Bỏ đống tiền mua xe quốc dân Honda Civic nhưng hóa ra lại là con tablet Android chạy hệ điều hành cổ đại dễ bị hack sạch dữ liệu chỉ trong vài nốt nhạc.
Bond - Con AI tự xưng là Chief of Staff giúp các sếp dọn dẹp to-do list tự động. Cùng C4F mổ xẻ xem đây là siêu phẩm cứu rỗi cuộc đời hay lại một cú úp bô công nghệ mới.
Đưa chìa khóa xe cho nhân viên valet (giữ xe) ở nhà hàng sang chảnh và nghĩ thế là ngầu? Coi chừng con Honda Civic của các ông vừa bay màu sạch dữ liệu cá nhân, thậm chí bị biến thành máy nghe lén di động chỉ bằng một cái cắm USB dạo nha anh em.
Nguồn cơn câu chuyện bắt đầu khi một pháp sư công nghệ quyết định mang con Honda Civic thế hệ thứ 10 (đời từ 2016 đến 2021) ra làm chuột bạch để reverse engineer cái màn hình giải trí (infotainment). Cứ ngỡ hệ thống điều khiển xe hơi triệu đô phải bảo mật xịn xò con bò lắm, ai dè bóc lớp vỏ ra mới thấy bên trong là một cái máy tính bảng Android chạy phiên bản siêu cổ lỗ sĩ (Android 4.2.2 hoặc 4.4 tùy đời).
Tệ hơn nữa, tác giả phát hiện ra cổng USB ở hốc điều khiển trung tâm mặc định bật tính năng ADB (Android Debug Bridge) mà không hề có bất kỳ cơ chế xác thực hay password nào bảo vệ.
Từ lỗ hổng 'trời ban' này, kịch bản về một vụ 'Evil Valet' (tạm dịch: Ông thần giữ xe hắc ám) ra đời cực kỳ mượt mà:
Khi bạn kết nối điện thoại với xe qua Bluetooth để nghe nhạc hay nhận cuộc gọi, toàn bộ danh bạ, lịch sử cuộc gọi và tin nhắn sẽ tự động đồng bộ sang bộ nhớ của xe. Và thế là xong, gã hacker giữ xe đã có thể ung dung ngồi nhà hít hà toàn bộ thông tin nhạy cảm của bạn, thậm chí bật micro của xe lên để nghe lén xem hôm nay bạn đi đu đưa với ai.
Sau khi bài phân tích được đăng tải, cộng đồng dev và giới mộ điệu bốn bánh đã chia phe combat cực kỳ nhiệt tình:
Nhiều chuyên gia bảo mật cũng vào khịa nhẹ rằng các hãng xe hơi truyền thống thường cực kỳ lười cập nhật phần mềm. Một khi xe đã lăn bánh khỏi đại lý, hệ thống infotainment coi như bị mang con bỏ chợ, sống chết mặc bay, patch bảo mật là thứ xa xỉ.
Tóm cái váy lại, vụ này là một gáo nước lạnh dội thẳng vào mặt những ai đang thần thánh hóa công nghệ trên xe hơi. Bản chất phần lớn màn hình giải trí trên ô tô hiện nay (đặc biệt là các dòng xe phổ thông đời cũ) chỉ là những con máy tính bảng Android giá rẻ được tùy biến lại giao diện.
Đối với dân dev chúng ta, bài học xương máu rút ra là: Vật lý luôn thắng bảo mật phần mềm. Một khi kẻ xấu đã có quyền tiếp cận vật lý (physical access) vào thiết bị của bạn, thì mọi lớp phòng thủ phần mềm đều vô nghĩa. Đừng bao giờ giao chìa khóa xe, laptop hay điện thoại cho người lạ mà không có sự giám sát.
Còn nếu anh em nào ngứa nghề, muốn tự dựng lab để test các lỗ hổng bảo mật, hack thử hệ thống hay chạy thử script nghịch ngợm thì làm ơn đừng mang con xe cưng của mình hay của bố mẹ ra làm chuột bạch kẻo toang lại ăn lươn ăn gậy. Cứ thuê một con vps chất lượng cao về mà tha hồ quậy phá, vừa an toàn vừa không sợ sập server nhà người ta!
Chúc anh em lái xe an toàn và nhớ rút hết dây USB lạ ra trước khi khởi động máy nhé!
Nguồn tham khảo: juniperspring.org
