汽车防盗系统不够安全？黑客恐远程挟持

专精于渗透测试的网络安全业者Pen Test Partners在研究多款高阶汽车防盗系统之后，发现其中的两款：Pandora与Viper含有「不安全的对象参考」（Insecure Direct Object Reference，IDORs）漏洞，可被远程挟持，允许黑客直接盗走车辆或是让车辆在行进中停止，且由于它们可与汽车上的控制器局域网络（Controller Area Network，CAN）互动，因而允许黑客自远程调整特定车款的巡航定速，涵盖Mazda 6、Range Rover Sport、Kia Quoris、Toyota Fortuner、Mitsubishi Pajero、Toyota Prius 50及RAV4等。

Pandora与Viper皆属于高阶的汽车防盗系统，标榜能消弭免钥匙汽车的钥匙中继攻击（Key Relay Attack），然而，研究人员却发现，这些防盗系统甚至让汽车更不安全，隐含在其中的安全漏洞将允许黑客取得汽车位置，得知汽车型号与车主信息，关闭警报器，解锁汽车，开启或关闭防盗系统，允许黑客拦停正在行驶中的汽车，甚至是直接盗走汽车。

乐彩公益爱心研究人员指出，通常只有高阶的汽车才会添购汽车防盗系统，估计相关漏洞将让价值1,500亿美元的汽车曝露于安全风险中。

由于当中的Pandora曾经在官网上吹嘘该公司的产品牢不可破（Unhackable），更提高了研究人员的斗志，Pen Test Partners形容，这就如同是在斗牛场上以挥舞的红布挑衅公牛一般。

但令人惊讶的是，Pandora及Viper汽车防盗系统上的API漏洞都是属于相对直觉的IDOR漏洞，只要变更参数就能修改用户账号的电子邮件地址，请求密码重设，进而取得账号的控制权，这样一来就能追踪汽车位置、拦停汽车或解锁车门。

其中，Viper防盗系统是由第三方业者CalAmp提供后端架构，在变更使用者的请求上存在IDOR漏洞，Pandora防盗系统的IDOR漏洞则是位于POST请求中，皆允许黑客取得账号控制权。

此外，不论是Pandora或Viper都能传送客制化的CAN讯息，假设警报系统无法辨识车款或提供自动支持，即允许用户手动撰写警报程序，在分析韧体、操作手册与更新日志之后，显示特定车种将允许Pandora的警报API自远程调整7种车款的巡航定速速度。

有鉴于这些都是容易被骇入、也相对容易修补的严重漏洞，因此Pen Test Partners只给了业者7天的时间进行修补，而Pandora与Viper也都在限期内修补完成。

转载于:https://my.oschina.net/u/3906919/blog/3021495