黑客曝光新盗车工具，给个两百你拿走

    电子产品的偶尔小失灵，未必是接触不良。如果你用电子车钥匙开车门时，发现操作两次才能打开车门，那你就要小心了。这不是一个技术小故障，很可能是你的电子车钥匙成为了黑客攻击的入口。现在就有这么一个设备摆在你的面前，它的名字叫“RollJam”。

    在拉斯维加斯DefCon黑客大赛上，带着这个设备上台的是个老面孔。没错，你们熟悉的Samy Kamkar又来了！上次用个纸巾盒大小的设备黑了通用车后，他又在自己的破解列表上添了一笔新战绩，而且跑到DefCon发表了新型无线设备“盗车法”的演讲。

“RollJam”，有图真相

小设备盗启车锁，只要一个儿童玩具机？
   
    先看看“RollJam”是个什么设备。可以无线通讯，大小和智能机相仿，成本也就32刀的样子。Samy Kamkar用这个“作案工具”窃听、记录无线车钥匙的指令，破解车门电子锁，并且在破解之后相当长的一段时间里，都可以不再借助车主的开锁操作，自行打开车门。

    车主开锁时窃取电子指令，无人时再发射开关车门。这项技术听起来好像也不怎么高明。其实这种玩法早就被人发现了，只是借着Samy哥的最新成果展示才被摆上台面。而且多年来，使用这种小工具进车行窃的案例不胜枚举。黑客能重复开关车门，是因为开关门的“ISM无线电信号”始终用了同一个电子解锁码。

    BUT，车企也不是傻子。他们用“滚动码”（rolling codes）系统代替了老式的“ISM无线电信号”，而正如名字那样，新系统中车钥匙发射的密码每次一换，黑客用同一个密码开门，就会因为代码重复使用被拒绝，强行进入还可能会触发警报。

    但是“RollJam”有些不同。它可以被藏在目标车辆上或者车库里，等待毫不知情的车主在车边按下无线钥匙解锁车门。前半段故事情节有点老套，但是随后车主会发现第一次没有响起开锁声，不过重试一下又成功了。之后Samy Kamkar可以随时随地取回“RollJam”，在车边按下设备上的一个按钮打开车门。

    之所以能做到这点，是因为“RollJam”瓦解了“滚动码”的安全防护措施。而这种防护方法被用在当今多数汽车和卡车的无匙进入系统、警报系统，以及车库门禁系统。

    我们不妨来模拟一个攻击场景详细分析下其中的原理，假设一个受害车主，姑且称他为黑土。

• 1.黑土第一次按下钥匙，想要打开车门。“RollJam”一方面会把车钥匙信号碾碎，另一方面会发出两股同频无线电信号噪音，干扰车门端接收器。几乎同时，“RollJam”会收听到第三个信号，这个信号比较微弱，正是可以解锁车门的密钥。避开原本的车门接收器，“RollJam”记录并存储了这个密码。

• 2.好，黑土又按了一次。这回RollJam又继续粉碎钥匙端信号，记下了第二个代码。说时迟那时快，“RollJam”调皮地播放了第一个代码。结果呢，第二次开门用了第一次未被车端接收的密码，自然是“成功”开了门。

“RollJam”破解“两部曲”

    如果“RollJam”被捆绑在车上或者丢在车库不远的小角落里，他就能在黑土每次按下钥匙时，重复上述碾碎和截取操作，然后替换为上一次的code，把这次的code存为下次使用。所以无论黑土什么时候开车门，“RollJam”也都能为你伪装一枚全新的未曾使用的密码。心怀不轨的人挑个四下无人的机会，就能一键开门偷取车上的所有东西。

    这种破解方法听起来有点不厚道，而且好多黑客会认为，没有在代码和系统上直接破解，算不得什么英雄好汉。不过白帽黑客更多是寻找可能的危险漏洞，关键是车主觉得难得出个故障也没什么好奇怪，开两次才成功很平常啊。但是当他像往常一样开车回家，却不知道别人那里已经有了可以打开他车门的密码。

    在DefCon黑客大赛上，Samy哥详细展示了“RollJam”攻击无线控制门禁、车库和汽车的方法。而且他介绍，目前很多汽车现在都能由GSM的移动设备控制，甚至有更多的车可以被频射的无线网络电子钥匙解锁、发动，低成本工具就能攻破汽车的网络安全防线。比如他自己，就在Youtube上传过一个用按上信号发射天线的儿童打字玩具开关车库门的视频。

都是芯片惹的祸

    Samy Kamkar自称已经在日产、凯迪拉克、福特、丰田、莲花和大众以及克莱斯勒车上测试了“RollJam”的有效性。而且还在Cobra、Viper、Genie和Liftmaste一众使用“滚动码”的车库电子门禁系统上测试成功。根据现在市场上的产品情况，Samy Kamkar预测上百辆车和车库门都会因此受到攻击。

    白帽黑客的使命是帮助企业解决目前的电子安全问题，然后修复这些容易遭到攻击的漏洞。在人们追问漏洞出处时，Samy Kamkar提到，他坚信问题根源在于多家企业使用的芯片存在问题。这些芯片分别来自美国微芯科技有限公司生产的Keeloqand芯片以及德州仪器出售的Hisec芯片。

    在上一起攻击通用车案例就出过长文报道的“连线”记者再度出动。他们联系了上述几家车企和车库门禁公司，但是所得回应寥寥。开门机公司Liftmaster和大众汽车不予置评，一名Viper公司的发言人称，他们会研究一下Samy哥案例中的细节信息。

    值得注意的是，凯迪拉克的发言人David Caldwell回了一封邮件，里面写道：“我们网络安全的专家对这种破解方法很熟悉，而且他确定这种方式只能破解凯迪拉克早年生产的一些车款，最新生产的凯迪拉克车型已经换上了一套新的安全防护系统”。

    这封邮件回应包含的一个隐藏信息点是：Samy哥已经不是第一个用这种粉碎、截取和重播的方式攻击汽车电子系统的第一人，这个问题我们早就知道啦~可以查证的资料显示，去年三月的时候，安全专家Spencer Whyte在一篇文章中提到，他也已经制造了一种类似的设备。

    对此Kamkar的回应是，自己研发的“RollJam”是个更加精准的版本，与Whyte的方法比更加自动化。“RollJam”不需要像Whyte那样，把主设备连接到笔记本电脑。而且Whyte看起来想把这项破解方法保密起来，Samy Kamkar在Defcon演讲之前，都一直把破解方式公开在Github网站上。

    不过Kamkar也赞同，凯迪拉克的回应说的没错。“RollJam”在攻击凯迪拉克新款汽车时的确没有成功。原因在于他们使用了最新版的Keelop芯片——Dual Keelop。这种芯片集成了一种密钥系统，会让密钥在较短时间内失效，因此可以阻挡类似“RollJam”的攻击。

    值得车企思考的一点是，Google Authenticator或RSA’s SecurID这样的互联网身份验证系统之所以使用codes，Kamkar指出，其中的原因之一，就在于这种验证方式可以在数秒后让密钥失效，安全可靠更高。互联网行业里已经有先例发生，车企应该知道，使用滚动码却不添加代码失效是一种偷懒且傻的行为，完全无法满足产品安全。

    Samy哥制造“RollJam”的目的，就是为了证明汽车和车库门禁公司要及时更新加入失效密码的功能，不然消费者就会成为下一个黑土。当传统车企所需的电子专业技术要求越来越高，白帽黑客的存在才显得至关重要吧。