原标题：汽车推送软件更新的车载OBD出现严重漏洞， 一道App指令就可控制油门、车门开启
来自香港的2名资安研究员今日（12/1）在HITCON Pacific 2016资安大会中，揭露了汽车推送软体更新的车载装置OBD出现严重安全漏洞，将可能导致骇客能利用此漏洞远端植入恶意软体，控制汽功能。
来自香港的2名资安研究员今日（12/1）在台湾举办的HITCON Pacific 2016资安大会中，揭露了汽车推送软体更新的车载装置OBD出现严重安全漏洞，将可能导致骇客能利用此漏洞远端植入恶意软体，只要从手机App发送指令就能控制行车中的汽车门窗和车门开启，甚至也能操控油门改变行车速度快慢。他们在今天揭露这个漏洞前，也已经通报相关的车厂，来尽快修补该漏洞。
目前许多2008年后出厂的汽车普遍都会在汽车前方仪表板下方嵌入一个称为OBD-II（On-Board Diagnostic，OBD）的装置，一般做为汽车诊断功能用途，车厂会经过OBD装置针对控制汽车功能的电子控制单元(ECU)来进行诊断，现在，更多车厂则会透过OBD对ECU的韧体来升级。
随着汽车开始具备联网功能，汽车也成为骇客锁定攻击的新目标，骇客想尽办法透过各种方式，来入侵到汽车内部网路，而原先做为汽车诊断功能的OBD装置，近年来则变成为骇客入侵汽车内部的常见途径之一，例如透过在OBD介面插入含有恶意软体的装置，来入侵到汽车内部网路，进而影响汽车功能操控。
揭露此漏洞的其中一位香港理工大学资讯系博士生薛磊，在参加HITCON Pacific资安大会时，也分享他们最近发现这个存在汽车OBD装置的安全漏洞的详细过程。
而目前两位就读香港理工大学资讯系的博士生薛磊和另一名研究生吕大伟，他们过去已有多年远端控制和车辆安全的研究经验，在这次的HITCON Pacific资安大会中，他们也揭露最近发现的这个存在汽车OBD装置的安全漏洞，并也示範如何利用此漏洞来植入恶意软体发动攻击的完整详细过程，还提出他们对于修补该漏洞的建议。
薛磊表示，他们是以目前市售汽车上常用的2款OBD装置来进行测试，并利用逆向工程手法，来逐一拆解出从手机App建立蓝牙连线发送更新指令，到利用OBD装置来更新系统韧体的完整过程，还在2辆採用相同OBD装置的福斯汽车上来进行验证，结果发现，在更新过程中，测试的OBD装置完全未提供任何安全保护机制，不只并未对发送的韧体进行验证，导致任意的韧体都能直接写入待更新的装置中，而OBD装置和手机App的通讯方式也不够安全，像是通讯未经过授权、蓝牙连线时也採用预设的PIN码，而网路连接协议也都未经过加密。
薛磊和吕大伟两人还自行写好一个更新韧体，并透过手机App来发送到OBD设备端来更新，并在韧体中增加攻击功能，可以远端控制汽车完成各种功能操控，他们现场也用2段影片示範了汽车安装了含有恶意软体的韧体后，在汽车引擎还在发动状态下，不只能自动收起后照镜，升降汽车门窗，也能开关车门，甚至薛磊表示，只要从手机App下达一道指令，就能够操控行车的汽车车速减慢或加速。
薛磊也提出几种方法来修复这个漏洞，包括了应增加对于升级的韧体进行验证的机制，而OBD设备与手机App之间也得建立共同的授权机制，确保只有能够得到信任的App才能够建立连线，另外也得要加强通讯验证机制，包括了採用加密的网路协议，以及不採用预设PIN码来建立蓝牙连线。薛磊表示，在今天揭露这项漏洞前，他们也已经通报相关的车厂，来尽快修补漏洞。
相关：
实时热点 目前,肇事者黄某已被警方控制,并初步排除“酒驾”毒驾。避免“油门”当刹车小窍门所以一定要养成不踩油门时就将脚移到刹车上的习惯,这能很大程度...昨天上午,江都区郭村镇二姜村发生一起交通事故,司机黄
赛门铁克整并Blue Coat后新产品首发，企业版防毒软件5年后全新改版
赛门铁克整併Blue Coat后，首度产品更新，在最新本的企业防毒产品SEP 14版引进机器学习技术，也可以透过API和闸道端产品做整合， 图片来源: iThome 资安公司赛门铁克在併购网路安全公司Blue Coat后，于日前正式推出
示意图，与新闻事件无关。 图片来源: SFMTA 美国旧金山市交通局（San Francisco Municipal Transportation Agency，SFMTA）上周遭到骇客以勒索软体攻击，并造成售票系统一度停摆， 外传骇客向SFMTA勒索了100个比特
朱芯仪和卫斯理日前上年代“别让身体不开心”，朱芯仪在怀第二胎时发现自己有幽闭恐惧症，她回忆有次看完电影要回家，她坐在车上感觉自己快被天花板压死，立刻开车门逃跑，把老公吓了一大跳，她感谢老公在她病发时一
图片来源: Bank Of England 勒索软体危害有多深？根据英国警方的抗诈骗专案Action Fraud统计，2016年至今，已经有至少4000名英国民众向警方通报其电脑感染勒索软体，并已付出总额达430万英镑(约合新台币1.7亿元)的赎