API on Wheels：一场充满高危漏洞的公路之旅

你上一次自驾游是什么时候？根据你所在地区的防疫政策，这可能才刚刚被重新提上日程，但说实话，没有什么比驰骋在开阔的公路上、换个环境更让人惬意的了。

当然，除非你是一个软件漏洞。

我们已经详细讨论过汽车行业中松懈的网络安全措施所带来的危险，像 特斯拉 和 吉普 等公司已经开始与安全研究人员合作，发现了一些可被利用的漏洞，如果这些漏洞没有被及早发现并及时修复，可能会导致严重的安全问题。我们也曾谈到，总体而言，软件安全领域 依然 处于“蛮荒西部”时代。软件无处不在，对于许多联网设备、车辆及其外围设备而言，所需的安全性远不止于对终端用户的教育和警示。

API 漏洞正变得愈发阴险，仅在过去六个月里，恶意 API 流量就增长了 300% 以上。考虑到现代汽车本质上就是“带轮子的 API”，这着实令人担忧。它们不仅联网，还会与其他应用程序频繁交互，极有可能作为众多易受攻击的端点之一，陷入针对性攻击的泥潭。

当你的电动汽车充电桩“话太多”时

联网汽车的软件安全性一直备受审视，但它们的配件又如何呢？Pen Test Partners 的天才团队 揭露了六个家用电动汽车充电品牌以及一个大型公共充电网络中存在的多个代码级漏洞。

谁会在意一个充电桩？攻击者能从中获得什么？不幸的是，强大的深度技术为我们超负荷工作带来的负面影响之一，就是这些设备往往会“泄露过多信息”。电动汽车充电桩通过 API 在云端环境中与配套的移动应用程序进行通信，如果编码和配置不当，所有这些通信都可能被利用。API 的设计初衷是为应用程序之间的通信打开方便之门，如果这些端点配置不当，就可能导致信息过度共享，甚至更糟——通过易受攻击的应用程序后门被非法访问。

Pen Test Partners 发现了一些极其危险的漏洞，这些漏洞可能导致数百万个电动汽车充电桩被劫持，还发现了多起允许账户接管和远程控制/访问账户的 API 授权问题，甚至可能通过同步控制多个电动汽车设备来扰乱电网。虽然这些问题都已修复，但仅仅几行代码就成了攻击者与破坏核心功能及服务基础设施之间的唯一屏障，这一事实令人深感忧虑。

而且，这并非什么高深莫测的技术。例如，Wallbox 的 API 中存在两个不安全的对象直接引用（IDOR）漏洞，如果被利用，将允许攻击者接管账户。IDOR 属于身份验证失效，在 OWASP API 安全十大风险 中排名第二。这种漏洞极其普遍，反映出在高质量代码的学习和实现方面存在缺失。我们不能继续通过无数充满漏洞的通信路径来连接敏感设备和应用程序，而配置不当的 API 正是如此。

安全地使用汽车 API 需要教育与耐心

API 安全性最令人沮丧的一点是，它常被吹捧为需要应对的新一波网络安全灾难，但实际上，它不过是我们几十年来在 Web 开发中见过的老问题的翻版。跨站脚本攻击（XSS）、注入攻击、配置错误：听起来是不是很耳熟？

来自 NIST 等组织的最新迹象令人欣慰，表明软件安全正变得更加规范和标准化。然而，我们仍然缺乏足够的专家来应对每天编写的海量代码中所需的安全防护工作。开发人员需要提升安全知识和责任感，但这不能仅靠他们自觉。如果你的团队正在开发嵌入式家电系统，或者开发可能让汽车变成他人远程控制玩具的 API，那么你必须确保他们具备阻止引入常见漏洞所需的技能。

例如，安全 API 与因 XSS 漏洞而脆弱的 API 之间的差异微乎其微，但开发人员需要了解区分糟糕编码模式与优秀编码模式的细微差别。此外，在 API 配置中，懒散的开发流程往往已成常态，许多 API 被赋予了远超其执行既定任务所需权限的广泛权限，从而暴露了巨大的额外威胁面并增加了数据被盗的风险。这些因素需要在构建过程中予以考虑，但如果它们没有融入到公认的开发实践中，该流程将持续成为风险因素。

避开威胁行为者的新游乐场

威胁行为者将 API 作为攻击目标的情况急剧增加，这表明他们的注意力正转向所谓的“低垂果实”……而在这种情况下，这不仅可能成为获取巨额利益的渠道，还可能带来潜在的车辆被劫持等生命安全威胁。

将 API 安全性寄希望于运气，无疑是为未来埋下隐患，往坏了说可能导致灾难性后果，往好了说也会带来令人沮丧的返工和低下的性能。它应被视为软件通信生态系统中的关键考量因素，并列入一流安全计划的优先事项。其关键在于将每个 API 视为一个“人”来对待，并评估它应该拥有什么权限。会计部门的吉姆应该有权访问整个公司的所有敏感法律文件吗？大概率不应该。在现实世界中，人员的访问控制通常是准确确定的。但 API 并非如此，重要的是要记住，它们是强大的“话痨”，如果它们没有像其他系统一样采用零信任方法进行配置，就会把你的秘密泄露给所有人。

组织必须保持高度警惕，而开发人员就是前线所需的“眼睛”，负责编写高质量代码，消除这些通往绝望的脆弱门户。是时候让他们有机会成长为具备安全意识的工程师，拥有正确的思维方式，并掌握在关键开发阶段做出正确决策的实践技能。