要透過起亞連接（Kia Connect），這是起亞提供的連接服務，它允許駕駛員透過行動應用程式遠端控制和監控他們的車輛。
事實上，沒有有效的 Kia Connect 訂閱的汽車也會受到影響。攻擊不採取不超過30秒。利用研究人員開發的工具，攻擊者可以快速遠端控制汽車、鎖定或解鎖、啟動或停止汽車、啟動喇叭甚至定位車輛。這對於偷車賊……或其他惡意的人來說顯然是一件好事。
“如果有人在交通中擋住你的路，你可以掃描他們的車牌，然後找出他們在哪裡並闖入他們的車。”薩姆·庫裡 (Sam Curry) 解釋道，他相信這些缺陷為跟踪和間諜活動打開了大門。
入口網站中的缺陷
駭客可以滲透堆積如山的個人數據有關起亞車主的信息，例如姓名、電話號碼、電子郵件地址和郵寄地址。利用這些數據，駭客可以註冊為受影響汽車的第二個車主。
為了實施攻擊，研究人員首先在起亞經銷商入口網站上建立了一個帳戶。一旦進入系統，他們就會產生一個訪問令牌。它是一種允許用戶證明其身份的數位密鑰。這提供了對 Kia 系統的 API（應用程式介面）的存取。最終，他們能夠獲得存取關鍵訊息對車主和汽車的遠端控制功能。
事實上，起亞的系統存在一個缺陷，允許任何攻擊者產生存取令牌，從而允許假裝是經銷商。這樣就足以被系統視為經銷商來存取車主的敏感數據等更改存取權限司機。透過新增自己的電子郵件地址，他們可以輸入車架號（唯一的車輛識別號碼）。該號碼是每輛車特有的代碼。
然後他們透過 API 獲取控制車輛的可能性， 在真正的主人不知情的情況下。正如研究人員所解釋的那樣，起亞不會透過通知來警告用戶新的存取權限。接到研究人員的警報後，起亞很快就修復漏洞從其門戶網站。因此，不再可能利用這些缺陷來遠端控制汽車。此外，該韓國組織強調，這些漏洞從未被網路犯罪分子利用。
安全保障太少
這並不是第一次安全漏洞使某些品牌的汽車面臨風險。正如我們的同事有線，駭客找到了一種方法遠端控制2010 年的雪佛蘭 Impala 或 2015 年的吉普車。為了實現他們的目標，研究人員分析並解密了汽車遠端資訊處理系統中使用的複雜程式碼，並設計了專用的惡意軟體。相反，媒體指出，破壞一個簡單的網站就足以攻擊起亞汽車。
此外，與起亞門戶網站中的漏洞類似的漏洞先前也曾在謳歌、捷恩斯、本田、現代、英菲尼迪甚至豐田的系統中被發現。這些缺陷已修復。對於發現起亞蟲的研究人員之一 Neiko Rivera 來說，這是“顯然車輛網路安全非常薄弱。”理論上，所有連接到網路的汽車都容易受到網路犯罪分子的攻擊。
來源 ： 薩姆·庫裡
