作者／ IT時(shí)報(bào)記者 潘少穎

編輯／ 郝俊慧 孫妍

看一眼汽車，這輛汽車可能就會(huì)被“順走”；安卓手機(jī)被破解后，不僅所有人能用指紋解鎖，甚至鼻尖也行；明明手機(jī)和錄音筆都開啟了錄音功能，但播放時(shí)，卻只聽見雜聲一片，上演“消失的聲波”……

在“GEEKCON 2023”中國(guó)站比賽現(xiàn)場(chǎng)，一場(chǎng)場(chǎng)神奇的網(wǎng)絡(luò)攻擊展現(xiàn)在眼前，虛擬世界中的“攻與防”被真實(shí)呈現(xiàn)出來(lái)。

在GEEKCON 組委會(huì)主席、DARKNAVY 董事長(zhǎng)兼CEO王琦看來(lái)，今年比賽從聚焦極客“個(gè)人能力價(jià)值”升級(jí)為“企業(yè)安全價(jià)值”，通過(guò)安全對(duì)抗測(cè)試比賽，驗(yàn)證智能汽車、手機(jī)等產(chǎn)品的安全性，逐步建立安全行業(yè)標(biāo)準(zhǔn)和標(biāo)桿效應(yīng)，讓安全性成為企業(yè)和產(chǎn)品品牌價(jià)值的衡量維度之一，推動(dòng)科技、產(chǎn)業(yè)以及數(shù)字經(jīng)濟(jì)高質(zhì)量有序發(fā)展。

01 挑戰(zhàn)一：10分鐘，解鎖一輛新能源車

每一屆比賽上，汽車總是極客們關(guān)注的焦點(diǎn)，沒有鑰匙，不和汽車進(jìn)行物理接觸，就可以打開車門。

順走一輛新能源車，需要多久？“GEEKCON 2023”大賽上，選手給出的答案是低于20分鐘。

停車、熄火、鎖門……一位“車主”絲滑地離開自己的車。他不知道的是，沒過(guò)多久，三名戴著面具和帽子的“黑客”出現(xiàn)在這輛貼滿貼紙的新能源車面前，打開電腦，進(jìn)行攻擊。此時(shí)，車內(nèi)Wi-Fi處于開啟狀態(tài)，“黑客”首先截獲了車主與車輛建立聯(lián)系的過(guò)程，攻破車內(nèi)Wi-Fi，進(jìn)入攻擊車控系統(tǒng)的第一步。

“咯噔”一聲，車門被打開，兩個(gè)反光鏡也隨之展開。隨后，“黑客”進(jìn)入車內(nèi)，在車上插了一根連接線，發(fā)出車控指令，車輛順利啟動(dòng)，并開出了車位。

另一邊的“黑客”則動(dòng)作更加簡(jiǎn)單，看了一眼位于車輛擋風(fēng)玻璃上的車架號(hào)，獲得車輛相關(guān)信息后，偽造的控車PK證書就通過(guò)了車機(jī)的合法性校驗(yàn)，僅用了10分鐘，車門就被解鎖，車燈開始閃爍。

“這兩個(gè)攻擊都利用了智能網(wǎng)聯(lián)汽車的云端車控系統(tǒng)和相關(guān)漏洞，雖然這樣的場(chǎng)景目前并不多見，但也是一個(gè)警醒，既然能打開車門，以后也能攻擊車輛內(nèi)其他場(chǎng)景?！盙EEKCON 2023裁判宋宇昊告訴《IT時(shí)報(bào)》記者。

隨著汽車從傳統(tǒng)機(jī)械產(chǎn)品向電子消費(fèi)產(chǎn)品轉(zhuǎn)變，除了車輛本身的安全性能以外，汽車的信息安全也至關(guān)重要。越來(lái)越智能化的汽車儲(chǔ)存了個(gè)人信息、駕駛習(xí)慣、導(dǎo)航記錄等敏感信息。車輛控制數(shù)據(jù)如果被惡意攻擊、竊取和篡改，致使車輛被非法控制，會(huì)產(chǎn)生嚴(yán)重的社會(huì)道路安全問(wèn)題，因此對(duì)企業(yè)的信息安全保護(hù)不斷提出更高要求。

“從行業(yè)發(fā)展趨勢(shì)來(lái)說(shuō)，2025年智能汽車對(duì)應(yīng)代碼行數(shù)將超過(guò)10億行，除了汽車物理安全外，數(shù)字安全的路程會(huì)更長(zhǎng)，要全面提升汽車數(shù)字安全的‘免疫力’。”極氪智能科技副總裁劉昊在比賽現(xiàn)場(chǎng)表示。

02 挑戰(zhàn)二：消失的聲波

去年的極棒大賽上，有一個(gè)名為“竊聽風(fēng)云”的挑戰(zhàn)項(xiàng)目，選手通過(guò)連接與目標(biāo)設(shè)備相同的網(wǎng)段，發(fā)起攻擊獲取root權(quán)限，不到幾分鐘便控制了VOIP話機(jī)，實(shí)時(shí)竊聽商務(wù)會(huì)議話機(jī)視頻內(nèi)容。

隔墻有耳，已經(jīng)成為個(gè)人隱私、商務(wù)機(jī)密泄露的重要渠道之一，在一些不允許泄露信息的設(shè)備上，存在與會(huì)者偷錄或被偷聽的情況。也因此，市面上出現(xiàn)了很多反竊聽工具，但大多體積大、成本高、技術(shù)要求高。

為了攻克這些難題，清華大學(xué)NISL物聯(lián)網(wǎng)安全研究小組自制了一款反竊聽設(shè)備，可以在1.5米距離外，干擾三個(gè)不同型號(hào)的iPhone、三個(gè)不同品牌的安卓手機(jī)和一個(gè)錄音筆。

當(dāng)一位工作人員講話時(shí)，這款看上去不那么高級(jí)、表面布滿蜂窩狀的設(shè)備開始發(fā)送干擾信號(hào)。10秒過(guò)后，挑戰(zhàn)過(guò)程結(jié)束。

“3.14159……”有的設(shè)備一開始能夠聽見錄入的聲音，但隨后就被一段“嗞嗞”的電流噪聲打斷，有的設(shè)備從一開始傳出的就是電流聲，完全聽不到任何有效信息。

“這款自制設(shè)備雖然看上去很簡(jiǎn)陋，但奧秘在于設(shè)備表面的六邊形陳列是有匹配關(guān)系的，可以通過(guò)信號(hào)干擾錄音設(shè)備?！盢ISL物聯(lián)網(wǎng)安全研究小組成員向《IT時(shí)報(bào)》記者介紹，接下去要攻克的問(wèn)題是增強(qiáng)功率，功率越大，防范效果就越好，此外，干擾方向、環(huán)境遮擋等因素也都要更多考慮。

03 挑戰(zhàn)三：用鼻子解鎖手機(jī)

無(wú)限手套是漫威體系下的宇宙神器，可以讓持有者擁有毀滅所有現(xiàn)實(shí)的能力。

騰訊安全玄武實(shí)驗(yàn)室研究員陳昱在現(xiàn)場(chǎng)展示了通過(guò)“無(wú)限手套”破解主流手機(jī)指紋驗(yàn)證的過(guò)程，這里的“無(wú)限手套”并不是一副實(shí)體手套，而是安全人員發(fā)現(xiàn)了不同制造商、操作系統(tǒng)和指紋類型的SFA系統(tǒng)中存在的設(shè)計(jì)漏洞，從而實(shí)現(xiàn)了無(wú)限的驗(yàn)證嘗試，安全人員將之命名為“Infinity Gauntlet（無(wú)限手套）”。

“此前，這款手機(jī)上只錄入了我的一個(gè)手指指紋，接下去，任何手指都能解鎖?！痹诖髸?huì)現(xiàn)場(chǎng)，陳昱通過(guò)技術(shù)手段繞過(guò)了有效性（活體）檢測(cè)，并定制了合成指紋生成器，以獲得有效的暴力指紋字典。

打開手機(jī)后蓋，切斷指紋模組，接入攻擊設(shè)備，注入指紋字典，然后陳昱隨意用任何一根手指都輕松將手機(jī)解鎖，“任意開鎖”的高潮部分來(lái)自陳昱的鼻子，只見他將鼻尖輕輕觸碰指紋區(qū)，“嘩”的一聲，手機(jī)解鎖。

目前，手機(jī)執(zhí)行的安全策略是當(dāng)錯(cuò)誤次數(shù)大于閾值后禁止指紋認(rèn)證、每隔72小時(shí)需要驗(yàn)證主密碼才能重啟指紋認(rèn)證服務(wù)等，以往黑客采用假指紋模具以及指紋殘跡很容易受限于安全策略，但如果以后用“無(wú)限手套”，“基本一次便可攻擊成功。”陳昱說(shuō)。

04 挑戰(zhàn)四：一鍵登錄的“鑒權(quán)”缺陷

為根本沒有看過(guò)的內(nèi)容點(diǎn)贊、發(fā)出從未編寫過(guò)的評(píng)論、下單從未瀏覽過(guò)的商品……作為一名普通消費(fèi)者，或許碰到過(guò)這樣的情況卻無(wú)可奈何。在網(wǎng)絡(luò)安全人士看來(lái)，也許你的賬號(hào)已經(jīng)被黑產(chǎn)利用，成為獲利鏈條的一環(huán)。

黑灰產(chǎn)的最大特點(diǎn)是逐利，只要能產(chǎn)生利益的地方幾乎逃不開它的覬覦?，F(xiàn)在的極客，不僅用黑客技術(shù)來(lái)維護(hù)網(wǎng)絡(luò)信息安全，也在通過(guò)技術(shù)能力幫助互聯(lián)網(wǎng)公司或執(zhí)法部門追查地下黑灰產(chǎn)。

今年賽場(chǎng)上，主辦方設(shè)置了“特別披露”環(huán)節(jié)，幾組選手披露了一年間幫助執(zhí)法部門鏟除黑產(chǎn)團(tuán)伙的案例：通過(guò)層層攻擊溯源、追蹤違法行為痕跡、追查違法資金流向等方式，剝絲抽繭式找到App中的惡意組件；防止黑產(chǎn)利用系統(tǒng)漏洞造假流量，操控手機(jī)點(diǎn)擊瀏覽網(wǎng)頁(yè)欺騙廣告主和平臺(tái)；防止用戶賬戶被盜取造成數(shù)據(jù)泄露和被操控；以及防止用戶賬戶被利用進(jìn)行點(diǎn)贊、刷評(píng)論、刷單等。

一年里，這些選手幫助執(zhí)法部門打掉了移動(dòng)端最大的黑產(chǎn)團(tuán)伙，涉及被操控的手機(jī)過(guò)億。

“‘一鍵登錄’是現(xiàn)在常用的功能，但現(xiàn)在已經(jīng)成為被黑灰產(chǎn)利用的重要環(huán)節(jié)?！币晃粯O客說(shuō)，他們?cè)鴧f(xié)助執(zhí)法部門鎖定過(guò)黑產(chǎn)攻擊方法，所有受害設(shè)備均為安卓系統(tǒng)。極客們假設(shè)了N種攻擊方法，包括惡意熱點(diǎn)劫持、用戶安裝了破解版惡意客戶端等，但都被一一推翻，最終攻擊原因鎖定一鍵登錄。

“用戶如果在同一設(shè)備上安裝了第三方惡意應(yīng)用，它可以模擬一鍵登錄請(qǐng)求，從而使攻擊滿足從常用設(shè)備出發(fā)，且IP相同等鑒權(quán)要素?！鄙鲜鰳O客解釋，安卓系統(tǒng)的鑒權(quán)僅存在于“手機(jī)號(hào)”級(jí)別即“設(shè)備級(jí)別”，無(wú)法細(xì)化到“應(yīng)用級(jí)別”，惡意應(yīng)用往往會(huì)偽裝成廣告SDK嵌入App中。

該極客建議，開發(fā)者應(yīng)更安全地使用一鍵登錄能力，設(shè)備廠商應(yīng)更嚴(yán)格地進(jìn)行應(yīng)用商店審核，用戶應(yīng)盡量避免安裝不明來(lái)源應(yīng)用。

05 挑戰(zhàn)五 ：GPT是黑客，人類成Bug？

某一天，當(dāng)AI深入世界的各個(gè)角落，會(huì)不會(huì)出現(xiàn)“GPT是黑客，而我們?nèi)祟愐殉蔀锽ug”的情況？王琦在現(xiàn)場(chǎng)拋出了這個(gè)問(wèn)題。

伴隨GPT大模型的不斷迭代和各種應(yīng)用場(chǎng)景的廣泛增加，行業(yè)中不斷創(chuàng)造出新業(yè)態(tài)、新模式、新工具和新市場(chǎng)，推動(dòng)各行業(yè)智能化提升，但伴隨而來(lái)的是，保障安全、合理使用AI成為快速發(fā)展的前提。

螞蟻安全光年實(shí)驗(yàn)室、云起無(wú)垠和千里目三個(gè)安全研究機(jī)構(gòu)針對(duì)GPT安全進(jìn)行挑戰(zhàn)，并展示他們的研究成果：用自制工具批量生成“越獄”提示詞，誤導(dǎo)GPT突破限制，或出現(xiàn)錯(cuò)誤；從正向角度利用GPT輔助安全研究，將GPT應(yīng)用于安全攻防，防止AI技術(shù)被濫用和利用，維護(hù)網(wǎng)絡(luò)的秩序和安全。

世界上不存在沒有漏洞的系統(tǒng)，螞蟻集團(tuán)副總裁、首席技術(shù)安全官、GEEKCON 賽事評(píng)委韋韜表示，未來(lái)的通用技術(shù)就是AI和安全，伴隨GPT帶來(lái)的生產(chǎn)效率極大提升，一定需要匹配相應(yīng)的安全能力。當(dāng)互聯(lián)網(wǎng)行業(yè)和各行業(yè)數(shù)字化產(chǎn)值越來(lái)越大，如果正向安全投入不足，反向侵害就會(huì)規(guī)模越大，且程度深。

目前，安全領(lǐng)域每年投入不到AI的千分之一，且國(guó)內(nèi)外安全的市場(chǎng)體量差距也比較大，安全行業(yè)還有很大的提升空間。

?

排版／ 季嘉穎

圖片／ GEEKCON

來(lái)源／《IT時(shí)報(bào)》公眾號(hào)vittimes