破解特斯拉，神秘的黑客是如何办到的？

【编者按】本文作者是上市公司资深安全专家，专注安全资讯深喉

这篇文章我来谈谈特斯拉汽车的安全情报，有人肯定会说，特斯拉汽车和前几篇的安全领域比，跳跃性也太大了吧，怎么会想到这个的呢？

因为之前提到了google的Project Zero计划，而最近比较爆的一条消息就是谷歌Project Zero负责人Chris Evans离职去领导特斯拉汽车安全，所以脑洞来一下，就想来谈谈特斯拉。

特斯拉这次挖角，是因为8月defcon上，lookout安全公司的凯文·马哈菲(Kevin Mahaffey)和马克·罗杰斯(Marc Rogers)的议题，这个议题讲解了他们如何黑掉特斯拉汽车的过程。

lookout公司在blog放出了破解特斯拉的详细技术文档，感兴趣的可以看看。

他们是从浏览器、蓝牙协议、usb接口、sd卡接口、wifi热点、未知的硬件连结口6个层面进行的安全渗透测试，我就不做全职英文翻译了，挑有用的情报进行分析。

这两哥们balabala一大堆失败的测试过程，其中一个有意思的是浏览器这个攻击入口：

他们发现了特斯拉浏览器的内核是webkit，版本是534.34，并成功crash了它，但是没有找到合适的调试方法绕过dep等内存保护措施而放弃了。

有意思的是特斯拉的这个入口2014年的时候被keen team攻破过，这个打问号的cve是CVE-2014-1303，keen在Pwn2Own 2014上也是用的这个漏洞打下的苹果浏览器，所以第一个找出特斯拉漏洞的是keenteam。

在其他层面走不通后，这两哥们只好拆车了，找到了以太网接口，啥叫以太网接口，做过网线的同学应该会心一笑，还记得网线水晶头的做法么，交叉线平行线，橙白橙绿白蓝蓝白绿棕白棕 。

把网线接到路由器上，就可以进入汽车的内部网络进行安全测试，于是balabala发现了很多控制汽车的指令数据包，还搞到了升级固件。

对固件一顿逆向后发现固件里居然有一个硬编码的wifi热点wpa秘钥，然后发现这个是给特斯拉服务中心用的，车子开到服务中心可以主动连结服务中心的wifi热点使用相关的服务。

于是这两哥们终于找到了真正有用的远程攻击入口，黑客可以构造一个相同密码的恶意wifi热点，等到特斯拉连上后就可以进入汽车的内部网络，访问特斯拉汽车内部服务。但要掌控关键的内部服务控制汽车，仍需要先物理连结汽车内部硬件接口实时获取相关的秘钥和数据，才能控制相关的内部服务。

所以这并不是一次太成功的破解，只能物理入侵，无法远程攻击，但两哥们的无私分享为大家了解特斯拉的安全探明了可能的道路。

另外除了keenteam和lookout软硬结合的破解特斯拉手法，还有其他维度的黑车方式，如特斯拉无线钥匙无线协议的破解和针对app密码暴力破解中间人劫持等，这些就不在本文中说了。

最后希望我的情报能让大家的信息更对称，特斯拉汽车并不是一些人想的一个跑着四个轮子的大手机那么简单，随着厂商更加重视安全，我想破解之路会越来越窄。