入侵特斯拉的方式 +1,而这次……似乎仅需一部手机?

admin 2024年4月17日11:45:05评论5 views字数 1891阅读6分18秒阅读模式

来自公众号:CSDN程序人生

整理 | 郑丽媛

近日,Mysk 公司的合伙人 Tommy Mysk 和 Talal Haj Bakry 发布了一则视频,演示了一种黑客入侵特斯拉的潜在新方法:只要创建一个假的特斯拉 Wi-Fi 网络,就可以窃取车主的登录信息并设置新的手机密钥。

所以,“如果你拥有一辆特斯拉汽车,那么在特斯拉充电站登录 WiFi 网络时,可能要格外小心。”

1、需要买 1000+ 元的黑客工具?研究员:有笔记本电脑或手机即可

根据 Mysk 视频介绍,目前全球有超过 50000 个特斯拉充电站,为了方便车主在等待汽车充电期间打发时间,充电站通常都会提供一个名为 “Tesla Guest” 的 Wi-Fi 网络,登录即可使用。

基于此,Mysk 用一种 169 美元(约人民币 1212 元)的简易黑客工具 Flipper Zero,创建了一个属于自己的 “Tesla Guest” Wi-Fi 网络——同名混淆下,车主很容易连到这个假的“Tesla Guest”。

入侵特斯拉的方式 +1,而这次……似乎仅需一部手机?

当车主尝试连接该 Wi-Fi 网络时,就会自动跳转到一个由黑客创建的「盗版」特斯拉账户登录页面。只要车主在该页面输入登录凭证,黑客就能立即获取其用户名、密码和 2FA 验证码(Two-Factor Authentication,双因素身份认证)。

入侵特斯拉的方式 +1,而这次……似乎仅需一部手机?

Mysk 在视频中解释说,一旦黑客窃取了车主的特斯拉账户登录凭证,他们就可以用它来登录真正的 Tesla 应用,并在距离这辆车不远的地方添加新的手机密钥。而特斯拉可以用手机作为数字钥匙解锁汽车,无需实体钥匙卡。

虽然特斯拉 Model 3 车主手册上写着设置新手机密钥需要实体卡,但根据视频可发现,事实并非如此。也就是说,在被设置新的手机密钥时,特斯拉车主不会在应用中收到相关通知,汽车的触摸屏上也不会显示任何警告。

入侵特斯拉的方式 +1,而这次……似乎仅需一部手机?

于是,悄悄获得 Tesla 应用的访问权限后,黑客不仅能通过智能手机蓝牙解锁和控制汽车,还可以实时跟踪车辆的位置——所以,黑客甚至都不需要当场偷车:他们完全可以通过应用追踪汽车的位置,然后找准时机再去偷车。

更值得一提的是,Mysk 在视频中补充道,虽然他用 Flipper Zero 建立了自己的 Wi-Fi 网络,但实际上任何无线设备,如树莓派(Raspberry Pi)、笔记本电脑或手机,都可以完成这一步骤

当然,以上实验只是 Mysk 出于研究目的进行的,实验对象也是他自己的特斯拉汽车:通过这种方法经过多次测试后,甚至还用了从未与车辆配对过的重置 iPhone,Mysk 声称他每次都能成功入侵。

2、特斯拉:已调查,但认为问题不大

事实上,这并不是研究人员第一次发现入侵特斯拉的简单方法。

2022 年,当时年仅 19 岁的德国 IT 安全专家兼黑客 David Colombo 表示,他通过从  TeslaMate(一个开源记录工具,可跟踪特斯拉的能源消耗和定位历史等任何信息)中找到的安全漏洞,远程入侵了全球 10 个国家的 25 辆特斯拉汽车,不仅能禁用哨兵模式、打开门/窗、启动无钥匙驾驶,还可以查询确切位置、确认是否有司机在场等等。

同年晚些时候,一位 NCC 集团研究人员又发现了一个广泛存在的蓝牙低功耗(BLE)漏洞,可能被用来解锁包括特斯拉在内的具备汽车无钥匙进入功能的汽车、智能门锁、手机和笔记本电脑等设备。当时,NCC 集团首席安全顾问兼研究员 Sultan Qasim Khan 说:“只需 10 秒,这些漏洞可以无休止地重复利用。”

相较于以上两种方式,此次 Mysk 发现的这种方法并不是常规意义上的“入侵”,而是利用社会工程学,欺骗用户交出他们的信息。但 Mysk 认为,这种一旦泄露电子邮件和密码,就等同于可能失去特斯拉汽车的隐患,仍需引起高度重视:"如今,网络钓鱼和社交工程攻击非常普遍,尤其是随着 AI 技术的兴起,负责任的公司必须考虑到此类风险。"

为此,Mysk 向特斯拉报告了这个问题,而该公司回应说已进行了调查,但认为这并不是一个大问题。对此,Mysk 的建议是,“如果特斯拉强制实行物理钥匙卡认证,并在创建新手机密钥时通知车主,那这个问题就可以得到解决”。

参考链接:

https://www.businessinsider.com/researchers-hack-steal-tesla-remote-key-wifi-vulnerability-2024-3

https://www.businessinsider.com/teen-security-researcher-describes-how-he-hacked-into-25-teslas-2022-1

---END---

原文始发于微信公众号(黑客技术与网络安全):入侵特斯拉的方式 +1,而这次……似乎仅需一部手机?

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年4月17日11:45:05
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   入侵特斯拉的方式 +1,而这次……似乎仅需一部手机?https://cn-sec.com/archives/2666142.html

发表评论

匿名网友 填写信息