Gogoro三大資安風險揭密,小心所有物聯網產品!
Gogoro三大資安風險揭密,小心所有物聯網產品!
2016.07.25 | 物聯網

Gogoro車主小心!如果手機感染惡意程式的話,攻擊者可以輕易偷走你的Gogoro!台科大資管系副教授查士朝團隊,研究低功率藍牙與物聯網產品的安全時,發現了Gogoro的三大資安弱點,首次在台灣駭客年會HITCON揭露App傳輸的風險,研究團隊已回報Gogoro,而Gogoro也已針對資安弱點做出更新修復。

專門研究物聯網裝置的研究團隊在2016年4月時發現Gogoro的三個安全漏洞,回報到HITCON ZeroDay平台,平台則通報Gogoro有安全風險,隨後Gogoro已陸續修復。

在HITCON發表Gogoro資安風險的台科大資管系學生戴辰宇強調,「Gogoro車子本身的安全機制沒有問題,但手機是很不可靠的東西,比晶片鑰匙還不安全,所以需要更慎重設計機制,來保護軟體的通訊安全!」

弱點1:App中的金鑰被存在不安全的目錄下

戴辰宇表示,控制Gogoro的方式是使用手機App,手機就像是鑰匙圈一樣,所有Gogoro的資訊都被存在程式的「金鑰」中,包括車牌號碼、車主個人資料和上次停車前斷線的位置,然而這把金鑰,卻存在不安全的目錄之下。

駭客甚至不需要在Gogoro旁邊,就可以偷走「金鑰」。駭客有很多種方式,讓使用者曝露在安全風險之中,Gogoro車主只要亂點連結、亂下載App,不小心就會感染惡意程式。戴辰宇舉例,「如果你不小心下載了假的Pokémon Go,很可能就會被植入木馬病毒,駭客就可能把你手機裡的「加密金鑰」偷走!」

Gogoro資安風險
(圖說:戴辰宇在HITCON年會上代表研究團隊介紹Gogoro的三大資安風險,只要金鑰被偷走的話,駭客就能把Gogoro騎走。圖片來源:郭芝榕攝影。)

或是,駭客只要跟使用者一起在咖啡廳使用網路,只要咖啡廳網路被控制,而使用者又剛好上Gogoro網站看資訊的話,駭客就可以透過剛攔截的資訊,把車子發動並騎走。

偷走金鑰之後,怎麼找得到車子呢?由於Gogoro的功能會記錄上次停車的位置,所以駭客找到你的Gogoro之後,並在另一支手機重現金鑰,就能發動車子,把電動機車騎走!或者,駭客只要在你的手機中植入有GPS地圖的惡意程式,也能知道你的位置。

在研究團隊回報這個漏洞之後,Gogoro已在四月修復這個問題,目前也沒有Gogoro被偷的情況發生。

弱點2:App到雲端的SSL加密有檢查的問題

所有上網的App在上網的過程中,從App到雲端都要經過SSL加密檢查驗證,一開始Gogoro把金鑰放在雲端伺服器上,登錄之後才傳送到App。從App到雲端過程中的資訊很有可能被攔截,代表金鑰很有可能被取得。這個問題Gogoro已經在七月修復。

弱點3:每一次重新配對不會換新的金鑰

Gogoro目前的設計是只要手機和車子一配對之後,會產生一組永久的金鑰,如果手機不見,或是Gogoro二手車,就會產生別人也取得同樣一把金鑰的問題。不過,一般的二手汽機車也會有被偷的問題,其實換車本來就有風險。而目前這個問題尚未被Gogoro官方修復。

但話說回來,駭客這麼大費周章偷走Gogoro其實沒有太大意義,因為Gogoro本身就有防盜機制,每台車都有它的序號,被偷的車沒電之後,到換電站換電池時就會被禁止換電池。

物聯網裝置常見問題:配對沒加密!

物聯網裝置往往要與App配對,才能連線使用。戴辰宇說,其實低功率藍牙4.0內建的安全機制很不錯,但是因為這個機制有許多限制,所以很少廠商真的使用安全機制,往往號稱App和連網裝置配對時有加密,但實際上卻沒有!研究團隊測了燈泡、溫度計、耳溫槍、手環、體重計等等超過十幾款連網產品,卻只有一個耳溫槍的配對有加密。

如果連網產品配對沒加密時會怎樣?戴辰宇比喻,「你在量體重的時候,其實旁邊的人用網路封包監聽設備(sniffer)例如Ubertooth One,就可以收到你的體重是多少!」

你可能覺得就算體重或計步器的資訊被偷走也不會怎樣,但根據賓漢頓大學和史蒂文斯理工學院最新的研究指出,有追蹤功能的穿戴式運動手環,由於可以準確記錄使用者手部震動的動作,以至於能還原你在ATM輸入的銀行帳戶密碼。

事實上,這些問題不是Gogoro專屬的資安問題,只要是用手機控制的連網產品,都會面臨差不多的風險,駭客取得連網裝置的資訊之後,有可能把你家中的冷氣、冰箱、電視打開耗電等等。

延伸閱讀:警告!運動手環偷走了你的密碼
IBM資安總顧問看物聯網資安:最大風險是危及人身安全

[白話新商業電子專刊] 物聯網基礎入門+進階應用 套書合購價129元!
@@BOOKID:126865@@

往下滑看下一篇文章
資本市場迎來新氣象!簡立峰:從「臺灣人的亞洲」轉向「世界的亞洲」,主動招募國際互補性新創
資本市場迎來新氣象!簡立峰:從「臺灣人的亞洲」轉向「世界的亞洲」,主動招募國際互補性新創

金融監督管理委員會聯手臺灣證券交易所、證券櫃檯買賣中心共同推動「亞洲創新籌資平臺」,象徵臺灣資本市場邁向新局面。此平臺鎖定重點產業、法規鬆綁及強化推動策略等重點項目,面對此布局,擁有產業導師、獨立董事及投資者等多元角色的簡立峰,分享他的觀點與建議。

簡立峰開門見山直言,現在是臺灣資本市場加速前進的「好時機」。從量化角度來看,臺灣上市櫃公司總市值規模達94.9兆元,國家別排名全球第8名;特別是資通訊與半導體產業,目前已有四家企業(台積電、鴻海、台達電、聯發科)進入世界市值500大。受惠科技群山加持的優勢,讓打造「亞洲NASDAQ」的願景有厚實的底氣。

此外,簡立峰相當肯定本次針對創新版的制度優化,提供更鬆綁、具有創意的做法,大幅提高了國際團隊來臺上市的便利性。不過,除了擴大投資規模與流通性,簡立峰也提出三個策略觀點,鼓勵亞洲創新籌資平臺多家善用制度優勢,設定更宏大的發展目標。

觀點一:深化內部資本市場創新動能,鼓勵「小金雞」早期上市

這幾年臺灣的新創趨勢,簡立峰指出一個現象:現今成功的上市櫃案例,多半是大型集團的「小金雞」(子公司或孫公司),但集團通常傾向在小金雞獲利穩定並能確保控股後,才會在市場上釋出少數股份(25%)允許其上市。此情況容易造成臺灣的資本市場動能不足,甚至讓國際以為臺灣缺乏新創的誤解。

對此,簡立峰認為創新板的價值,即是鼓勵小金雞能提早登板的腳步,一來展現創新能量、翻轉產業典範;二來邁向資本市場不只是需要募資,更重要是上市後的經營策略,知道自身優勢所在,將營運方向隨時調整更貼近資本市場的需求。

因應簡立峰的觀察,本次創新板的新制,即是讓本國公司的股票集保期間從二年縮短為一年,並免除三年的承銷商保薦。此舉有助於降低集團小金雞提早進入市場的法規門檻,讓企業能更快速、更早實現「面對市場」的目標。

觀點二:強化產業聚落思維,主動招募國際上與臺灣互補的新創

亞洲創新籌資平臺成立的重要訴求之一,便是要成為亞洲NASDAQ。簡立峰直言,「如果是以此為願景,那它就不應該只是『臺灣人的亞洲』,而是成為『世界的亞洲』,也就是主動吸引更多國家的創新企業來臺上市,那麼招商策略必須從被動等待,轉為主動積極洽談。」

至於招商的目標該如何鎖定?簡立峰認為臺灣資本市場最重要的價值,在於其聚落現象,因此建議可瞄準能與臺灣產業有高度互補的區域國家或技術領域。讓臺灣的供應鏈業者與他們成為戰略夥伴關係,共同分享這些國外企業來臺上市後所創造的利潤。

如果是區域國家,簡立峰拿「以色列」為例,該國新創擁有強大的創意和軟硬整合能力,但缺乏生產製造基地,若考慮來臺灣上市或募資,將有利於他們與臺灣的製造商建立關係,增加其信賴度,並容易找到供應商。至於前瞻技術方面,簡立峰認為矽光子、3D封裝/先進封裝、AI資料中心冷卻等,與臺灣半導體產業有緊密合作關係,可借助資本市場吸引這些企業來臺投資、上市,不僅是實體的產業聚落,更有助於形成虛擬的資本市場聚落。

簡立峰的論述,也呼應亞洲創新籌資平臺鎖定的重點產業,涵蓋半導體、人工智慧、智慧製造、數位雲端、機器人、次世代通訊等前瞻新經濟領域。另外國際企業來臺上市的門檻,證交所也優化了既有制度,針對主要營運地或股東結構均未涉及陸港澳地區之外國企業,調整臺籍董事席次過半規範,僅須設置臺籍獨立董事至少二席。

觀點三:吸引國際分析師、產業媒體,成為亞洲NASDAQ絕佳觀測站

最後,簡立峰認為一個能持續有活水挹注的國際籌資平臺,成功上市是手段,但真正關鍵的目的,是能持續獲得投資並取得市場關注的聲譽。要獲得聲量,具體的執行策略是提高國際能見度,吸引國際級分析師的關注。

簡立峰以當時Appier在日本上市為例,他提到上市對Appier的最大益處並非來自本益比,而是被國際金融機構的分析師看到,並獲得他們的分析與報導。「這些報導對於B2B企業來說,是最紮實的行銷加分,能極大化取得業界客戶的信賴。」

簡立峰認為亞洲創新籌資平臺的下一步,可主動規劃一些登板的亮點案例,形成「標竿」進而產生群聚效應。對此,證交所回應未來將以多元行銷策略,配套措施包括加強外國公司資訊揭露,提高法人說明會的召開頻率,藉此提升企業國際知名度,為國際分析師提供更充足的資訊來源,助力更多指標的企業打響全球名氣。

國家發展委員會副主任委員詹方冠在亞洲創新籌資平臺啟動典禮上提到,臺灣經濟發展已從勞動密集、資本密集階段,進入到創新驅動的全新里程。最後簡立峰肯定表示,「亞洲創新籌資平臺的成立後,期待它的角色能槓桿資本市場的力量,讓『臺灣人的產業』轉變為『臺灣人主導的產業』,仰賴國際企業壯大臺灣的人才庫,同時也為臺灣創造新的經濟發展動能。」

登入數位時代會員

開啟專屬自己的主題內容,

每日推播重點文章

閱讀會員專屬文章

請先登入數位時代會員

看更多獨享內容

請先登入數位時代會員

開啟收藏文章功能,

請先登入數位時代會員

開啟訂閱文章分類功能,

請先登入數位時代會員

我還不是會員, 註冊去!
追蹤我們
一次搞懂Vibe Coding
© 2025 Business Next Media Corp. All Rights Reserved. 本網站內容未經允許,不得轉載。
106 台北市大安區光復南路102號9樓