測(cè)試人員會(huì)研究汽車(chē)警報(bào)的安全性

A：“你的意思是你的無(wú)鑰匙進(jìn)入車(chē)雖然發(fā)出了警報(bào)但仍然被盜了?” B：“不，因?yàn)槲业木瘓?bào)，我的車(chē)被偷了。” 這有意義嗎?如果您在調(diào)查第三方汽車(chē)警報(bào)時(shí)，會(huì)了解英國(guó)安全公司的調(diào)查結(jié)果。

簡(jiǎn)而言之，在品牌熟悉的汽車(chē)中出現(xiàn)的第三方警報(bào)中發(fā)現(xiàn)了安全漏洞。是的，他們正在討論那些可以防止汽車(chē)被劫持的警報(bào)。他們可以選擇讓人從智能手機(jī)應(yīng)用程序啟動(dòng)汽車(chē)。你在想我們?cè)谙胧裁磫?智能手機(jī)app?使用不安全的警報(bào)應(yīng)用程序，研究人員能夠(1)激活汽車(chē)警報(bào)，(2)解鎖車(chē)門(mén)和(3)啟動(dòng)發(fā)動(dòng)機(jī)。

安全研究人員利用可以讓門(mén)打開(kāi)的品牌(一個(gè)合適的諷刺)來(lái)奪取控制權(quán)。他們看到了兩種報(bào)警產(chǎn)品的一些弱點(diǎn)。其中包括汽車(chē)可以實(shí)時(shí)地定位，汽車(chē)類型可以識(shí)別，可以遠(yuǎn)程啟動(dòng)發(fā)動(dòng)機(jī)，在某些情況下發(fā)動(dòng)機(jī)可能被殺死的調(diào)查結(jié)果。

該研究是由英國(guó)Pen Test Partners的BBC Click技術(shù)計(jì)劃開(kāi)展的，旨在通過(guò)滲透測(cè)試和安全服務(wù)發(fā)現(xiàn)軟件缺陷。他們斥資5000美元購(gòu)買(mǎi)并安裝汽車(chē)智能警報(bào)器。

BBC新聞的一段視頻顯示，兩名黑客正在等待一輛被選中的被困汽車(chē)上行動(dòng)。黑車(chē)的受害者不知道(重新制定)即將發(fā)生的事情。汽車(chē)恐慌警報(bào)響起，導(dǎo)致司機(jī)停車(chē)。然后，在受害者車(chē)后面的一輛小型車(chē)中，襲擊者下了車(chē)并控制了門(mén)鎖。

“下車(chē)。把鑰匙給我。”

該團(tuán)隊(duì)聯(lián)系了相關(guān)供應(yīng)商，并給他們7天時(shí)間來(lái)刪除或修復(fù)易受攻擊的API。幸運(yùn)的是，這些公司確實(shí)對(duì)曝光做出了回應(yīng)，他們已經(jīng)升級(jí)了安全性以消除這些缺陷。

其中一家公司的英國(guó)代表在大約48小時(shí)內(nèi)做出回應(yīng)，讓其他辦公室迅速采取行動(dòng)。修復(fù)是一夜之間; 另一家公司也有一個(gè)修復(fù)。

Pen Test Partners評(píng)估了供應(yīng)商的反應(yīng)，并表示“兩家供應(yīng)商的反應(yīng)實(shí)際上都非常好。他們承認(rèn)，回應(yīng)，立即采取行動(dòng)并對(duì)其進(jìn)行驗(yàn)證。這對(duì)所有物聯(lián)網(wǎng)供應(yīng)商來(lái)說(shuō)都是一個(gè)教訓(xùn)!”

“由于更多的東西是網(wǎng)絡(luò)可控的，安全性變得越來(lái)越重要，” Hackaday說(shuō)。至于BBC讀者的回應(yīng)，似乎有一個(gè)擁有汽車(chē)的細(xì)分市場(chǎng)并沒(méi)有對(duì)技術(shù)的進(jìn)步留下深刻的印象。他們不僅不為所動(dòng)，而且對(duì)依賴影響汽車(chē)功能的技術(shù)的增加感到遺憾。

一條評(píng)論是“任何軟件中都沒(méi)有'智能'......它只不過(guò)是統(tǒng)計(jì)數(shù)據(jù)/概率。換句話說(shuō)，在做出錯(cuò)誤選擇之前，這是一個(gè)時(shí)間問(wèn)題。”

另一條評(píng)論說(shuō)，他希望自己可以購(gòu)買(mǎi)汽車(chē)“沒(méi)有全部自動(dòng)化。我不希望電腦為我打開(kāi)雨刷，或者當(dāng)我轉(zhuǎn)彎時(shí)改變車(chē)頭燈的角度，或者當(dāng)我改變車(chē)道時(shí)向我發(fā)出嗶嗶聲。危險(xiǎn)分心。我在開(kāi)車(chē);我應(yīng)該控制汽車(chē)。“

還有一個(gè)：“如果它的[原文如此]連接到互聯(lián)網(wǎng)，它的黑客，無(wú)論是汽車(chē)還是核電站。我在一家涉及安全關(guān)鍵運(yùn)輸基礎(chǔ)設(shè)施的公司工作，我們有一個(gè)嚴(yán)格的規(guī)則，即操作設(shè)備永遠(yuǎn)不會(huì)無(wú)論是通過(guò)VPN還是其他安全技術(shù)連接到互聯(lián)網(wǎng)。“

其他評(píng)論表明，重點(diǎn)不應(yīng)該放在軟件的脆弱性上，而應(yīng)該放在產(chǎn)品發(fā)布之前需要進(jìn)行徹底的測(cè)試和調(diào)試。

一篇評(píng)論著眼于這種情況下公司迅速做出反應(yīng)的方式。安全漏洞是數(shù)字生活的一個(gè)事實(shí)，所以只需處理它。關(guān)鍵焦點(diǎn)是“脆弱性披露和有效補(bǔ)救”，這是“信任的關(guān)鍵衡量標(biāo)準(zhǔn)”。該評(píng)論補(bǔ)充說(shuō)，應(yīng)該在7天內(nèi)做出更多回應(yīng)，而不是“害怕!”。