江苏龙网

  1. 首页 > 人文 > >

InfoQ两度黑进特斯拉却获马斯克亲笔致谢，白帽黑客吴石是怎样的存在？( 三 )


特斯拉 Autopilot 系统借助图像识别技术 ， 通过识别外部天气状况实现自动雨刷功能 。 腾讯安全科恩实验室通过研究发现 ， 利用 AI 对抗样本生成技术生成特定图像并进行干扰时 ， 该系统输出了“错误”的识别结果 ， 导致车辆雨刷启动 。
InfoQ两度黑进特斯拉却获马斯克亲笔致谢，白帽黑客吴石是怎样的存在？
本文插图
特斯拉自动雨刷功能的视觉神经网络
车道的视觉识别缺陷
特斯拉 Autopilot 系统通过识别道路交通标线 ， 实现对车道的识别和辅助控制 。 腾讯安全科恩实验室通过研究发现 ， 在路面部署干扰信息后 ， 可导致车辆经过时对车道线做出错误判断 ， 致使车辆驶入反向车道 。
遥控器操控车辆行驶
利用已知漏洞在特斯拉 Model S（版本 2018.6.1）获取 Autopilot 控制权之后 ， 腾讯安全科恩实验室通过实验证明 ， 即使 Autopilot 系统没有被车主主动开启 ， 也可以利用 Autopilot 功能实现通过游戏手柄对车辆行驶方向进行操控 。
“我们团队花了差不多一年的时间实现远程控制 ， 这个成本是非常高的 ， 所以特斯拉其实是安全系数相当高的一款车 ， 如果人机接口继续增加（比如智能召唤功能出现）必然需要在远端或者车上开一个服务端口 ， 这样肯定会增加被攻击概率 ， 但相对来说 ， 特斯拉是非常安全的 。 ”
对于自动驾驶领域的汽车安全性问题 ， 吴石认为关键要看系统复杂度 ， 越复杂越容易出现安全问题 ， 看似简单的系统往往非常难以攻破 ， 一般厂商都会模拟攻击的方式来提高安全性 ， 但这个工作量非常大 ， 现在可以通过机器学习的方法来防范攻击 ， 但因为是一个比较新的领域 ， 所以大部分厂商还没有这样的概念 ， 这也导致自动驾驶目前在信息安全方面比较弱 。
因此 ， 吴石带着团队搞出了 sysAuditor ， 这是一款对嵌入式系统 (物联网设备、手机、汽车) 进行安全基线审计的产品 ， 采用线下私有化部署 ， 确保客户固件数据更强隐私保护 ， 主要面向汽车、手机、物联网设备制造商 。 车厂研发部门可以对车载系统的安全性进行检测 ， 对车端系统的设计、配置、编码缺陷和安全漏洞进行自动化分析 。 虽然某些复杂问题或高级漏洞可能还需要安全研究员的人力介入 ， 但“绝大多数问题都已经能够通过平台系统自动化完成了” 。
这一次 ， 黑客瞄准了物联网
当黑客瞄准了某一目标时 ， 这意味着该领域的安全问题必须要引起重视了 ， 吴石及腾讯安全科恩实验室的过往战绩也证明了这一点 。
“自动驾驶只是一部分 ， 我们最主要还是研究汽车这个工业产品本身的安全性 ， 通过做这样一个攻击演示 ， 让厂商和消费者也能够了解自动驾驶在安全上还是很有问题的 ， 需要被高度重视 。 ”
如今 ， 物联网风起 ， 各种类型的硬件设备在可预见的未来会爆炸式增长 。 从 PC 时代到移动时代 ， 吴石这群人对浏览器、Android、iOS 研究得已经足够多了 ， 当整个时代继续向前 ， 显然到了物联网和工业互联网的时代 。
采访中 ， 吴石表示随着 5G 技术的成熟 ， 业界出现了很多低成本的物联网设备 ， 这些设备的安全性非常有问题 ， 而且严重到会影响整个互联网的安全 。 一方面 ， 设备本身拥有更多的入口和控制方式 ， 这为用户带来操作便利性的同时也形成了更多攻击面 。 IoT 设备的严重碎片化现象以及设计开发人员安全意识薄弱 ， 都会导致出厂的固件中存在着各种各样的漏洞 。
另一方面 ， 由于 IoT 本身使用的操作系统数量多 ， 使用的架构不统一 ， 固件格式更是因厂商而异 ， 常见格式数以百计 ， 同时还存在着许多厂商自行设定的特殊格式 。 多样性给 IoT 设备带来定制化与差异化的便捷 ， 同时也给安全自动化检测带来了挑战 。
“其实很多做物联网设备的厂商利润很薄 ， 自然对安全是欠考虑的 ， 这些便宜的硬件设备存在很多安全问题 ， 最大的问题是利用了很多非常老的开源软件 ， 这些软件存在的安全问题甚至已经被公布了 ， 但厂商仍然没有做修复 ， 毕竟即便是家庭路由器的部件升级都需要花费很多时间和费用 ， 这就导致漏洞直接曝光在互联网上 ， 黑客可以随意利用 。 ”所以 ， 腾讯安全科恩实验室希望解决这些安全问题 。


推荐阅读


上一篇：人民日报客户端|美方利用联合国讲台无端指责中国，外交部驳斥

下一篇：经济日报|3个月上涨30%！蛋价何时能“蛋定”？