Chỉ trong hai ngày tại Pwn2Own 2024 ở Tokyo, các nhà nghiên cứu đã xâm phạm hàng loạt bộ sạc xe điện, hệ điều hành, linh kiện Tesla và phát hiện ra hàng chục lỗ hổng zero-day trong quá trình thực hiện.
Pwn2Own năm ngoái ở Vancouver đã sử dụng ô tô làm bề mặt tấn công, thêm Tesla vào danh sách kết hợp cùng với các cuộc thi để hack nhiều máy chủ truyền thống, ứng dụng doanh nghiệp, trình duyệt và những thứ tương tự. Nhưng sự kiện năm nay đã tập trung hoàn toàn vào kim loại và kết quả thật đáng ngạc nhiên. Vào ngày đầu tiên riêng, các thí sinh đã thể hiện 24 ngày số 722,500 duy nhất, kiếm được XNUMX đô la tiền thắng. Ngày thứ hai đã chứng kiến 20 chiến công mới, và ngày thứ ba cuối cùng hứa hẹn còn có thêm XNUMX chiến công nữa.
Dustin Childs, người đứng đầu bộ phận nhận thức về mối đe dọa của Sáng kiến Zero Day (ZDI) của Trend Micro, nhóm tổ chức sự kiện, cho biết: “Các phương tiện đang ngày càng trở thành một hệ thống phức tạp”. “Trước đây chưa có nhiều nghiên cứu về lĩnh vực này và dựa trên kinh nghiệm của chúng tôi, việc thiếu sự giám sát từ bên ngoài có nghĩa là có thể có rất nhiều vấn đề về bảo mật.”
Hack vào Teslas
Sự kiện gây chú ý tại Pwn2Own năm ngoái là khi một đội từ Synacktiv có trụ sở tại Toulouse đã giành được vi phạm Tesla Model 3 trong vòng chưa đầy hai phút.
Năm nay, Synacktiv đã quay trở lại với việc khai thác các trạm sạc EV thông minh Ubiquiti Connect và JuiceBox 40, ChargePoint Home Flex (một công cụ sạc EV tại nhà) và Automotive Grade Linux. Tuy nhiên, thành tựu đáng chú ý nhất của nó là chuỗi khai thác ba lỗi đối với modem của Tesla và chuỗi hai lỗi đối với hệ thống thông tin giải trí của nó, mỗi lỗi kiếm được giải thưởng tiền mặt 100,000 USD.
Theo quy định của sự kiện, các nhà cung cấp có 90 ngày để khắc phục các lỗi bảo mật trước khi chúng được phép tiết lộ công khai. Nhưng trong một email từ Tokyo, các hacker Synacktiv đã cung cấp cho Dark Reading một cái nhìn tổng quan cấp cao về các cuộc tấn công trông như thế nào:
“Cuộc tấn công được gửi từ ăng-ten GSM mô phỏng một BTS (nhà khai thác viễn thông lừa đảo) giả mạo. Lỗ hổng đầu tiên cung cấp quyền truy cập root vào thẻ modem của Tesla,” họ viết. “Cuộc tấn công thứ hai chuyển từ modem sang hệ thống thông tin giải trí. Và bỏ qua các tính năng bảo mật trong quy trình này, có thể truy cập vào nhiều thiết bị trên xe như đèn pha, cần gạt nước kính chắn gió hoặc để mở cốp và cửa.”
Với Teslas, Giám đốc điều hành Synacktiv Renaud Feil cho biết, “đó là một đồng xu hai mặt. Đó là một chiếc xe có bề mặt tấn công khổng lồ - mọi thứ đều là CNTT trong một chiếc Tesla. Nhưng họ cũng có một đội ngũ an ninh mạnh và họ cố gắng chú ý nhiều đến vấn đề an ninh. Vì vậy, đây là một mục tiêu lớn nhưng cũng là một mục tiêu khó khăn.”
Ô tô hiện đại ở ngã tư
Feil nói: “Bề mặt tấn công của ô tô ngày càng phát triển và ngày càng thú vị hơn vì các nhà sản xuất đang bổ sung thêm kết nối không dây và các ứng dụng cho phép bạn truy cập ô tô từ xa qua Internet”.
Ken Tindell, giám đốc công nghệ của Canis Automotive Labs, đưa ra quan điểm. “Điều thực sự thú vị là việc tái sử dụng quá nhiều điện toán phổ thông trên ô tô lại kéo theo tất cả các vấn đề bảo mật của điện toán phổ thông vào ô tô.”
Ông giải thích: “Ô tô đã có hai thế giới này trong ít nhất 20 năm. Đầu tiên, “bạn có máy tính chính thống (được thực hiện không tốt lắm) trong hệ thống thông tin giải trí. Chúng tôi đã có tính năng này trên ô tô được một thời gian và nó là nguồn gốc của vô số lỗ hổng bảo mật — trong Bluetooth, Wi-Fi, v.v. Và sau đó bạn có thiết bị điện tử điều khiển, và cả hai đều là những lĩnh vực rất riêng biệt. Tất nhiên, bạn sẽ gặp vấn đề khi thông tin giải trí đó bắt đầu chạm vào xe buýt CAN đó là nói về phanh, đèn pha và những thứ tương tự.”
Đó là một câu hỏi hóc búa quen thuộc với những người thực hành OT: quản lý thiết bị CNTT cùng với máy móc quan trọng về an toàn, theo cách mà cả hai có thể làm việc cùng nhau mà không gây phiền toái từ cái trước sang cái sau. Và tất nhiên, vòng đời sản phẩm khác nhau giữa công nghệ CNTT và OT - ô tô có tuổi thọ lâu hơn nhiều so với máy tính xách tay - điều này chỉ khiến khoảng cách trở nên ít hiệu quả hơn.
An ninh ô tô có thể trông như thế nào
Để hình dung được nơi an ninh mạng ô tô đang diễn ra, người ta có thể bắt đầu từ thông tin giải trí - bề mặt tấn công lớn nhất, rõ ràng nhất trên ô tô ngày nay. Ở đây đã có hai trường phái tư tưởng phát triển.
“Một là: Đừng bận tâm nữa, vì bạn sẽ không bao giờ theo kịp được chu kỳ sản phẩm trên ô tô. Apple CarPlay và Android Auto – đó là con đường phía trước. Vì vậy, nhà sản xuất ô tô cung cấp một màn hình và sau đó điện thoại của bạn sẽ cung cấp nội dung thông tin giải trí,” Tindell giải thích. “Tôi nghĩ đó là một cách tiếp cận tốt, bởi vì điện thoại của bạn rõ ràng là trách nhiệm của bạn, Apple luôn cập nhật nó, tất cả đều được vá lỗi, và sau đó chiếc xe của bạn chỉ cung cấp một màn hình.”
“Trường phái tư tưởng khác là để những công ty lớn này kiểm soát các chức năng chính của ô tô của bạn. Cấp phép cho một hệ điều hành từ Google và giờ đây nó tương đương với Google CarPlay nhưng được kết nối trực tiếp vào ô tô,” ông nói. Với một công ty như Google phụ trách, “nó có cơ chế cập nhật, giống như cập nhật điện thoại Pixel của họ. Câu hỏi đặt ra là sau 10 năm nữa, liệu bạn có còn nhận được các bản cập nhật cho ô tô của mình khi Google chán nản và cố gắng đóng cửa nó không?”
Nhưng ngay cả khi các nhà sản xuất cố gắng siết chặt một phần bề mặt tấn công (không chắc) hoặc giao trách nhiệm giám sát nó cho bên thứ ba (không hoàn hảo), Pwn2Own 2024 đã chứng minh rằng họ vẫn sẽ còn nhiều vấn đề hơn nữa cần giải quyết: EV bộ sạc cho modem, hệ điều hành, v.v.
Ngành công nghiệp phải đi tới đâu
Đối với Tindell, điều thực sự quan trọng là ngăn chặn tường lửa của máy tính chính thống khỏi hệ thống điều khiển, để có một điểm nghẽn. “Thật không may, một số điểm nghẹt thở cho đến nay vẫn chưa được phát triển tốt và bạn có thể bẻ khóa chúng sau một chuỗi khai thác,” ông nói thêm.
“Tôi nghĩ họ biết phải làm gì,” Feil của Synacktiv nói. “Đó là quy trình tương tự áp dụng cho phần còn lại của ngành CNTT: đầu tư vào an ninh mạng, thực hiện một số kiểm toán, hack nội dung của bạn cho đến khi nó trở nên rất khó hack.”
Ông tin rằng việc đưa các nhà sản xuất đạt được mục tiêu đó có thể cần đến sự can thiệp từ bên ngoài. Feil nói: “Ngành công nghiệp đã có thể đẩy lùi các quy định hạn chế. “Câu chuyện của họ là: Chúng tôi đang gặp khó khăn vì mọi người đang yêu cầu chúng tôi chuyển sang sử dụng ô tô điện và điều đó có thể ảnh hưởng nặng nề đến lợi nhuận của chúng tôi. Nhưng họ phải chứng tỏ rằng họ đang làm điều gì đó liên quan đến an ninh mạng.”
- Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
- PlatoData.Network Vertical Generative Ai. Trao quyền cho chính mình. Truy cập Tại đây.
- PlatoAiStream. Thông minh Web3. Kiến thức khuếch đại. Truy cập Tại đây.
- Trung tâmESG. Than đá, công nghệ sạch, Năng lượng, Môi trường Hệ mặt trời, Quản lý chất thải. Truy cập Tại đây.
- PlatoSức khỏe. Tình báo thử nghiệm lâm sàng và công nghệ sinh học. Truy cập Tại đây.
- nguồn: https://www.darkreading.com/ics-ot-security/pwn2own-2024-teslas-hacked-dozens-new-zero-days-evs
- : có
- :là
- :không phải
- :Ở đâu
- $ LÊN
- 000
- 10
- 20
- 20 năm
- 2024
- 24
- 40
- 500
- 7
- a
- Có khả năng
- truy cập
- Tài khoản
- thành tựu
- thêm
- Thêm
- ảnh hưởng đến
- chống lại
- Tất cả
- cho phép
- cho phép
- cô đơn
- dọc theo
- bên cạnh
- Ngoài ra
- an
- và
- Android
- Apple
- các ứng dụng
- áp dụng
- phương pháp tiếp cận
- LÀ
- KHU VỰC
- AS
- yêu cầu
- At
- tấn công
- Các cuộc tấn công
- sự chú ý
- kiểm toán
- tự động
- ô tô
- nhận thức
- trở lại
- dựa
- BE
- bởi vì
- trở thành
- được
- trước
- tin
- giữa
- lớn
- lớn nhất
- Bluetooth
- Chán
- làm phiền
- đáy
- Mang lại
- trình duyệt
- nhưng
- CAN
- xe hơi
- thẻ
- xe ô tô
- tiền mặt
- giám đốc điều hành
- chuỗi
- phí
- sạc
- chánh
- Giám đốc Công nghệ
- Rõ ràng
- Coin
- đến
- Các công ty
- công ty
- Cuộc thi
- phức tạp
- các thành phần
- Thỏa hiệp
- máy tính
- Kết nối
- xem xét
- điều khiển
- câu đố
- có thể
- Khóa học
- nứt
- An ninh mạng
- chu kỳ
- tối
- Đọc tối
- Ngày
- ngày
- Ngày
- chứng minh
- phát triển
- khó khăn
- trực tiếp
- khác biệt
- do
- làm
- lĩnh vực
- thực hiện
- cửa ra vào
- xuống
- hàng chục
- mỗi
- kiếm
- Điện
- điện xe ô tô
- xe điện
- Thiết bị điện tử
- cuối
- Doanh nghiệp
- Trang thiết bị
- Tương đương
- EV
- Ngay cả
- Sự kiện
- mọi người
- tất cả mọi thứ
- kinh nghiệm
- Giải thích
- Khai thác
- khai thác
- ngoài
- giả mạo
- quen
- xa
- Tính năng
- cuối cùng
- Tên
- sai sót
- Trong
- Cựu
- Forward
- từ
- Full
- chức năng
- khoảng cách
- cho
- được
- nhận được
- cho
- đi
- tốt
- có
- cấp
- Nhóm
- Phát triển
- tấn
- hacks
- có
- Cứng
- Có
- trú ẩn
- có
- he
- cái đầu
- nặng nề
- tại đây
- cấp độ cao
- Trang Chủ
- lưu trữ
- Độ đáng tin của
- HTTPS
- lớn
- i
- if
- hình ảnh
- quan trọng
- in
- lên
- ngành công nghiệp
- Sáng kiến
- thú vị
- Internet
- can thiệp
- trong
- Đầu tư
- các vấn đề
- IT
- Công nghiệp CNTT
- ITS
- jpg
- nhảy
- chỉ
- Giữ
- giữ
- Key
- Biết
- Phòng thí nghiệm
- Thiếu sót
- Máy tính xách tay
- Họ
- Năm ngoái
- lâu dài
- ít nhất
- ít
- cho phép
- Giấy phép
- Cuộc sống
- Lượt thích
- Dòng
- linux
- ll
- còn
- Xem
- nhìn
- Rất nhiều
- máy móc thiết bị
- Mainstream
- làm cho
- quản lý
- quản lý
- quản lý
- nhà chế tạo
- Các nhà sản xuất
- Có thể..
- có nghĩa
- cơ chế
- kim loại
- vi
- Might
- pha
- kiểu mẫu
- chi tiết
- hầu hết
- nhiều
- nhiều
- phải
- TƯỜNG THUẬT
- không bao giờ
- Mới
- chín
- Nổi bật
- tại
- con số
- Rõ ràng
- of
- off
- Nhân viên văn phòng
- on
- hàng loạt
- ONE
- có thể
- mở
- hoạt động
- hệ điều hành
- các hệ điều hành
- nhà điều hành
- or
- Nền tảng khác
- vfoXNUMXfipXNUMXhfpiXNUMXufhpiXNUMXuf
- bên ngoài
- thuê ngoài
- kết thúc
- giám sát
- tổng quan
- một phần
- các bên tham gia
- qua
- Trả
- điện thoại
- điện thoại
- điểm ảnh
- plato
- Thông tin dữ liệu Plato
- PlatoDữ liệu
- Điểm
- có thể
- giải thưởng
- vấn đề
- quá trình
- Sản phẩm
- Hứa hẹn
- cung cấp
- cung cấp
- công khai
- Đẩy
- đẩy lùi
- Pwn2Own
- câu hỏi
- RE
- Reading
- có thật không
- Quy định
- từ xa
- yêu cầu
- nghiên cứu
- nhà nghiên cứu
- trách nhiệm
- REST của
- hạn chế
- Kết quả
- tái sử dụng
- nguồn gốc
- quy tắc
- s
- tương tự
- thấy
- nói
- nói
- Trường học
- Trường học
- Màn
- giám sát
- Thứ hai
- giây
- an ninh
- gởi
- riêng biệt
- Các máy chủ
- phục vụ
- nên
- hiển thị
- đóng cửa
- thông minh
- So
- cho đến nay
- một số
- một cái gì đó
- nguồn
- lan rộng
- Bóp
- Bắt đầu
- Trạm
- Vẫn còn
- mạnh mẽ
- như vậy
- Bề mặt
- Công tắc điện
- hệ thống
- hệ thống
- Hãy
- nói
- Mục tiêu
- nhóm
- công nghệ cao
- Công nghệ
- viễn thông
- Tesla
- Teslas
- hơn
- việc này
- Sản phẩm
- Nguồn
- cung cấp their dịch
- Them
- sau đó
- Đó
- Kia là
- họ
- điều
- nghĩ
- Thứ ba
- các bên thứ ba
- điều này
- năm nay
- Tuy nhiên?
- nghĩ
- mối đe dọa
- thời gian
- đến
- bây giờ
- bên nhau
- tokyo
- công cụ
- chạm
- dai
- truyền thống
- khuynh hướng
- thử
- hai
- Dưới
- không may
- độc đáo
- không
- cho đến khi
- Cập nhật
- Cập nhật
- us
- vancouver
- bao la
- Ve
- xe
- Xe cộ
- nhà cung cấp
- rất
- Lỗ hổng
- dễ bị tổn thương
- là
- Đường..
- we
- TỐT
- đi
- Điều gì
- Là gì
- khi nào
- cái nào
- trong khi
- Wi-fi
- tiền thắng
- không dây
- với
- không có
- Công việc
- làm việc cùng nhau
- thế giới
- đã viết
- năm
- năm
- nhưng
- Bạn
- trên màn hình
- zephyrnet
- không
- Zero Day
- lỗ hổng zero-day