研究人员通过黑客攻击脆弱的汽车加密狗来远离动车的发动机

以色列公司Argus Cyeber安全最近报道说，由于博世驱动器连接OBD-II加密狗，它已经能够远程“通过蓝牙控制一辆汽车”。

虽然黑客不会影响90％的汽车并产生一支“僵尸汽车”的军队，就像被网络恐怖主义密码（Charlize Theron）拉出的速度和激情系列，Argus研究人员能够远程杀死移动车的发动机。

着名的汽车 - 黑客查理米勒对这一点来说并不是担心愤怒的汽车的命运。糟糕的家伙通过黑客攻击控制汽车可能目前只有我们在电影中看到的东西，但中央情报局对骚扰汽车有兴趣，为维克利克被声称的追求者可以用来撤离“几乎不可检测的暗杀”。

Argus解释了这次遥控攻击为：

在我们的研究中，我们能够在蓝牙范围内关闭移动车的发动机。由于令人不安的是，在更一般的意义上，由于我们可以使用加密狗将恶意信息注入CAN总线，我们可能已经能够操纵网络上的其他ECU。如果攻击者在野外实施这种攻击方法，我们估计他今天可能对大多数车辆造成物理影响。

研究人员发现了两个安全缺陷。一个涉及DriveLog的消息过滤器中的安全漏洞连接加密狗，这将允许攻击者向汽车发送未经授权的消息。另一个是身份验证过程中的信息泄漏;它影响了“只有作品”蓝牙配对和加密狗和应用程序之间的身份验证过程。

DriveLog将Dongle对与应用程序连接，并显示汽车诊断，“实时驾驶行为”，一个路线的日志，服务中心的位置和汽车查找器选项，以防您忘记了停放位置的位置。

由于加密狗证书泄露了信息，攻击者可以连接到加密狗，然后使秘密引脚离线。PIN有八位，这意味着有1亿可能的引脚，但研究人员表示，“现代笔记本电脑可以在大约30分钟内运行1亿SHA256计算和加密。”同时运行多个Brutcing服务器将快速确定销钉。

通过蓝牙连接到加密狗后，它们在加密狗的消息过滤器中利用漏洞将恶意消息注入车辆的CAN总线。

新闻稿读取：

Dongle和DriveLog之间的认证过程中发现的漏洞连接智能手机应用程序启用了Argus研究人员，以便在分钟内揭示安全码，并从Dongle从标准蓝牙设备通信，例如智能手机或笔记本电脑。在获得通信通道的访问之后，Argus研究人员能够复制消息命令结构并将恶意消息注入车载网络。有效地绕过旨在仅允许特定消息的安全消息过滤器，这些漏洞使Argus研究组能够控制移动车，通过远程停止发动机来证明。

BOSCH通过为已注册设备上的任何其他用户添加两步验证来缓解身份验证漏洞。它是在服务器端实现的，因此用户无需采取任何操作。

博世咨询说：“重要的是要注意潜在恶意攻击的可扩展性受到这种攻击需要对加密狗的物理障碍的事实受到限制。这意味着攻击装置需要在车辆的蓝牙范围内。“

至于注入恶意可以信息，该公司正在研究加密狗固件更新。