IT时报 -V4 新闻产业-
4新闻产业
  • ·国内顶尖白帽子“黑白攻防战”

汽车:轻轻一眼便被开走 手机:碰碰鼻尖亦可解锁

国内顶尖白帽子“黑白攻防战”

  

IT时报记者潘少颖
  看一眼汽车,这辆汽车可能就会被“顺走”;安卓手机被破解后,不仅所有人能用指纹解锁,甚至鼻尖也行;明明手机和录音笔都开启了录音功能,但播放时,却只听见杂声一片,上演“消失的声波”……
  在“GEEKCON 2023”中国站比赛现场,一场场神奇的网络攻击展现在眼前,虚拟世界中的“攻与防”被真实呈现出来。
  在GEEKCON组委会主席、DARKNAVY董事长兼CEO王琦看来,今年比赛从聚焦极客“个人能力价值”升级为“企业安全价值”,通过安全对抗测试比赛,验证智能汽车、手机等产品的安全性,逐步建立安全行业标准和标杆效应,让安全性成为企业和产品品牌价值的衡量维度之一,助力推动科技、产业以及数字经济高质量有序发展。
挑战一  10分钟,解锁一辆新能源车
  每一届比赛上,汽车总是极客们关注的焦点,没有钥匙,不和汽车进行物理接触,就可以打开车门。
  顺走一辆新能源车,需要多久?“GEEKCON 2023”大赛上,选手给出的答案是低于20分钟。
  停车、熄火、锁门……一位“车主”丝滑地离开自己的车。他不知道的是,没过多久,三名戴着面具和帽子的“黑客”出现在这辆贴满贴纸的新能源车面前,打开电脑,进行攻击。此时,车内Wi-Fi处于开启状态,“黑客”首先截获了车主与车辆建立联系的过程,攻破车内Wi-Fi,进入攻击车控系统的第一步。
  “咯噔”一声,车门被打开,两个反光镜也随之展开。随后,“黑客”进入车内,在车上插了一根连接线,发出车控指令,车辆顺利启动,并开出了车位。
  另一边的“黑客”则动作更加简单,看了一眼位于车辆挡风玻璃上的车架号,获得车辆相关信息后,伪造的控车PK证书就通过了车机的合法性校验,仅用了10分钟,车门就被解锁,车灯开始闪烁。
  “这两个攻击都利用了智能网联汽车的云端车控系统和相关漏洞,虽然这样的场景目前并不多见,但也是一个警醒,既然能打开车门,以后也能攻击车辆内其他场景。”GEEKCON 2023裁判宋宇昊告诉《IT时报》记者。
  随着汽车从传统机械产品向电子消费产品转变,除了车辆本身的安全性能以外,汽车的信息安全也至关重要。越来越智能化的汽车储存了个人信息、驾驶习惯、导航记录等敏感信息。车辆控制数据如果被恶意攻击、窃取和篡改,致使车辆被非法控制,会产生严重的社会道路安全问题,因此对企业的信息安全保护不断提出更高要求。
  “从行业发展趋势来说,2025年智能汽车对应代码行数将超过10亿行,除了汽车物理安全外,数字安全的路程会更长,要全面提升汽车数字安全的‘免疫力’。”极氪智能科技副总裁刘昊在比赛现场表示。
挑战二
  消失的声波
  去年的极棒大赛上,有一个名为“窃听风云”的挑战项目,选手通过连接与目标设备相同的网段,发起攻击获取root权限,不到几分钟便控制了VOIP话机,实时窃听商务会议话机视频内容。
  隔墙有耳,已经成为个人隐私、商务机密泄露的重要渠道之一,在一些不允许泄露信息的设备上,存在与会者偷录或被偷听的情况。也因此,市面上出现了很多反窃听工具,但大多体积大、成本高、技术要求高。
  为了攻克这些难题,清华大学NISL物联网安全研究小组自制了一款反窃听设备,可以在1.5米距离外,干扰三个不同型号的iPhone、三个不同品牌的安卓手机和一个录音笔。
  当一位工作人员讲话时,这款看上去不那么高级、表面布满蜂窝状的设备开始发送干扰信号。10秒过后,挑战过程结束。
  “3.14159……”有的设备一开始能够听见录入的声音,但随后就被一段“嗞嗞”的电流噪声打断,有的设备从一开始传出的就是电流声,完全听不到任何有效信息。
  “这款自制设备虽然看上去很简陋,但奥秘在于设备表面的六边形陈列是有匹配关系的,可以通过信号干扰录音设备。”NISL物联网安全研究小组成员向《IT时报》记者介绍,接下去要攻克的问题是增强功率,功率越大,防范效果就越好,此外,干扰方向、环境遮挡等因素也都要更多考虑。
挑战三
   用鼻子解锁手机
  无限手套是漫威体系下的宇宙神器,可以让持有者拥有毁灭所有现实的能力。
  腾讯安全玄武实验室研究员陈昱在现场展示了通过“无限手套”破解主流手机指纹验证的过程,这里的“无限手套”并不是一副实体手套,而是安全人员发现了不同制造商、操作系统和指纹类型的SFA系统中存在的设计漏洞,从而实现了无限的验证尝试,安全人员将之命名为“Infini
ty Gauntlet(无限手套)”。
  “此前,这款手机上只录入了我的一个手指指纹,接下去,任何手指都能解锁。”在大会现场,陈昱通过技术手段绕过了有效性(活体)检测,并定制了合成指纹生成器,以获得有效的暴力指纹字典。
  打开手机后盖,切断指纹模组,接入攻击设备,注入指纹字典,然后陈昱随意用任何一根手指都轻松将手机解锁,“任意开锁”的高潮部分来自陈昱的鼻子,只见他将鼻尖轻轻触碰指纹区,“哗”的一声,手机解锁。
  目前,手机执行的安全策略是当错误次数大于阈值后禁止指纹认证、每隔72小时需要验证主密码才能重启指纹认证服务等,以往黑客采用假指纹模具以及指纹残迹很容易受限于安全策略,但如果以后用“无限手套”,“基本一次便可攻击成功。”陈昱说。
挑战四
   一键登录的“鉴权”缺陷
  为根本没有看过的内容点赞、发出从未编写过的评论、下单从未浏览过的商品……作为一名普通消费者,或许碰到过这样的情况却无可奈何。在网络安全人士看来,也许你的账号已经被黑产利用,成为获利链条的一环。
  黑灰产的最大特点是逐利,只要能产生利益的地方几乎逃不开它的觊觎。现在的极客,不仅用黑客技术来维护网络信息安全,也在通过技术能力帮助互联网公司或执法部门追查地下黑灰产。
  今年赛场上,主办方设置了“特别披露”环节,几组选手披露了一年间帮助执法部门铲除黑产团伙的案例:通过层层攻击溯源、追踪违法行为痕迹、追查违法资金流向等方式,剥丝抽茧式找到App中的恶意组件;防止黑产利用系统漏洞造假流量,操控手机点击浏览网页欺骗广告主和平台;防止用户账户被盗取造成数据泄露和被操控;以及防止用户账户被利用进行点赞、刷评论、刷单等。
  一年里,这些选手帮助执法部门打掉了移动端最大的黑产团伙,涉及被操控的手机过亿。
  “‘一键登录’是现在常用的功能,但现在已经成为被黑灰产利用的重要环节。”一位极客说,他们曾协助执法部门锁定过黑产攻击方法,所有受害设备均为安卓系统。极客们假设了N种攻击方法,包括恶意热点劫持、用户安装了破解版恶意客户端等,但都被一一推翻,最终攻击原因锁定一键登录。
  “用户如果在同一设备上安装了第三方恶意应用,它可以模拟一键登录请求,从而使攻击满足从常用设备出发,且IP相同等鉴权要素。”上述极客解释,安卓系统的鉴权仅存在于“手机号”级别即“设备级别”,无法细化到“应用级别”,恶意应用往往会伪装成广告SDK嵌入App中。
  该极客建议,开发者应更安全地使用一键登录能力,设备厂商应更严格地进行应用商店审核,用户应尽量避免安装不明来源应用。
挑战五
   GPT是黑客,人类成Bug?
  某一天,当AI深入世界的各个角落,会不会出现“GPT是黑客,而我们人类已成为Bug”的情况?王琦在现场抛出了这个问题。
  伴随GPT大模型的不断迭代和各种应用场景的广泛增加,行业中不断创造出新业态、新模式、新工具和新市场,推动各行业智能化提升,但伴随而来的是,保障安全、合理使用AI成为快速发展的前提。
  蚂蚁安全光年实验室、云起无垠和千里目三个安全研究机构针对GPT安全进行挑战,并展示他们的研究成果:用自制工具批量生成“越狱”提示词,误导GPT突破限制,或出现错误;从正向角度利用GPT辅助安全研究,将GPT应用于安全攻防,防止AI技术被滥用和利用,维护网络的秩序和安全。
  世界上不存在没有漏洞的系统,蚂蚁集团副总裁、首席技术安全官、GEEKCON赛事评委韦韬表示,未来的通用技术就是AI和安全,伴随GPT带来的生产效率极大提升,一定需要匹配相应的安全能力。当互联网行业和各行业数字化产值越来越大,如果正向安全投入不足,反向侵害就会规模越大,且程度深。
  目前,安全领域每年投入不到AI的千分之一,且国内外安全的市场体量差距也比较大,安全行业还有很大的提升空间。