还记得白帽黑客Samy Kamkar么？上个月，他曾经用一个叫做Ownstar的小工具打开了通用Onstar的手机应用RemoteLink的安全防线，成功获取到了车主的验证信息并远程控制了车辆的点火、解锁功能。当时他曾说过，通用并不是唯一一家面临这样威胁的汽车制造商。时刻不久，他就证明了他这句话的正确性。经过一周的努力，Ownstar的魔爪已经成功伸向了宝马、奔驰、克莱斯勒以及一家第三方汽车安全产品公司Viper。
同一个Ownstar，同一个BUG
这次被点名是宝马的Remote、奔驰的Mbrace、克莱斯勒的Uconnect以及Viper的Smartstart（均为iOS版本）。前面三个我们都知道，是与其车载系统配套的手机APP。最后一个可能大家相对来说比较不熟悉，Viper是国外一家做汽车安全与远程控制产品的公司。Viper的Smartstart由安装在车辆上的硬件与手机app组成，手机app会与硬件设备进行通讯，实现找车、定位、开锁、解锁、启动车辆等功能。目前已经适配市场上的大部分车型。
与Constar的RemoteLink一样，这四款APP同样在SSL证书验证上存在漏洞，只要手握证书就可以模仿APP与远程服务器进行通讯，并实现原APP提供的相应的功能，而且这些证书并非只是一次有效，其有效期与车主相同，也就是说拿到了这个证书，就相当于获得了车主的管理员权限。而Ownstar的攻击手段也与此前保持相同，搜索车主手机曾经连接过的Wi-Fi网络列表并将自己伪装成其中一个，诱导手机进行自动连接，然后就开始通讯证书的解码和搬运过程。
这四款APP各自的功能有所不同。当然，最基础的解锁/锁闭功能是每个都有的；宝马、奔驰和Viper的还允许对车辆进行定位和追踪；除了Viper之外，三家车企的APP都提供远程启动功能，不过也与通用的一样，如果不插上车钥匙，就只能启动而不能开走。其实Viper有两个产品，其中一款产品也提供远程启动功能，估计这次Kamkar分析的只是其中一款。
Kamkar表示，这五款APP的漏洞其实也是现在很多移动APP的通病：只要有验证证书就行了，不进行二次验证，也不管这个信息是通过什么网络与远程服务器进行通讯的。就像只要有钥匙就能够打开对应的门，但是门却并不知道打开它的是不是钥匙的真正拥有者。
“实际发生的可能性很小”
不过有意思的是，这四家的态度与之前通用完全不同。通用在Kamkar公布这一消息之后，就对APP进行更新，虽然并没有完全解决问题，但是后续仍然在与Kamkar共同研究如果解决。但是这四家之中，除了Viper并未评论而是表示会与Kamkar联系以了解详情之外，其他三家的回复惊人的相似。
奔驰的一位发言人给询问此事的连线杂志回复了邮件。邮件中表示，他们并不想“鼓励对这些很难在实际生活中发生的远程攻击进行过多猜测，以免引起人们不必要的担心”。
宝马发布了一则公告予以回应，内中提到，在SSL验证方式上，他们的APP与银行的APP满足的是同样的行业标准。同时也认为，这种攻击方式（需要额外硬件设备并安装到车辆上）在现实生活中很难被完全禁止，但也同样很难被实现，而且实际上也几乎不太可能发生。对于“很难被实现”这一说法，Kamkar以此前在2013款沃蓝达上的攻击进行了反驳。
至于克莱斯勒，其母公司FCA （Fiat Chrysler Automobiles）大概还处在被Charlie Miller公布了详细攻击方式的炸毛状态：“我们很重视这类安全问题，但是反对这种不负责任地将这种攻击方式进行公开，这只能增加犯罪，让心怀不轨的人更容易通过非法手段入侵汽车。”当然， 同样也严肃表示“就我们所知，目前还没有在现实中发生有人非法远程控制一辆FCA汽车的案例”。
总而言之，就是这类攻击不太可能发生，也没有实际发生过，咱们还是不要这么高调白白让消费者们想太多吧。
其实这一次，Kamkar只是针对四款APP进行了分析，并没有在车辆上进行实际的验证。同时他也提到暂时并不会公开这次攻击的细节，让这几家公司有时间对其漏洞进行修复。因为让车辆免于被Ownstar攻击的方法也很简单：对APP的漏洞对症下药打补丁就行了。但是与通用不同，这四家企业都并没有明确表示正在做这个事情。
所以，虽然说三家车企的说辞并没有错，但是也真实表现出了他们的回避心态。安全问题难道不应该是防患于未然么？能够在事情发生之前就发现问题并去解决，是件幸事。
在Onstar之后，Kamkar并非只是找了这四家的麻烦。这段时间他一共对11家汽车制造商的手机服务APP进行了分析，在其中发现这五家的存在漏洞，而SLL验证的问题，其实还只是一个很基础的安防手段而已。“我们现在的技术还只是划开了汽车安全的最表面一层，谁都不知道当研究更进一步的时候，会暴露出什么问题。”
所以，趁现在，有一个BUG修复一个BUG，才应该是面对这类问题的最正确态度吧。
联系客服
