全球首次聚焦連網汽車安全漏洞，Pwn2Own Automotive競賽圓滿成功

楓恋

張旭撰文

全球車用資安廠商 VicOne 於東京 Automotive World 全球汽車技術展覽會上舉辦了第 1 屆 Pwn2Own Automotive 汽車資安漏洞競賽，也是全球第一個專門發掘及解決連網汽車技術漏洞的比賽。來自歐、美、亞洲 9 個國家的 17 個參賽隊伍和個人在四個競賽類別報名參與共計 51 個項目的挑戰。這次競賽總共發現 49 個未知的安全漏洞(zero-day)，獲獎者更抱走了價值 132 萬 7500 美元的現金和獎品。首屆競賽的「Pwn 大師」則由來自法國的 Synacktiv 團隊摘下桂冠。

VicOne 執行長鄭奕立(左一)與 ZDI 威脅意識提升總監 Dustin Childs(右一)將 Pwn 大師的頭銜與獎座頒發給來自法國的 Synacktiv 團隊(中)。

VicOne 與趨勢科技 Zero Day Initiative (ZDI)攜手共同主辦的這場競賽是專注於汽車的合法駭客競賽，卻是「Pwn2Own」競賽自 2007 年以來舉辦過規模最大的競賽之一。作為引領發現零日漏洞的汽車網路安全專家，VicOne 持續關注不斷發展的互聯汽車生態系統以及廣泛的受攻擊面，除了為車廠、供應商及整個車聯網提供車用資安解決方案，我們致力透過真實的研究來解決真實的問題，希望透過競賽的方式邀請各路好手來共同發掘汽車網路中的漏洞，以推動相關技術發展，多方面守護連網車輛資安。

這次 Pwn2Own Automotive 汽車資安漏洞競賽總共有四大競賽類別：Tesla、車載資訊娛樂(IVI)系統、電動車充電器，以及作業系統，考題則以 VicOne 對汽車系統與相關數位基礎架構的專業知識以及 Zero Day Initiative(ZDI)平台為基礎。Tesla 是本屆 Pwn2Own Automotive 的主要贊助商，美國充電樁設備商龍頭 ChargePoint 亦是這次比賽的贊助商，為競賽的充電器組提供技術指導與硬體支援。

各隊的比賽順序在競賽前一天抽籤公告，若要贏得比賽，參賽者必須利用新發現的漏洞來攻擊目標系統和設備，並能執行任意指令。今年一共收到了 51 個報名參賽項目，從賽程表發現參加隊伍中針對電動車充電器(EV Charger)以及車載影音系統(IVI)兩個類別的攻擊最多，分別佔了近六成以及三成。三天比賽下來成果豐碩，雖然有撞洞情形發生，但總共發現 49 個未曾被發現或是揭露的安全漏洞(zero-day)。獲得 Pwn 大師桂冠的 Synacktiv 團隊，繼去年 3 月挑戰特斯拉成功，這次又再度挑戰特斯拉項目成功，並在其他三個類別也獲得勝利，抱回總共 45 萬美元的獎金。這次競賽前五名的隊伍皆來自歐洲。

https://news.u-car.com.tw/news/article/77438

每一個被發現並揭露的漏洞，都意味著駭客利用它來開發零時差攻擊的機會又少了一些。同時，提供設備的廠商可以藉此發現產品中的弱點並盡快補救，避免未來可能遭受到的駭客攻擊並帶來聲譽和營運損失，更重要的是，這不僅僅是各路好手精英之間的良性競爭，還包括與汽車產業以及汽車網路安全專家的合作，通過創新和承諾使整個產業更加安全。

VicOne 執行長鄭奕立表示：「包含特斯拉、趨勢科技 Zero Day Initiative、以及所有參與此活動的合作夥伴們，我們很高興與大家透過座談會分享、現場攻擊演示以及漏洞發掘競賽等一起交流車聯網資安研究和分享創新精神，這樣的活動對於協助全球汽車產業預測及防範不斷演進的網路安全威脅情勢至關重要。今年的參賽隊伍以及報名參賽項目的數量皆遠超出我們的預期，手法也相當精彩。VicOne 期盼透過舉辦 Pwn2Own Automotive，以更多元的方式和白帽駭客社群的參賽者及合作夥伴們一起保護我們的數位風景，為更安全的連網汽車共同努力。Pwn2Own Automotive 不會只有一屆，VicOne 將繼續主辦本次活動並希望 2025 大家再見。」

趨勢科技漏洞研究資深總監 Brian Gorenc 回應道：「自 2007 年以來，Pwn2Own 一直是世界上最大的駭客競賽，以獎勵全球頂尖的研究人員能夠滲透世界上最具挑戰性的攻擊表面並發現零日漏洞。儘管先前的比賽涵蓋了廣泛的領域，但今年的比賽是第一次專注於汽車領域的 Pwn2Own。發現 49 個新的未知漏洞並有機會匯聚汽車製造商、供應商和世界級安全研究人員的社群，這樣的活動對於全球汽車產業真的很有意義。」