前所未有的數(shù)據(jù)車禍?zhǔn)录?。不?家2家，也不分傳統(tǒng)車廠和造車新勢(shì)力。100多家車廠，從通用汽車、菲亞特克萊斯勒、福特、豐田，大眾到特斯拉，現(xiàn)在機(jī)密數(shù)據(jù)統(tǒng)統(tǒng)被供應(yīng)商的共同服務(wù)器曝光。

而且細(xì)思極恐的是，沒(méi)人知道這個(gè)安全風(fēng)險(xiǎn)何時(shí)開(kāi)始，也無(wú)法知道是否還有別人發(fā)現(xiàn)，更不知道數(shù)據(jù)是否已經(jīng)外泄。

今天，數(shù)據(jù)安全事件的當(dāng)事主角叫Level One，一家2000年創(chuàng)辦于加拿大的汽車供應(yīng)商，由于提供機(jī)器人和自動(dòng)化方面的工程服務(wù)，在全球有100多家合作伙伴。

然而，正是這樣一家“能力越大責(zé)任越大”的供應(yīng)商，被網(wǎng)絡(luò)安全公司UpGuard的研究員Chris Vickery發(fā)現(xiàn)，數(shù)據(jù)后門大開(kāi)，輕松訪問(wèn)其合作伙伴的機(jī)密文件。

從車廠發(fā)展藍(lán)圖規(guī)劃、工廠原理、制造細(xì)節(jié)，到客戶合同材料、工作計(jì)劃，再到各種保密協(xié)議文件……甚至員工的駕駛證和護(hù)照的掃描件等隱私信息，共計(jì)157千兆字節(jié)，包含近47,000個(gè)文件。

數(shù)據(jù)之機(jī)密和豐富，令人背后發(fā)涼。

事件詳情

事情目前可最早追溯到本月1號(hào)。當(dāng)時(shí)UpGuard安全團(tuán)隊(duì)的研究員Chris Vickery首次“盯上”了這個(gè)數(shù)據(jù)庫(kù)。

在UpGuard，Chris Vickery的核心工作就是檢查那些“無(wú)人看守”的緩存數(shù)據(jù)庫(kù)，并檢查是否存在無(wú)密碼訪問(wèn)的可能。因此，也有人將他崗位稱為：互聯(lián)網(wǎng)數(shù)據(jù)庫(kù)的看門狗。

但就在反復(fù)檢查過(guò)程中，Chris Vickery確認(rèn)，泄露源正是供應(yīng)商Level One，通過(guò)Level One的文件傳輸協(xié)議rsync，可以無(wú)障礙訪問(wèn)上述所有隱私數(shù)據(jù)。

于是7月9日，Chris Vickery聯(lián)系到Level One，10日，Level One采取斷網(wǎng)脫機(jī)的方式，暫時(shí)止住了數(shù)據(jù)庫(kù)裸露。

罪魁禍?zhǔn)椎膔sync其實(shí)是一種廣泛使用的應(yīng)用程序，經(jīng)常用于大型數(shù)據(jù)傳輸和備份。但是，如果不采取適當(dāng)?shù)牟襟E限制rsync服務(wù)，數(shù)據(jù)可能就有泄露的風(fēng)險(xiǎn)。

這一次，Level One錯(cuò)在沒(méi)有限制使用者的IP地址，讓非指定客戶端也能連接，并且也沒(méi)有設(shè)置用戶訪問(wèn)權(quán)限，比如客戶端在接收信息前進(jìn)行身份驗(yàn)證等。

也就是說(shuō)，在沒(méi)有這些措施保障的情況下，rsync是可以公開(kāi)訪問(wèn)的。

而且這次數(shù)據(jù)暴露的規(guī)模之大，已經(jīng)超乎了當(dāng)事人和吃瓜群眾的想象。

暴露的信息主要包括客戶數(shù)據(jù)、員工信息及與Level One協(xié)議數(shù)據(jù)三類。

都很頭疼，都是定時(shí)炸彈。

客戶數(shù)據(jù)包括與Level One合作的通用、福特、特斯拉等100多家大型制造商的裝配線和工廠原理圖，保密協(xié)議和機(jī)器人的配置、規(guī)格、演示動(dòng)畫等。

工廠布局和機(jī)器人產(chǎn)品的詳細(xì)CAD圖紙也包含在數(shù)據(jù)中。

除了原理圖外，詳細(xì)說(shuō)明的機(jī)器配置、規(guī)格和使用文檔，以及機(jī)器人在工作時(shí)的動(dòng)畫也已暴露。

Level One的客戶向其中一些客戶端發(fā)送的ID證章和VPN憑證也在rsync中公開(kāi)。

發(fā)現(xiàn)的波音公司的證章申請(qǐng)表。

最具諷刺意味的是，數(shù)十份保密協(xié)議的全文也在曝光行列，客戶隱私條款、保密數(shù)據(jù)文件、以及保密性質(zhì)協(xié)議，統(tǒng)統(tǒng)外露。

特斯拉的保密協(xié)議

驚不驚悚，意不意外？但暴露的事項(xiàng)不僅僅這些。

第二類是客戶的員工數(shù)據(jù)，包括員工駕駛執(zhí)照和護(hù)照掃描件、員工姓名和身份證號(hào)碼，還有照片等隱私數(shù)據(jù)。

護(hù)照掃描件信息

最后，還有Level One自己的數(shù)據(jù)。比一些合作的合同、發(fā)票、報(bào)價(jià)、工作范圍和客戶協(xié)議等，也在該數(shù)據(jù)庫(kù)中。

發(fā)現(xiàn)的One Level的銀行文檔

也就是說(shuō)，對(duì)于這100多家制造商來(lái)說(shuō)，從內(nèi)部人員到外部合作方數(shù)據(jù)，都已昭告天下——更悲劇的是，在漏洞曝光之前，是否有其他人士訪問(wèn)過(guò)，目前還沒(méi)有結(jié)論。

更別說(shuō)這些數(shù)據(jù)一旦落入“別有用心”人士之手，將會(huì)造成怎樣的威脅。

隱患警報(bào)

對(duì)于車廠來(lái)說(shuō)，工廠布局、自動(dòng)化流程和機(jī)器人規(guī)格等重要競(jìng)爭(zhēng)力，最終決定了公司的輸出潛力。

這些機(jī)密信息一旦被外人知悉，可能會(huì)招來(lái)競(jìng)爭(zhēng)對(duì)手的的抄襲和叵測(cè)居心人的惡意破壞。

車廠競(jìng)爭(zhēng)方面的底褲，也沒(méi)有秘密可言了。

更令人不安的是，這些文件涉及到100多家制造商獲得數(shù)字和物理訪問(wèn)的權(quán)限。

而且，在漏洞發(fā)現(xiàn)時(shí)，rsync服務(wù)器上設(shè)置的權(quán)限表明，服務(wù)器竟然是可公開(kāi)寫入的？！

這意味著一些人可能已經(jīng)更改了里面的文檔，比如可能直接替換存款指令中的銀行帳號(hào)或嵌入惡意軟件。

這是一次嚴(yán)重的安全事故車禍現(xiàn)場(chǎng)，給這100多家制造商帶來(lái)的安全風(fēng)險(xiǎn)后患無(wú)窮。

汽車制造，人命關(guān)天。

如果別有用心的人士已經(jīng)獲取了這些數(shù)據(jù)，然后用于汽車關(guān)鍵部件的漏洞攻擊，想想就令人不寒而栗。

最后，因?yàn)檫€包含了不少個(gè)人相關(guān)的隱私數(shù)據(jù)，是否會(huì)被用來(lái)其他危險(xiǎn)使用，都不得而知。

并且通過(guò)相關(guān)信息撞庫(kù)，還可能造成連鎖數(shù)據(jù)泄露，威脅遠(yuǎn)不止汽車數(shù)據(jù)本身。

目前進(jìn)展

截至目前，Level One首席執(zhí)行官米蘭-加斯科已經(jīng)做出了回應(yīng)，他說(shuō)非常重視這一問(wèn)題，并在進(jìn)行全面調(diào)查，但還不能披露更多細(xì)節(jié)。

而相關(guān)涉及的車廠，肯定也已經(jīng)著急成熱鍋螞蟻了，但現(xiàn)在心中再痛，他們也只能選擇不予置評(píng)。

另外，Level One CEO還表示，除了安全研究員Vickery之外，任何外部各方幾乎不可能找到該入口、看到這些數(shù)據(jù)，但他并沒(méi)有相關(guān)工具或手段來(lái)證明：都有誰(shuí)訪問(wèn)過(guò)該數(shù)據(jù)庫(kù)。

然而這個(gè)解釋有些too young、too simple，sometimes naive。米蘭-加斯科以為只有Vickery這樣信息安全專家才會(huì)發(fā)現(xiàn)這漏洞。

但Chris Vickery也說(shuō)了，通過(guò)暴露的備份服務(wù)器就能輕松找到Level One的數(shù)據(jù)，并且不需要密碼或特殊訪問(wèn)權(quán)限，任何連接的人都可以下載這些材料。

對(duì)于這起數(shù)據(jù)車禍，只能說(shuō)明Level One這樣的供應(yīng)商真太大意了。

而且此次無(wú)疑又給我們上了一課：第三方供應(yīng)商和承包商可能造成的數(shù)據(jù)泄露風(fēng)險(xiǎn)，例子開(kāi)始一個(gè)接一個(gè)。

就在上個(gè)月，票務(wù)公司Ticketmaster也表示數(shù)千名客戶的付款信息被盜，源頭則是Inbenta公司在TicketMaster網(wǎng)站上運(yùn)行客戶支持聊天機(jī)器人的軟件存在漏洞。

另外別忘了，震驚全球的Facebook數(shù)據(jù)泄露事件，源頭也是在第三方公司“劍橋分析”。

安全研究公司Ponemon去年調(diào)查的企業(yè)中，有56％表示他們?cè)庥隽斯?yīng)商相關(guān)的數(shù)據(jù)泄露事件。而且在越來(lái)越多第三方獲得公司訪問(wèn)權(quán)的時(shí)候，數(shù)據(jù)泄露的風(fēng)險(xiǎn)就在增加。

此外，越來(lái)越多的第三方公司還能獲得敏感信息，而且每年正在呈現(xiàn)24%的增長(zhǎng)。

加之越來(lái)越強(qiáng)大的AI算法，給越來(lái)越多此前“沒(méi)啥用”的數(shù)據(jù)插上了翅膀。

新時(shí)代里的安全事件，每一次都可能炸出新高度。

多方評(píng)價(jià)

這場(chǎng)數(shù)據(jù)災(zāi)難曝光后，外媒、Twitter等網(wǎng)友聚集地已經(jīng)炸開(kāi)了鍋。

外媒《紐約時(shí)報(bào)》在報(bào)道的標(biāo)題中用了“BIG RED FLAG”的描述，這指代危險(xiǎn)信號(hào)，也經(jīng)常用來(lái)隱喻成“讓人生氣的事情”。

做了多年的老產(chǎn)品經(jīng)理Mark Schettenhelm感慨，企業(yè)和個(gè)人應(yīng)該多關(guān)注下供應(yīng)商的狀況。如果他們不安去，則你也會(huì)遇到危險(xiǎn)。

也有網(wǎng)友表示出面對(duì)此事無(wú)力感：數(shù)據(jù)泄露是一件多么可能發(fā)生的容易事情。

當(dāng)然，也有網(wǎng)友認(rèn)為導(dǎo)致的這場(chǎng)事故發(fā)生的One Level很是讓人氣憤，甚至有人在Reddit上評(píng)論說(shuō)：“這家公司應(yīng)該消失了?！?/p>

返回第一電動(dòng)網(wǎng)首頁(yè) >