搜索

[2650] 2016-02-25_日产LEAF汽车API遭泄露黑客可远程控制

文档创建者：s7ckTeam
浏览次数：119
最后更新：2025-01-16
2016-02-25_日产LEAF汽车API遭泄露黑客可远程控制 日 产 L E A F 汽 车 A P I 遭 泄 露   黑 客 可 远 程 控 制 原 创   E 安 全   E 安 全   2 0 1 6 - 0 2 - 2 5 作 为 日 本 知 名 汽 车 厂 商 旗 下 的 电 动 车 系 列 ， 日 产 L E A F 采 用 非 安 全 A P I 帮 助 用 户 查 询 并 控 制 其 各 项 车 载 功 能 — — 然 而 该 A P I 并 不 具 备 验 证 设 定 ， 意 味 着 任 何 人 都 能 够 通 过 互 联 网 连 接 与 其 加 以 访 问 。
日 产 L E A F 这 一 缩 写 源 自 “ 领 先 的 环 保 型 经 济 家 用 轿 车 （ L e a d i n g   E n v i r o n m e n t a l l y -   f r i e n d l y   A f f o r d a b l e   F a m i l y   c a r ） ” ， 同 时 也 是 目 前 日 产 旗 下 最 受 欢 迎 的 电 动 车 型 之 一 。 L E A F 汽 车 提 供 一 款 可 选 移 动 应 用 ， 允 许 车 主 对 其 受 限 功 能 集 进 行 确 认 及 控 制 。 来 自 不 同 国 家 的 用 户 发 现 多 个 未 受 保 护 的 来 自 不 同 国 家 的 用 户 发 现 多 个 未 受 保 护 的 A P I 过 去 几 个 月 以 来 ， 互 不 相 关 的 用 户 们 各 自 独 立 发 现 了 日 产 L E A F 所 使 用 的 A P I 端 点 。 用 户 移 动 应 用 可 借 此 发 送 各 类 命 令 ， 然 而 日 产 及 其 负 责 服 务 器 管 理 的 合 作 伙 伴 却 并 未 对 这 些 命 令 加 以 保 护 。 安 全 专 家 安 全 专 家 T r o y   H u n t 近 日 发 现 近 日 发 现 L e a f 配 套 应 用 程 序 配 套 应 用 程 序 N i s s a n C o n n e c t 存 在 系 统 存 在 系 统 B U G ， 允 许 其 他 任 何 人 访 问 驾 驶 员 的 行 车 历 史 ， 允 许 其 他 任 何 人 访 问 驾 驶 员 的 行 车 历 史 轨 迹 并 扰 乱 车 辆 的 供 暖 和 空 调 系 统 ， 而 且 在 攻 击 过 程 中 黑 客 并 不 需 要 靠 近 车 辆 ， 只 需 要 知 道 位 于 车 辆 前 挡 风 玻 璃 的 轨 迹 并 扰 乱 车 辆 的 供 暖 和 空 调 系 统 ， 而 且 在 攻 击 过 程 中 黑 客 并 不 需 要 靠 近 车 辆 ， 只 需 要 知 道 位 于 车 辆 前 挡 风 玻 璃 的 车 辆 识 别 号 （ 简 称 车 辆 识 别 号 （ 简 称 V I N ） 就 能 发 起 攻 击 。 ） 就 能 发 起 攻 击 。 多 位 用 户 发 现 自 己 能 够 查 看 L E A F 车 辆 的 电 池 状 态 、 命 令 其 开 始 或 者 停 止 充 电 、 开 启 / 关 闭 空 调 系 统 甚 至 检 索 与 之 前 行 程 相 关 的 信 息 。 上 述 各 项 请 求 只 需 通 过 几 项 设 定 即 可 实 现 ， 攻 击 者 可 以 猜 测 或 者 通 过 互 联 网 获 取 设 定 方 法 — — 甚 至 包 括 本 应 属 于 私 有 信 息 的 V I N 。 不 过 日 产 公 司 还 是 做 了 件 好 事 ， 即 不 允 许 通 过 A P I 启 动 / 停 止 车 辆 ， 或 者 开 启 / 锁 定 车 门 。 除 此 之 外 ， 该 A P I 亦 不 会 泄 露 车 主 的 个 人 身 份 信 息 — — 而 仅 仅 提 供 部 分 车 辆 设 定 数 据 。 日 产 公 司 已 经 意 识 到 这 一 问 题 ， 但 目 前 尚 未 做 出 任 何 针 对 性 声 明 。 第 一 位 发 现 上 述 问 题 的 用 户 来 自 某 加 拿 大 汽 车 论 坛 。 该 问 题 随 后 又 被 一 位 挪 威 安 全 研 究 员 发 现 ， 并 报 告 给 了 H a v e   I   B e e n P w n e d ？ 网 站 持 有 者 T r o y   H u n t — — 当 时 他 正 在 国 内 参 加 安 全 会 议 。 在 确 认 该 A P I 确 实 缺 少 用 户 身 份 验 证 机 制 后 ， H u n t 先 生 于 今 年 1 月 2 3 日 同 日 产 方 面 取 得 联 系 ， 并 向 后 者 报 告 了 相 关 问 题 。 截 至 本 文 发 稿 之 时 ， 日 产 L E A F   A P I 仍 然 直 接 暴 露 于 互 联 网 之 下 ， 不 过 H u n t 先 生 表 示 用 户 可 以 通 过 对 应 的 门 户 网 站 关 闭 车 辆 的 远 程 管 理 功 能 。 该 门 户 网 站 的 具 体 U R L 取 决 于 用 户 所 在 国 家 及 地 区 。 安 全 研 究 员 视 频 演 示 ：
安 全 研 究 员 分 析 原 文 地 址 ： h t t p : / / w w w . t r o y h u n t . c o m / 2 0 1 6 / 0 2 / c o n t r o l l i n g - v e h i c l e - f e a t u r e s - o f - n i s s a n . h t m l E 安 全 / 文   转 载 请 注 明 E 安 全   新 朋 友 请 关 注 「 E 安 全 」 微 信 搜 公 众 号 E A Q a p p
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理