2018年09月13日 | 特斯拉曝漏洞几秒就可复制钥匙开走，其他车厂也有风险

现在许多的车厂都会使用数字化钥匙，这种钥匙不须透过实体接触，只需要驾驶将钥匙带在身上，就可开关车门、发动汽车，而身为先进电动汽车的特斯拉（Tesla） 当然也有安装。

一直拿整车 OTA （空中下载技术）当一大卖点的Tesla在防御黑客攻击上做了大量创新，不但雇佣了大量顶尖安全工程师，为车辆加入了代码完整性检查，旗下车型的驾驶系统也可以说是武装到了牙齿。

不过近日据外国科技网站《Wired》报道，一个来自比利时鲁汶（KU Leuven）大学的骇客研究团队，在阿姆斯特丹举办的密码硬件和嵌入式系统大会中发表最新研究称，供应Tesla 安全系统的厂商存在漏洞，可以让研究人员在 2 秒钟以内成功开启 Tesla 车门，并将这辆车开走，中途不留痕迹。研究团队也警告，由于有其他车厂也采用了相同安全系统厂商的产品，恐怕也会有类似的漏洞，建议车主在确认相关问题之前，不要轻易使用免钥解锁的功能。

整个破解过程只需准备大约 600 美元（约合 4120元人民币）的无线电和计算设备，在概念验证攻击中，研究人员展示了自己的无钥匙系统黑客套件，其中包括一台 Yard Stick One 无线电，一台 Proxmark 无线电，一台树莓派微型电脑和硬盘上的预计算密匙表。当然，这个套件也少不了一些供电用的电池。

研究人员会用 Proxmark 无线电来解惑目标车辆的无线电 ID，这一步他们根本无需接触车辆，因为 Model S 会不间断的向外广播自己的无线电 ID。随后就是不超过 2 秒钟的计算时间，遥控钥匙的密匙就能传到研发人员手上了。

“几秒之内我们就能克隆这些遥控钥匙。” Lennert Wouters 说道，他也是“学院派”黑客之一。下一步就稍难了一些，黑客需要将无线电设备放在据目标钥匙三英尺（1 米以内）以内，随后用车辆的无线电 ID 来“套”遥控钥匙的回应代码。这一步他们重复了两次就搞定了，遥控钥匙乖乖就发回了代码。接着，他们会通过硬盘里的密匙表来搜寻密匙，随后顺利解锁 Model S。

特斯拉用的安全方案

Tesla Model S的PKES并未自己设计，采用的是由Pektron公司制造的PKES方案，其中使用的是挑战-响应认证协议，如下图。

认证过程中的唤醒帧（wake）由汽车发送低频信号134.2kHz，其中包含了汽车的身份信息，由于是广播性质的信号，任何人都可以获取到这个唤醒帧信息，之后钥匙将回复一个回复帧（reply）告知车端设备钥匙已经准备好了随时可以进行挑战-响应认证。

挑战-响应认证使用的是专利已经过期的由德州仪器持有的DST40签名算法，这个算法只依赖一个超弱的40-bit 密码来加密钥匙代码，认证步骤主要有三步：

1. PKES发出40位挑战；

2. 钥匙收到40位挑战后用40位的密钥进行加密，生成40位的密文，截取24位返回给PKES；

3. PKES收到密文，与本地比对，如相同则认证通过。

由于响应只有24位，小于40位的挑战和密钥，因此我们需要至少两个挑战-响应组合去还原出秘钥；由于非常小的密钥空间和弱的双向认证方式，导致了Time-Memory Trade-Off攻击。

PoC

1. 记录唤醒帧传输的2字节的汽车身份信息；
2. 模拟汽车发送2次40位的挑战给钥匙，并记录下24位的响应；
3. 用记录下的挑战-响应对去查询TMTO表恢复出40位密钥，第一对用于查找响应的子集，第二对用于在2^16中找到真正的密钥；
4. 至此可以模拟出真正的钥匙解锁、开走汽车。

在研究人员看来，这个攻击链条能打通主要就是因为 Pektron 的无钥匙进入系统加密太弱。“特斯拉选择这牌子的系统真是犯了大错。”研究人员 Tomer Ashur 说道。“有些人把事情搞砸了，而且是通了个大篓子。”

Tesla 回应漏洞已修复，研究团队：其他车厂恐有类似问题

当研究人员成功计算出所有密码组合，并建立一个容量达 6TB 的密码库后，即可在 1.6 秒内破解所有密码组合，偷走任何一辆 Model S 。

作为有节操的黑客，他们更表示早于 2017 年已经发现有关漏洞，并反应给了Tesla。Tesla还给他们发了 1 万美元的奖金，但今年（2018 年）6 月才正式堵塞有关漏洞。

两周前，特斯拉刚刚为 Model S 推送了新的防盗功能。用户能设定 PIN 码，偷车贼必须激活中控屏才能将车顺利开走。

Tesla 回应了升级包姗姗来迟的原因，因为修复过程需要时间，公司其实已经进了最大努力，漏洞修补是个麻烦事，特斯拉必须先确认研究者的方法是否可行，随后对升级包进行测试，最终还要整合进它们的制造工艺中。今年 6 月后售出的 Model S 根本不受该攻击影响，它们对车辆遥控钥匙的加密系统进行了针对性升级。

不过，老车主可倒霉了，他们要想防盗，要么打开屏幕 PIN 码，要么就掏钱更换加密性能更强的遥控钥匙。

该研究团队亦指出， Pektron 公司除了向 Tesla 提供安全系统外，亦有向其他车厂提供相同技术，呼吁消费者小心。

根据FCC的数据记录，Pektron也为迈凯轮（McLaren）、Karma、Triumph等OEM车厂提供了无钥匙进入方案，均使用了德州仪器的TMS37F128芯片，这使得我们相信这种攻击将不仅仅可以用于Tesla Model S。

迈凯伦表示它们还在调查该问题，但已经将风险告知用户，而且还提供了“信号阻断钥匙袋”，在不用车时保证车辆安全。其他两家厂商则拒绝对此事发表评论。

警告信号

KU Leuven 团队认为，这一发现为特斯拉和其它制造商敲响了警钟。他们也提醒 Model S 用户赶紧打开 PIN 码防护，否则可能会遭遇真人版“侠盗猎车手”。Ashur 还警告道，“这个问题就摆在那，而我们恐怕不是世界上唯一掌握这项技术的人。”

多年以来，黑客们前赴后继的对无钥匙进入系统发动“中继”攻击。有时黑客会放大遥控钥匙的无线电信号，有时则会通过两个距离较近的无线电设备将车辆和遥控钥匙桥接在一起。这些中继攻击已经是偷车贼们的拿手好戏，但到底每年有多少车辆因此被盗，现在还是笔糊涂账。即使没有 KU Leuven 团队的发现，愈演愈烈的中继攻击恐怕也会逼迫特斯拉加入 PIN 码验证的加密方式。

不过，普通的中继攻击效果还是弱了点，它们只能欺骗无钥匙进入系统一次，即使将车盗走，如果不破坏防盗系统，下次也启动不了。相比之下，KU Leuven 团队的攻击方法更狠，它们能永久性的克隆车辆钥匙。

既然这种攻击方案已经大白于天下，特斯拉 Model S 车主可得抓紧升级系统了。虽然在屏幕上输入 4 位密码才能启动车辆相当麻烦，但这也比取车时看到空空的车位好吧。

我们给出的暂时性安全建议是

1. 将钥匙装入屏蔽RF的隔离容器中携带；
2. 在钥匙上加入额外的按钮，按下按钮后才启用低频通信功能；
3. 关闭Tesla Model S的无钥匙进入功能，开启PIN码行车的功能。