X 品牌车主小心：全球车辆可被远程解锁
Unlocking any car from X brand in most of the world
我和 Sam Curry 联手调查了一家全球知名汽车制造商的联网系统。在分析其移动端应用时，我们发现了一个名为 admintool 的管理工具，其 JavaScript 代码中竟然硬编码了 OpenIDM 的后台管理员凭证。尽管厂商部署了 WAF 试图保护敏感接口，但我们利用路径遍历技巧成功绕过了防护。更令人担忧的是，该系统存在配置错误，允许攻击者在获取凭证后完全跳过 MFA 验证。这意味着，只要知道车牌号，就能通过 VIN 反查用户账号，进而重置密码并远程控制任何一辆联网汽车。
一旦你拿到了那个认证令牌，游戏基本就结束了，你可以完全控制用户的车辆，包括远程解锁、鸣笛甚至启动引擎。
HN 评论区
321- ryukoposting
背景里的蓝色车是改款后的第五代 RAV4。从后视镜和头灯的形状就能看出来。Toyota/Lexus 正符合文中提到的“两个品牌”。
白色的那辆显然更难辨认，但后视镜的形状看起来一样，而且你能看到仪表台顶部有一个倒角设计，跟这张图非常像：https://media.ed.edmunds-media.com/toyota/rav4/2022/oem/2022...
对于这类事情，发布演示视频可能不是个好主意。我敢肯定，某些变态光听锁的声音就能破解出来。
- everdrive
一开始就有消费者需求想要用手机解锁汽车，这听起来荒谬至极。技术圈的人只会抱怨应该更容易把网络服务的安全工作做得更好。但这所有的基础设施和复杂性到底有什么意义？无非是为了让你能懒那么一点点。这类技术既是安全漏洞，也是对人力资源和智慧的浪费。
- avodonosov
这些始终联网的汽车很快就会变得和今天的智能手机一样糟糕，甚至更糟——我们并不真正拥有和控制它们，而且时刻被追踪。
你需要一个带有晦涩服务条款的在线账户才能用车，无法自行维修，你的数据会被出售，等等。
太邪恶了。
- winny314
把信息捂得严严实实只会助长更多的“安全表演”，比如让人误以为锁真的能阻止熟练的攻击者。它们根本不行。它们充其量只能吓退那些随手一试的普通攻击者。
- maistho
我对大多数汽车的安全性如此之差总是感到困惑。我只花了几秒钟思考，难道在本地设置一个“应用 - 车辆”配对步骤不是很简单吗？生成一个私钥存在应用里，公钥存在车里，所有指令都必须用私钥签名才能被接受？制造商的服务器本来就不该仅仅基于用户账户就被允许向车辆发送指令。
- memoriesofsmell
底部那个后续/链接文章也值得一读，因为它涉及了“全球”那部分。Sam 和 Shubs 的文章确实都读起来很棒
- intuitionist
“任何汽车”这个说法可能有点太绝对了。如果是 Toyota/Lexus，我想说我不认为我的 2009 款 Camry 有这个问题。我也相当确定我哥哥那辆第四代 Hilux 没有。
- NooneAtAll5
我认为汽车制造商在让汽车连接互联网的那一刻起，安全防线就失守了。
- devy
漏洞在于传统汽车制造商。
大多数较新的 EV 品牌（至少在北美，例如 Tesla、Rivian、Lucid）对汽车遥测安全非常敏感。据我所知，它们是由内部软件工程师构建的，运营方式更像软件公司，而不是传统汽车制造商，后者的软件并非自研，而是由第三方 OEM 汽车供应商提供，这些供应商在发布产品时可能并没有安全意识。总体而言，汽车行业在安全工程方面缺乏远见，即便在早期以机械和局部系统为主、尚未转向 IoT 和电子系统时，他们也没做过这方面的工作。
所以作者夸大了他们的工作能影响美国任何汽车的声称。
所有 Tesla API 调用都使用最新的 TLS 1.3 配合 X.509 进行密钥卡访问。他们的软件更新非常频繁。而且他们没有使用他们演示中破解的那个 *-telemetry.com 域名。
- LazyGooze
Toyota 及其豪华品牌 Lexus 使用 ForgeRock Identity Platform（具体是 OpenAM 和 OpenIDM）来管理客户身份，并为联网汽车和遥测服务提供后端身份验证。