整理 | 鄭麗媛
出品 | 程式人生（ID：coder_life）
近日，Mysk 公司的合夥人 Tommy Mysk 和 Talal Haj Bakry 釋出了一則視訊，演示了一種黑客入侵特斯拉的潛在新方法：只要建立一個假的特斯拉 Wi-Fi 網路，就可以竊取車主的登入資訊並設定新的手機金鑰。
所以，「如果你擁有一輛特斯拉汽車， 那麽在特斯拉充電站登入 WiFi 網路時，可能要格外小心。」
需要買 1000+ 元的黑客工具？研究員：有 膝上型電腦或手機即可
根據 Mysk 視訊介紹，目前全球有超過 50000 個特斯拉充電站，為了方便車主在等待汽車充電期間打發時間，充電站通常都會提供一個名為 「Tesla Guest」 的 Wi-Fi 網路，登入即可使用。
基於此，Mysk 用一種 169 美元（約人民幣 1212 元）的簡易黑客工具 Flipper Zero，建立了一個屬於自己的 「Tesla Guest」 Wi-Fi 網路——同名混淆下，車主很容易連到這個假的「Tesla Guest」。
當車主嘗試連線該 Wi-Fi 網路時，就會自動跳轉到一個由黑客建立的「盜版」特斯拉帳戶登入頁面。只要車主在該頁面輸入登入憑證，黑客就能立即獲取其使用者名稱、密碼和 2FA 驗證碼（Two-Factor Authentication，雙因素身份認證）。
Mysk 在視訊中解釋說，一旦黑客竊取了車主的特斯拉帳戶登入憑證，他們就可以用它來登入真正的 Tesla 套用，並在距離這輛車不遠的地方添加新的手機金鑰。而特斯拉可以用手機作為數位鑰匙解鎖汽車，無需實體鑰匙卡。
雖然特斯拉 Model 3 車主手冊上寫著設定新手機金鑰需要實體卡，但根據視訊可發現，事實並非如此。也就是說，在被設定新的手機金鑰時，特斯拉車主不會在套用中收到相關通知，汽車的觸控式螢幕上也不會顯示任何警告。
於是，悄悄獲得 Tesla 套用的存取許可權後，黑客不僅能透過智慧型手機藍芽解鎖和控制汽車，還可以即時跟蹤車輛的位置——所以，黑客甚至都不需要當場偷車：他們完全可以透過套用追蹤汽車的位置，然後找準時機再去偷車。
更值得一提的是，Mysk 在視訊中補充道，雖然他用 Flipper Zero 建立了自己的 Wi-Fi 網路，但實際上 任何無線裝置，如樹莓派（Raspberry Pi）、膝上型電腦或手機，都可以完成這一步驟 。
當然，以上實驗只是 Mysk 出於研究目的進行的，實驗物件也是他自己的特斯拉汽車：透過這種方法經過多次測試後，甚至還用了從未與車輛配對過的重設 iPhone，Mysk 聲稱他每次都能成功入侵。
特斯拉：已調查，但認為問題不大
事實上，這並不是研究人員第一次發現入侵特斯拉的簡單方法。
2022 年，當時年僅 19 歲的德國 IT 安全專家兼黑客 David Colombo 表示，他透過從 TeslaMate（一個開源記錄工具，可跟蹤特斯拉的能源消耗和定位歷史等任何資訊）中找到的安全漏洞，遠端入侵了全球 10 個國家的 25 輛特斯拉汽車，不僅能禁用哨兵模式、開啟門/窗、啟動無鑰匙駕駛，還可以查詢確切位置、確認是否有司機在場等等。
同年晚些時候，一位 NCC 集團研究人員又發現了一個廣泛存在的藍芽低功耗（BLE）漏洞，可能被用來解鎖包括特斯拉在內的具備汽車無鑰匙進入功能的汽車、智慧門鎖、手機和膝上型電腦等裝置。當時，NCC 集團首席安全顧問兼研究員 Sultan Qasim Khan 說：「只需 10 秒，這些漏洞可以無休止地重復利用。」
相較於以上兩種方式，此次 Mysk 發現的這種方法並不是常規意義上的「入侵」，而是利用社會工程學，欺騙使用者交出他們的資訊。但 Mysk 認為，這種一旦泄露電子信件和密碼，就等同於可能失去特斯拉汽車的隱患，仍需引起高度重視："如今，網路釣魚和社交工程攻擊非常普遍，尤其是隨著 AI 技術的興起，負責任的公司必須考慮到此類風險。"
為此，Mysk 向特斯拉報告了這個問題，而該公司回應說已進行了調查，但認為這並不是一個大問題。對此，Mysk 的建議是，「如果特斯拉強制實行物理鑰匙卡認證，並在建立新手機金鑰時通知車主，那這個問題就可以得到解決」。
參考連結：
https://www.businessinsider.com/researchers-hack-steal-tesla-remote-key-wifi-vulnerability-2024-3
https://www.businessinsider.com/teen-security-researcher-describes-how-he-hacked-into-25-teslas-2022-1
4 月 25 - 26 日，由 CSDN 和高端 IT 咨詢和教育平台 Boolan 聯合主辦的「全球機器學習技術大會」將在上海環球港凱悅酒店舉行，特邀近 50 位技術領袖和行業套用專家，與 1000+ 來自電商、金融、汽車、智慧制造、通訊、工業互聯網、醫療、教育等眾多行業的精英參會聽眾，共同探討人工智慧領域的前沿發展和行業最佳實踐。
