安全研究人员发现了起亚系统中的严重缺陷。它们可以在车主不知情的情况下远程控制汽车的几个关键功能......
安全研究人员发现一系列严重缺陷在起亚经销商门户中， 韩国汽车制造商。正如这一发现背后的研究人员之一 Sam Curry 所解释的那样，这些漏洞可能会导致“远程控制关键功能”数百万辆汽车。
例如，这些漏洞使得定位、跟踪和破解 2013 年之后生产的所有起亚汽车成为可能。要执行此操作，攻击者只需车牌。黑客甚至不需要通过起亚连接（Kia Connect），这是起亚提供的连接服务，它允许驾驶员通过移动应用程序远程控制和监控他们的车辆。
事实上，没有有效的 Kia Connect 订阅的汽车也会受到影响。攻击不采取不超过30秒。利用研究人员开发的工具，攻击者可以快速远程控制汽车、锁定或解锁、启动或停止、启动喇叭甚至定位车辆。这对于偷车贼……或其他恶意的人来说显然是一件好事。
“如果有人在交通中挡住你的路，你可以扫描他们的车牌，然后找出他们在哪里并闯入他们的车。”萨姆·库里 (Sam Curry) 解释道，他相信这些缺陷为追踪和间谍活动打开了大门。
门户网站中的缺陷
黑客可以渗透堆积如山的个人数据关于起亚车主的信息，例如姓名、电话号码、电子邮件地址和邮政地址。利用这些数据，黑客可以注册为受影响汽车的第二个车主。
为了实施攻击，研究人员首先在起亚经销商门户上创建了一个帐户。一旦进入系统，他们就会生成一个访问令牌。它是一种允许用户证明其身份的数字密钥。这提供了对 Kia 系统的 API（应用程序编程接口）的访问。最终，他们能够获得访问关键信息对车主和汽车的远程控制功能。
事实上，起亚的系统存在一个缺陷，允许任何攻击者生成访问令牌，从而允许假装是经销商。这样就足以被系统视为经销商来访问车主的敏感数据等更改访问权限司机。通过添加自己的电子邮件地址，他们可以输入车架号（唯一的车辆识别号）。该号码是每辆车特有的代码。
然后他们通过 API 获取控制车辆的可能性， 在真正的主人不知情的情况下。正如研究人员解释的那样，起亚不会通过通知来警告用户新的访问权限。接到研究人员的警报后，起亚很快就修复漏洞从其门户网站。因此，不再可能利用这些缺陷来远程控制汽车。此外，该韩国组织强调，这些漏洞从未被网络犯罪分子利用。
安全保障太少
这并不是第一次安全漏洞使某些品牌的汽车面临风险。正如我们的同事有线，黑客找到了一种方法远程控制2010 年的雪佛兰 Impala 或 2015 年的吉普车。这些黑客方法在被认为可靠和有效之前已经开发了多年。为了实现他们的目标，研究人员分析并解密了汽车远程信息处理系统中使用的复杂代码，并设计了专用的恶意软件。相反，媒体指出，破坏一个简单的网站就足以攻击起亚汽车。
此外，与起亚门户网站中的漏洞类似的漏洞此前也曾在讴歌、捷恩斯、本田、现代、英菲尼迪甚至丰田的系统中被发现。这些缺陷已得到修复。对于发现起亚虫子的研究人员之一 Neiko Rivera 来说，这是“显然车辆网络安全非常薄弱。”理论上，所有连接到互联网的汽车都容易受到网络犯罪分子的攻击。
来源 ： 萨姆·库里
