史上最嚴(yán)重?cái)?shù)據(jù)車禍：通用豐田特斯拉統(tǒng)統(tǒng)中招
前所未有的數(shù)據(jù)車禍?zhǔn)录?/p>
不是 1 家 2 家，也不分傳統(tǒng)車廠和造車新勢(shì)力。
100 多家車廠，從通用汽車、菲亞特克萊斯勒、福特、豐田，大眾到特斯拉，現(xiàn)在機(jī)密數(shù)據(jù)統(tǒng)統(tǒng)被供應(yīng)商的共同服務(wù)器曝光。
而且細(xì)思極恐的是，沒(méi)人知道這個(gè)安全風(fēng)險(xiǎn)何時(shí)開(kāi)始，也無(wú)法知道是否還有別人發(fā)現(xiàn)，更不知道數(shù)據(jù)是否已經(jīng)外泄。
今天，數(shù)據(jù)安全事件的當(dāng)事主角叫 Level One，一家 2000 年創(chuàng)辦于加拿大的汽車供應(yīng)商，由于提供機(jī)器人和自動(dòng)化方面的工程服務(wù)，在全球有 100 多家合作伙伴。
然而，正是這樣一家“能力越大責(zé)任越大”的供應(yīng)商，被網(wǎng)絡(luò)安全公司 UpGuard 的研究員 Chris Vickery 發(fā)現(xiàn)，數(shù)據(jù)后門(mén)大開(kāi)，輕松訪問(wèn)其合作伙伴的機(jī)密文件。
從車廠發(fā)展藍(lán)圖規(guī)劃、工廠原理、制造細(xì)節(jié)，到客戶合同材料、工作計(jì)劃，再到各種保密協(xié)議文件……甚至員工的駕駛證和護(hù)照的掃描件等隱私信息，共計(jì) 157 千兆字節(jié)，包含近 47，000 個(gè)文件。
數(shù)據(jù)之機(jī)密和豐富，令人背后發(fā)涼。
事件詳情
事情目前可最早追溯到本月 1 號(hào)。當(dāng)時(shí) UpGuard 安全團(tuán)隊(duì)的研究員 Chris Vickery 首次“盯上”了這個(gè)數(shù)據(jù)庫(kù)。
在 UpGuard，Chris Vickery 的核心工作就是檢查那些“無(wú)人看守”的緩存數(shù)據(jù)庫(kù)，并檢查是否存在無(wú)密碼訪問(wèn)的可能。因此，也有人將他崗位稱為：互聯(lián)網(wǎng)數(shù)據(jù)庫(kù)的看門(mén)狗。
但就在反復(fù)檢查過(guò)程中，Chris Vickery 確認(rèn)，泄露源正是供應(yīng)商 Level One，通過(guò) Level One 的文件傳輸協(xié)議 rsync，可以無(wú)障礙訪問(wèn)上述所有隱私數(shù)據(jù)。
于是 7 月 9 日，Chris Vickery 聯(lián)系到 Level One，10 日，Level One 采取斷網(wǎng)脫機(jī)的方式，暫時(shí)止住了數(shù)據(jù)庫(kù)裸露。
罪魁禍?zhǔn)椎?rsync 其實(shí)是一種廣泛使用的應(yīng)用程序，經(jīng)常用于大型數(shù)據(jù)傳輸和備份。但是，如果不采取適當(dāng)?shù)牟襟E限制 rsync 服務(wù)，數(shù)據(jù)可能就有泄露的風(fēng)險(xiǎn)。
這一次，Level One 錯(cuò)在沒(méi)有限制使用者的 IP 地址，讓非指定客戶端也能連接，并且也沒(méi)有設(shè)置用戶訪問(wèn)權(quán)限，比如客戶端在接收信息前進(jìn)行身份驗(yàn)證等。
也就是說(shuō)，在沒(méi)有這些措施保障的情況下，rsync 是可以公開(kāi)訪問(wèn)的。
而且這次數(shù)據(jù)暴露的規(guī)模之大，已經(jīng)超乎了當(dāng)事人和吃瓜群眾的想象。
暴露的信息主要包括客戶數(shù)據(jù)、員工信息及與 Level One 協(xié)議數(shù)據(jù)三類。
都很頭疼，都是定時(shí)炸彈。
客戶數(shù)據(jù)包括與 Level One 合作的通用、福特、特斯拉等 100 多家大型制造商的裝配線和工廠原理圖，保密協(xié)議和機(jī)器人的配置、規(guī)格、演示動(dòng)畫(huà)等。
工廠布局和機(jī)器人產(chǎn)品的詳細(xì) CAD 圖紙也包含在數(shù)據(jù)中。
除了原理圖外，詳細(xì)說(shuō)明的機(jī)器配置、規(guī)格和使用文檔，以及機(jī)器人在工作時(shí)的動(dòng)畫(huà)也已暴露。
Level One 的客戶向其中一些客戶端發(fā)送的 ID 證章和 VPN 憑證也在 rsync 中公開(kāi)。
發(fā)現(xiàn)的波音公司的證章申請(qǐng)表
最具諷刺意味的是，數(shù)十份保密協(xié)議的全文也在曝光行列，客戶隱私條款、保密數(shù)據(jù)文件、以及保密性質(zhì)協(xié)議，統(tǒng)統(tǒng)外露。
特斯拉的保密協(xié)議
驚不驚悚，意不意外？但暴露的事項(xiàng)不僅僅這些。
第二類是客戶的員工數(shù)據(jù)，包括員工駕駛執(zhí)照和護(hù)照掃描件、員工姓名和身份證號(hào)碼，還有照片等隱私數(shù)據(jù)。
護(hù)照掃描件信息
最后，還有 Level One 自己的數(shù)據(jù)。比一些合作的合同、發(fā)票、報(bào)價(jià)、工作范圍和客戶協(xié)議等，也在該數(shù)據(jù)庫(kù)中。
發(fā)現(xiàn)的 One Level 的銀行文檔
也就是說(shuō)，對(duì)于這 100 多家制造商來(lái)說(shuō)，從內(nèi)部人員到外部合作方數(shù)據(jù)，都已昭告天下——更悲劇的是，在漏洞曝光之前，是否有其他人士訪問(wèn)過(guò)，目前還沒(méi)有結(jié)論。
更別說(shuō)這些數(shù)據(jù)一旦落入“別有用心”人士之手，將會(huì)造成怎樣的威脅。
隱患警報(bào)
對(duì)于車廠來(lái)說(shuō)，工廠布局、自動(dòng)化流程和機(jī)器人規(guī)格等重要競(jìng)爭(zhēng)力，最終決定了公司的輸出潛力。
這些機(jī)密信息一旦被外人知悉，可能會(huì)招來(lái)競(jìng)爭(zhēng)對(duì)手的的抄襲和叵測(cè)居心人的惡意破壞。
車廠競(jìng)爭(zhēng)方面的底褲，也沒(méi)有秘密可言了。
更令人不安的是，這些文件涉及到 100 多家制造商獲得數(shù)字和物理訪問(wèn)的權(quán)限。
而且，在漏洞發(fā)現(xiàn)時(shí)，rsync 服務(wù)器上設(shè)置的權(quán)限表明，服務(wù)器竟然是可公開(kāi)寫(xiě)入的？！
這意味著一些人可能已經(jīng)更改了里面的文檔，比如可能直接替換存款指令中的銀行帳號(hào)或嵌入惡意軟件。
這是一次嚴(yán)重的安全事故車禍現(xiàn)場(chǎng)，給這 100 多家制造商帶來(lái)的安全風(fēng)險(xiǎn)后患無(wú)窮。
汽車制造，人命關(guān)天。
如果別有用心的人士已經(jīng)獲取了這些數(shù)據(jù)，然后用于汽車關(guān)鍵部件的漏洞攻擊，想想就令人不寒而栗。
最后，因?yàn)檫€包含了不少個(gè)人相關(guān)的隱私數(shù)據(jù)，是否會(huì)被用來(lái)其他危險(xiǎn)使用，都不得而知。
并且通過(guò)相關(guān)信息撞庫(kù)，還可能造成連鎖數(shù)據(jù)泄露，威脅遠(yuǎn)不止汽車數(shù)據(jù)本身。
目前進(jìn)展
截至目前，Level One 首席執(zhí)行官米蘭-加斯科已經(jīng)做出了回應(yīng)，他說(shuō)非常重視這一問(wèn)題，并在進(jìn)行全面調(diào)查，但還不能披露更多細(xì)節(jié)。
而相關(guān)涉及的車廠，肯定也已經(jīng)著急成熱鍋螞蟻了，但現(xiàn)在心中再痛，他們也只能選擇不予置評(píng)。
另外，Level One CEO 還表示，除了安全研究員 Vickery 之外，任何外部各方幾乎不可能找到該入口、看到這些數(shù)據(jù)，但他并沒(méi)有相關(guān)工具或手段來(lái)證明：都有誰(shuí)訪問(wèn)過(guò)該數(shù)據(jù)庫(kù)。
然而這個(gè)解釋有些 too young、too simple，sometimes naive。米蘭-加斯科以為只有 Vickery 這樣信息安全專家才會(huì)發(fā)現(xiàn)這漏洞。
但 Chris Vickery 也說(shuō)了，通過(guò)暴露的備份服務(wù)器就能輕松找到 Level One 的數(shù)據(jù)，并且不需要密碼或特殊訪問(wèn)權(quán)限，任何連接的人都可以下載這些材料。
對(duì)于這起數(shù)據(jù)車禍，只能說(shuō)明 Level One 這樣的供應(yīng)商真太大意了。
而且此次無(wú)疑又給我們上了一課：第三方供應(yīng)商和承包商可能造成的數(shù)據(jù)泄露風(fēng)險(xiǎn)，例子開(kāi)始一個(gè)接一個(gè)。
就在上個(gè)月，票務(wù)公司 Ticketmaster 也表示數(shù)千名客戶的付款信息被盜，源頭則是 Inbenta 公司在 TicketMaster 網(wǎng)站上運(yùn)行客戶支持聊天機(jī)器人的軟件存在漏洞。
另外別忘了，震驚全球的 Facebook 數(shù)據(jù)泄露事件，源頭也是在第三方公司“劍橋分析”。
安全研究公司 Ponemon 去年調(diào)查的企業(yè)中，有 56% 表示他們?cè)庥隽斯?yīng)商相關(guān)的數(shù)據(jù)泄露事件。而且在越來(lái)越多第三方獲得公司訪問(wèn)權(quán)的時(shí)候，數(shù)據(jù)泄露的風(fēng)險(xiǎn)就在增加。
此外，越來(lái)越多的第三方公司還能獲得敏感信息，而且每年正在呈現(xiàn) 24% 的增長(zhǎng)。
加之越來(lái)越強(qiáng)大的 AI 算法，給越來(lái)越多此前“沒(méi)啥用”的數(shù)據(jù)插上了翅膀。
新時(shí)代里的安全事件，每一次都可能炸出新高度。
多方評(píng)價(jià)
這場(chǎng)數(shù)據(jù)災(zāi)難曝光后，外媒、Twitter 等網(wǎng)友聚集地已經(jīng)炸開(kāi)了鍋。
外媒《紐約時(shí)報(bào)》在報(bào)道的標(biāo)題中用了“BIG RED FLAG”的描述，這指代危險(xiǎn)信號(hào)，也經(jīng)常用來(lái)隱喻成“讓人生氣的事情”。
做了多年的老產(chǎn)品經(jīng)理 Mark Schettenhelm 感慨，企業(yè)和個(gè)人應(yīng)該多關(guān)注下供應(yīng)商的狀況。如果他們不安去，則你也會(huì)遇到危險(xiǎn)。
也有網(wǎng)友表示出面對(duì)此事無(wú)力感：數(shù)據(jù)泄露是一件多么可能發(fā)生的容易事情。
當(dāng)然，也有網(wǎng)友認(rèn)為導(dǎo)致的這場(chǎng)事故發(fā)生的 One Level 很是讓人氣憤，甚至有人在 Reddit 上評(píng)論說(shuō)：“這家公司應(yīng)該消失了。”
