勁爆：OfO小黃車最新款鎖被破解，影響千萬(wàn)共享單車｜黃正獨(dú)家揭秘

OfO小黃車的最新款鎖被兩個(gè)黑客現(xiàn)場(chǎng)破解了！而且，短期內(nèi)這個(gè)漏洞可能修補(bǔ)起來(lái)很困難。

9月6日，在極智未來(lái)XPwn上，上演了可能讓 OfO 懵逼的一幕。

“共享單車鎖廠很多，哪家實(shí)力最強(qiáng)？”

“我們決定拿最大的鎖廠Nokelock最新款的智能馬蹄鎖試試。截止5月，共有515萬(wàn)把投放量。”

百度安全的安全研究員黃正和小灰灰如是說(shuō)。

首當(dāng)其沖的是大面積鋪了這款鎖的 OfO 。

在這場(chǎng)連破解前一天媒體都沒收到一點(diǎn)風(fēng)聲的現(xiàn)場(chǎng)破解大賽上，兩輛用于演示的小黃車被抬到了演講臺(tái)上。

接著，黃正掏出了一款看上去與對(duì)講機(jī)一樣小的設(shè)備，小灰灰搗鼓了一下兩臺(tái)筆記本電腦，數(shù)了三秒，然后演講臺(tái)上的兩把鎖就滴答一聲開了！ 

一把鎖引發(fā)的 OfO “慘劇”

這是怎么回事？故事要從幾周前開始。

百度安全實(shí)驗(yàn)室以進(jìn)行前沿研究為主。有一天，百度安全的幾個(gè)研究員在某寶上逛，發(fā)現(xiàn)某寶上在賣各種共享單車的鎖、零部件什么的。

好像很有意思的樣子，買兩把鎖過(guò)來(lái)玩玩吧。

然后，一不小心就買了一款 OfO 最新使用的鎖。

破解過(guò)自動(dòng)售貨機(jī)、智能門鎖的安全研究員練就了一身過(guò)硬的開鎖技能。

黃正對(duì)雷鋒網(wǎng)宅客頻道編輯表示：“這種鎖一般人確實(shí)拆解不了，因?yàn)樾酒貏e小，我們用特殊工具把里面的關(guān)鍵芯片取了出來(lái)，花了一個(gè)星期進(jìn)行了逆向分析，然后發(fā)現(xiàn)了一個(gè)大漏洞。”

這并不是一個(gè)容易的過(guò)程。

黃正、小灰灰并沒有這款鎖的源代碼，但是根據(jù)先前破解的經(jīng)驗(yàn)，他們決定先研究OfO的通信情況。

這個(gè)車鎖里有一個(gè)SIM卡，通過(guò)GPRS的流量訪問(wèn)服務(wù)器，發(fā)送的內(nèi)容經(jīng)過(guò)某算法加密。

找到這個(gè)算法后，他們?cè)诿Ｃ４a中找到了一條關(guān)鍵的通道，在這條通道上，黃正、小灰灰終于發(fā)現(xiàn)了打開關(guān)鍵功能的大門。

黃正分析出了加密方式，又發(fā)現(xiàn)了加密犯的一個(gè)錯(cuò)誤，利用這個(gè)錯(cuò)誤，他們可以在用戶關(guān)鎖時(shí)，鎖和云端的通訊過(guò)程中，成功劫取鎖和云端通訊的信號(hào)。

一個(gè)關(guān)鍵信息點(diǎn)是，為了減少通訊，一輛共享單車鎖與云端通訊時(shí)，比如，鎖車時(shí)，鎖會(huì)告訴云端：“寶寶我先睡了，你把下次開車的密碼告訴我，下次開車我就不打擾你了。”

然后，云端就把密碼“預(yù)付”了。

黃正和小灰灰動(dòng)的手腳是，讓車鎖在和云端的通訊過(guò)程中，將車鎖信號(hào)劫持到自己的服務(wù)器上，從而把原來(lái)應(yīng)該給車鎖的密碼修改成自己設(shè)定的任意密碼。

承包了這個(gè)地鐵口的共享單車

看上去，這僅僅是免費(fèi)騎車的一個(gè)方式。

事情并沒有這么簡(jiǎn)單。

黃正沒在演講臺(tái)上告訴大家的是，其實(shí)他們還可以在服務(wù)器端把車鎖與云端的通訊過(guò)程中獲得密碼的機(jī)制修改成“不認(rèn)識(shí)”云端發(fā)送的正確密碼，但其他任意密碼都可打開車鎖。

這意味著，正兒八經(jīng)的用戶反倒開不了鎖，其他別有用心的用戶反倒分分鐘開鎖！

難怪，小灰灰在演示時(shí)表示：我的服務(wù)器在主導(dǎo)一切，你的鎖成了我的鎖，你的車成了我的車，早上起來(lái)去地鐵，地鐵旁邊停的這一片OfO 都被我承包了！

這兩個(gè)安全研究員開玩笑地建了個(gè)群，與另一位參與破解的同事表示：搞定！買漆去！

把 OfO 分分鐘涂成 UFO ，他們就可以不費(fèi)什么成本的創(chuàng)業(yè)了！

搗亂者的插曲

當(dāng)然，也并非不費(fèi)絲毫成本。

黃正展示了他們的關(guān)鍵工具：監(jiān)聽信號(hào)的“對(duì)講機(jī)”。事實(shí)上，這個(gè)裝備在以前雷鋒網(wǎng)宅客頻道的報(bào)道中也出現(xiàn)過(guò)，它就是發(fā)出“假信號(hào)”的“引路人”。黃正告訴雷鋒網(wǎng)，這個(gè)裝備也不便宜，造價(jià)數(shù)千美元。

讓追求完美的小灰灰不開心的是，在他們的演示過(guò)程中，后臺(tái)出現(xiàn)了一個(gè)搗亂者，對(duì)方可能在用信號(hào)強(qiáng)大的某設(shè)備進(jìn)一步劫持了車鎖的信號(hào)，試圖阻擋兩人的正常演示。

但是，兩人留了一個(gè)后招：此前他們?cè)诮俪中盘?hào)后遠(yuǎn)程替換了一個(gè)車鎖的固件，這個(gè)固件可以讓車鎖只與他倆的設(shè)備通訊，而不認(rèn)搗亂者的設(shè)備。

自此，OfO 的車鎖真的成了小灰灰和黃正的車鎖！

不知攻，焉知防。黃正告訴雷鋒網(wǎng)，這個(gè)漏洞涉及關(guān)鍵的加密協(xié)議，車廠修補(bǔ)比較復(fù)雜，如果替換新的加密協(xié)議，在更換協(xié)議的過(guò)程中，要注意協(xié)議的適配性，不然可能影響車鎖的正常通訊。車鎖廠商整體對(duì)安全重視低，應(yīng)該多關(guān)注！

不然，千萬(wàn)輛小車將成為別人的小車！

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。