碰下鼻就解锁手机 看一眼就顺走汽车看一眼汽车,这辆汽车可能就会被“顺走”;安卓手机被破解后,不仅所有人能用指纹解锁,甚至鼻尖也行;明明手机和录音笔都开启了录音功能,但播放时,却只听见杂声一片,上演“消失的声波”……
在“GEEKCON 2023”中国站比赛现场,一场场神奇的网络攻击展现在眼前,虚拟世界中的“攻与防”被真实呈现出来。
在GEEKCON 组委会主席、DARKNAVY 董事长兼CEO王琦看来,今年比赛从聚焦极客“个人能力价值”升级为“企业安全价值”,通过安全对抗测试比赛,验证智能汽车、手机等产品的安全性,逐步建立安全行业标准和标杆效应,让安全性成为企业和产品品牌价值的衡量维度之一,推动科技、产业以及数字经济高质量有序发展。
顺走一辆新能源车,需要多久?“GEEKCON 2023”大赛上,选手给出的答案是低于20分钟。
停车、熄火、锁门……一位“车主”丝滑地离开自己的车。他不知道的是,没过多久,三名戴着面具和帽子的“黑客”出现在这辆贴满贴纸的新能源车面前,打开电脑,进行攻击。此时,车内Wi-Fi处于开启状态半岛BOB,“黑客”首先截获了车主与车辆建立联系的过程,攻破车内Wi-Fi,进入攻击车控系统的第一步。
“咯噔”一声,车门被打开,两个反光镜也随之展开。随后,“黑客”进入车内,在车上插了一根连接线,发出车控指令,车辆顺利启动,并开出了车位。
另一边的“黑客”则动作更加简单,看了一眼位于车辆挡风玻璃上的车架号,获得车辆相关信息后,伪造的控车PK证书就通过了车机的合法性校验,仅用了10分钟,车门就被解锁,车灯开始闪烁。
“这两个攻击都利用了智能网联汽车的云端车控系统和相关漏洞,虽然这样的场景目前并不多见,但也是一个警醒,既然能打开车门,以后也能攻击车辆内其他场景。”GEEKCON 2023裁判宋宇昊告诉《IT时报》记者。
随着汽车从传统机械产品向电子消费产品转变,除了车辆本身的安全性能以外,汽车的信息安全也至关重要。越来越智能化的汽车储存了个人信息半岛BOB·中国官方网站、驾驶习惯、导航记录等敏感信息。车辆控制数据如果被恶意攻击、窃取和篡改,致使车辆被非法控制,会产生严重的社会道路安全问题,因此对企业的信息安全保护不断提出更高要求。
“从行业发展趋势来说半岛BOB,2025年智能汽车对应代码行数将超过10亿行,除了汽车物理安全外,数字安全的路程会更长,要全面提升汽车数字安全的‘免疫力’。”极氪智能科技副总裁刘昊在比赛现场表示。
去年的极棒大赛上,有一个名为“风云”的挑战项目,选手通过连接与目标设备相同的网段,发起攻击获取root权限,不到几分钟便控制了VOIP话机,实时商务会议话机视频内容。
隔墙有耳,已经成为个人隐私、商务机密泄露的重要渠道之一,在一些不允许泄露信息的设备上,存在与会者偷录或被偷听的情况。也因此,市面上出现了很多反工具,但大多体积大、成本高、技术要求高。
为了攻克这些难题,清华大学NISL物联网安全研究小组自制了一款反设备,可以在1.5米距离外,干扰三个不同型号的iPhone、三个不同品牌的安卓手机和一个录音笔。
当一位工作人员讲话时,这款看上去不那么高级、表面布满蜂窝状的设备开始发送干扰信号。10秒过后,挑战过程结束。
“3.14159……”有的设备一开始能够听见录入的声音,但随后就被一段“嗞嗞”的电流噪声打断,有的设备从一开始传出的就是电流声,完全听不到任何有效信息。
“这款自制设备虽然看上去很简陋,但奥秘在于设备表面的六边形陈列是有匹配关系的,可以通过信号干扰录音设备。”NISL物联网安全研究小组成员向《IT时报》记者介绍,接下去要攻克的问题是增强功率,功率越大,防范效果就越好,此外,干扰方向、环境遮挡等因素也都要更多考虑。
腾讯安全玄武实验室研究员陈昱在现场展示了通过“无限手套”破解主流手机指纹验证的过程,这里的“无限手套”并不是一副实体手套,而是安全人员发现了不同制造商、操作系统和指纹类型的SFA系统中存在的设计漏洞,从而实现了无限的验证尝试,安全人员将之命名为“Infinity Gauntlet(无限手套)”。
“此前,这款手机上只录入了我的一个手指指纹,接下去,任何手指都能解锁。”在大会现场,陈昱通过技术手段绕过了有效性()检测,并定制了合成指纹生成器,以获得有效的暴力指纹字典。
打开手机后盖,切断指纹模组,接入攻击设备,注入指纹字典,然后陈昱随意用任何一根手指都轻松将手机解锁,“任意开锁”的部分来自陈昱的鼻子,只见他将鼻尖轻轻触碰指纹区,“哗”的一声,手机解锁。
目前,手机执行的安全策略是当错误次数大于阈值后禁止指纹认证、每隔72小时需要验证主密码才能重启指纹认证服务等,以往黑客采用假指纹模具以及指纹残迹很容易受限于安全策略bob半岛,但如果以后用“无限手套”,“基本一次便可攻击成功。”陈昱说。
为根本没有看过的内容点赞、发出从未编写过的评论、下单从未浏览过的商品……作为一名普通消费者,或许碰到过这样的情况却无可奈何。在网络安全人士看来,也许你的账号已经被黑产利用,成为获利链条的一环。
黑灰产的最大特点是逐利,只要能产生利益的地方几乎逃不开它的觊觎。现在的极客,不仅用黑客技术来维护网络信息安全,也在通过技术能力帮助互联网公司或执法部门追查地下黑灰产。
今年赛场上,主办方设置了“特别披露”环节,几组选手披露了一年间帮助执法部门铲除黑产团伙的案例:通过层层攻击溯源、追踪违法行为痕迹bob半岛、追查违法资金流向等方式半岛BOB,剥丝抽茧式找到App中的恶意组件;防止黑产利用系统漏洞造假流量,操控手机点击浏览网页欺骗广告主和平台;防止用户账户被盗取造成数据泄露和被操控;以及防止用户账户被利用进行点赞、刷评论、刷单等。
“‘一键登录’是现在常用的功能,但现在已经成为被黑灰产利用的重要环节。”一位极客说,他们曾协助执法部门锁定过黑产攻击方法,所有受害设备均为安卓系统。极客们假设了N种攻击方法,包括恶意热点劫持、用户安装了破解版恶意客户端等,但都被一一推翻,最终攻击原因锁定一键登录。
“用户如果在同一设备上安装了第三方恶意应用,它可以模拟一键登录请求,从而使攻击满足从常用设备出发,且IP相同等鉴权要素。”上述极客解释,安卓系统的鉴权仅存在于“手机号”级别即“设备级别”,无法细化到“应用级别”,恶意应用往往会伪装成广告SDK嵌入App中。
该极客建议,开发者应更安全地使用一键登录能力,设备厂商应更严格地进行应用商店审核,用户应尽量避免安装不明来源应用。
某一天,当AI深入世界的各个角落,会不会出现“GPT是黑客,而我们人类已成为Bug”的情况?王琦在现场抛出了这个问题。
伴随GPT大模型的不断迭代和各种应用场景的广泛增加,行业中不断创造出新业态、新模式、新工具和新市场,推动各行业智能化提升,但伴随而来的是,保障安全半岛BOB半岛BOB、合理使用AI成为快速发展的前提。
蚂蚁安全光年实验室、云起无垠和千里目三个安全研究机构针对GPT安全进行挑战,并展示他们的研究成果:用自制工具批量生成“越狱”提示词,误导GPT突破限制,或出现错误;从正向角度利用GPT辅助安全研究,将GPT应用于安全攻防,防止AI技术被滥用和利用,维护网络的秩序和安全。
世界上不存在没有漏洞的系统,蚂蚁集团副总裁、首席技术安全官、GEEKCON 赛事评委韦韬表示,未来的通用技术就是AI和安全,伴随GPT带来的生产效率极大提升,一定需要匹配相应的安全能力。当互联网行业和各行业数字化产值越来越大,如果正向安全投入不足,反向侵害就会规模越大,且程度深。
目前,安全领域每年投入不到AI的千分之一,且国内外安全的市场体量差距也比较大,安全行业还有很大的提升空间。
Copyright © 2012-2025 半岛BOB·「中国」官方网站 版权所有 Powered by EyouCmsHTML地图 XML地图 鲁ICP备18053584号-2
收到你的留言,我们将第一时间与你取得联系