研究:小米電動滑板車有漏洞 可無需身份驗證遠端訪問

據美國科技媒體CNET援引安全研究組織 Zimperium週二釋出的研究報道稱 ，小米型號為M365的電動滑板車存在漏洞，可能會讓黑客遠端控制該滑板車，比如導致滑板車突然加速或突然剎車。 小米的這款滑板車於去年引入美國數個城市，為一些共享電動滑板車公司所用。Zimperium認為，問題出在滑板車的密碼驗證過程中，該驗證通過藍芽通訊完成。

“在我們的研究過程中，我們認為，密碼在驗證過程中未被正確使用，所有命令都可以繞過密碼執行，”Zimperium在宣告中寫道，“密碼僅在應用端驗證，但滑板車本身不跟蹤身份驗證狀態。”

研究人員稱，他們可以無需驗證地與裝置的防盜系統、導航系統和生態模式進行互動，並更新裝置韌體。

Zimperium還發布了一則概念驗證 視訊 ，演示其應用掃描附近的小米滑板車後，通過他們的防盜功能禁用車輛。Zimperium稱，應用對任何100米半徑範圍內的M365滑板車有效。

該漏洞進一步增加了人們對可出租電動滑板車的擔憂。隨著這些滑板車陸續出現在各大美國城市以及監管機構匆忙出臺法律應對這一新的交通模式，圍繞這一裝置的爭議越來越大。不少人認為，他們更願意在擁堵的城市間騎著滑板車穿梭於各個街區。反對者認為，騎手通常無視交通規則，在人行道上行使，從而危害行人安全，並且隨意停放車輛。

Zimperium發現的這個漏洞與2017年Segway懸浮滑板上發現的漏洞類似。IOActive發現，其可以通過向藍芽更新手動向Segway傳送命令遠端方位懸浮滑板，完全無需身份驗證。

Zimperium表示，其已經將該漏洞通知小米。小米暫未立即回覆評論請求。