NCC集团的安全研究人员近日已成功攻破特斯拉无钥匙系统，在中继通道建立起来后，整个攻击过程只需要不到10秒钟即可打开车门，并且可以无限重复攻击。

研究人员分别在Model 3和Model Y上进行测试，结果全部被攻破，攻击者可以解锁和操作汽车。2022年4月21日，NCC集团已经向特斯拉进行报告，特斯拉回应称“中继攻击是被动进入系统的一个已知限制，因此并不存在重大安全风险。”

但作为一名消费者，这样的网络攻击足以令人感到不安，毕竟现在很多特斯拉车主都已习惯不带钥匙用手机解锁车辆，而这个漏洞的存在无疑是悬在车主头顶的利剑。

NCC研究人员表示，这一问题不能简单通过软件修复和系统更新来解决，这需要特斯拉更改硬件，并修改无钥匙进入系统的逻辑才有可能彻底解决。

BLE漏洞淹没智能汽车

更令人感到心惊的是，NCC表示这个漏洞并非只是针对特斯拉，而是覆盖了绝大多数支持无钥匙进入的智能汽车，堪称智能汽车领域的一个“核弹级”漏洞，也为整个行业敲响了警钟。

它就是低功耗蓝牙（BLE）协议漏洞，攻击者开发了一种工具可执行低功耗蓝牙 (BLE) 中继攻击，足以绕过现有目标设备上的身份验证系统。

相较常规的蓝牙通信，BLE让不同设备在网络上能更加便捷地连接，并且可以显著降低功效和成本，是将不同传感器和控制设备连接在一起的理想选择。这也是BLE协议的设计初衷，如今它却成为黑客解锁智能技术装置新工具。

这也是全球第一次对于BLE链路层的中继攻击，其破解了基于BLE的接近身份验证机制。通过在链路层从基带转发数据，黑客可以绕过已知的中继攻击保护，包括加密的BLE通信，因为它绕过了蓝牙堆栈的上层和解密需求。

NCC研究人员表示，由于低功耗蓝牙普遍存在于消费级设备中，新漏洞的潜在攻击面很大，除了智能汽车外，该漏洞还有可能影响智能门锁等设备，具体如下：

具有无钥匙进入功能的汽车；

启用了蓝牙近距离解锁功能的笔记本电脑；

家庭智能门锁；

访问控制系统；

资产和医疗患者跟踪系统等。

更重要的是，此安全问题修复程序十分复杂，而且涉及到硬件更新，这意味着即使厂商反应迅速且协调一致，该安全问题依旧需要足够的时间来进行修复。

BLE是如何实现的？

在此类中继攻击中，攻击者可以拦截并操纵双方之间的通信，例如解锁汽车的秘钥和车辆本身。而处于两者中间的攻击者，可以传递信号如同车主就站在汽车旁边一样。

为此，NCC集团开发了一种在链路层运行的工具，延迟只有8毫秒，完全满足GATT（通用属性配置文件）响应时间在30毫秒以内的要求。

这里需要注意的是，由于这种中继攻击发生在链路层，它可以转发加密的链路层PDU，还能够检测连接参数（如连接间隔、WinOffset、PHY模式和通道映射）的加密更改，并通过参数更改继续中继连接。因此，无论是链路层加密还是加密连接参数更改都不能防御这种类型的中继攻击。

而在实验中的特斯拉Model 3和Model Y都使用基于BLE进入系统，因此上述攻击可用于解锁和启动汽车。

虽然这种新的 BLE 中继攻击背后的技术细节尚未公布，但研究人员表示，他们使用运行 Tesla 应用程序4.6.1-891版本的iPhone 13 mini在2020年的Tesla Model 3上测试了该方法。

当 iPhone 不在车辆的BLE范围内时，NCC 集团能够使用这种新开发的中继攻击工具来解锁和操作车辆。具体来说，他们使用了两个中继设备将来自 iPhone 的通信传送到汽车。其中一个放置在距离手机7米的地方，另一个放置在距离汽车3米的地方，手机和汽车之间的距离是25米，研究人员利用工具远程解锁了特斯拉汽车。

NCC集团安全研究人员表示，攻击者可以在晚上走到任何一户人家，如果主人的手机在家里，而且外面停着一辆可通过蓝牙进入的汽车，盗贼就可以使用这种攻击来解锁和启动汽车。只要设备在遥控钥匙或手机附近，攻击者就可以在世界任何地方发送攻击命令。

NCC集团将这种新的中继攻击在两个产品上进行了测试，一是特斯拉汽车，二是Kwikset/Weiser智能锁，结果都获得了成功。这意味着，使用了特斯拉和Kwikset/Weiser智能锁的其他产品也将受到影响。