数字钥匙已经成为解锁电动汽车的一种常见而方便的方式——但是安全研究人员已经展示了犯罪分子如何利用这一点。

为科技公司Mysk工作的网络安全研究人员Tommy Mysk和Talal Haj Bakry发现了一个漏洞，可以让网络犯罪分子在解锁受害者的汽车并开车离开之前访问特斯拉账户以生成“数字密钥”。他们在3月7日的YouTube演示中详细介绍了他们的发现。他们实现了黑客攻击——解锁了特斯拉Model 3的门——尽管该账户受到双重验证（2FA）的保护。这是一个额外的保护层，要求在登录前输入代码——他们绕过了。

他们只需要一个小型的Flipper Zero设备和一个Wi-Fi开发板——两者都可以在网上购买。

Flipper Zero设备售价仅为169美元，对安全研究人员来说类似于一把“瑞士军刀”。它可以让他们读取、复制和模拟射频和近距离无线通讯技术（NFC）标签、无线电遥控器、数字访问密钥和其他信号。尽管加拿大刚刚提出了禁止它的措施，但它在美国是合法的。

研究人员在Wi-Fi开发板旁边使用Flipper Zero生成并广播了一个虚假的特斯拉登录页面，然后欺骗受害者分享他们的登录凭据。黑客是如何工作的？研究人员通过一个名为“特斯拉访客”的公共Wi-Fi网络进行了这种利用，就像特斯拉服务中心使用的一样。他们通过Flipper Zero广播了这个网络的虚假版本，这意味着如果有人点击受控制的网络访问Wi-Fi，就会出现一个欺骗的特斯拉登录屏幕。在特斯拉司机经常访问的地方广播这个虚假的Wi-Fi网络，如特斯拉超级充电器，将使网络犯罪分子能够窃取特斯拉账户的登录详细信息。

如果在现实世界中被利用，黑客只需要等待一个毫无戒心的特斯拉司机连接到虚假的无线网络，并在欺骗的登录门户中输入他们的登录详细信息。用户的凭据，包括他们的电子邮件地址、密码和2FA代码，就会出现在Flipper Zero的屏幕上。然后，在获得这些信息后，黑客就可以启动特斯拉应用程序并访问受害者的帐户。

相关：科学家说，实验性无线电动汽车充电器与超高速有线插头一样快

该应用程序提供了汽车的实时位置，黑客无需事先激活他们手机上的数字钥匙。通过激活受害者汽车附近的钥匙，黑客可以远程控制它。令人担忧的是，你可以在不在车里的情况下做到这一点——你只需要启用蓝牙并激活位置设置。

因为用户的应用程序或他们汽车的内置触摸屏上没有出现警报来说明他们的帐户中添加了新设备，所以他们不会知道有人入侵了他们的帐户并试图控制他们的汽车。

为了演示这一漏洞，研究人员成功解锁了特斯拉Model 3的车门，并展示了如何在触摸屏上没有通知的情况下添加数字钥匙。他们能够启动汽车并开车离开。

研究人员惊讶地发现，你需要一张物理钥匙卡（所有特斯拉司机都有）来验证数字钥匙的移除——并且在钥匙移除后会向车主发送消息推送。这是尽管在添加新钥匙时没有发送这样的通知。这对EV安全意味着什么？尽管特斯拉车主手册说明需要物理钥匙卡来添加和移除数字钥匙，但研究人员证明，这只是移除数字钥匙的情况——而不是添加它们。Mysk团队向特斯拉产品安全公司报告了他们的发现，该公司回应称这是“预期行为”

“我们展示了社会工程和网络钓鱼是如何有效的，”研究人员在他们的演讲中写道。"它甚至击败了多因素身份验证."安全研究人员认为钥匙卡身份验证应该是强制性的，如果特斯拉车主的账户中添加了新密钥，他们应该会收到通知。

网络安全公司ESET的全球安全顾问杰克·摩尔告诉《生活科学》，像脚蹼零这样易于访问的设备“可以在恶意活动中为威胁行为者提供巨大的帮助”

“作为黑客工具包中的另一个工具，以及其他社会工程技术，这些设备为受害者增加了一个新的维度，”他解释道。

“随着市场上无穷无尽的智能设备和设备中内置的无线技术，以前从未证明使用它是合理的，因此我们比以往任何时候都更需要警惕。”