摘要：一位安全研究人员发现，数百台 TeslaMate 服务器在未经任何身份验证的情况下将敏感的特斯拉车辆数据暴露在公共互联网，泄露了毫无戒心的车主实时位置，跟踪、充电模式和驾驶习惯。

一位安全研究人员发现，数百台 TeslaMate 服务器在未经任何身份验证的情况下将敏感的特斯拉车辆数据暴露在公共互联网，泄露了毫无戒心的车主实时位置，跟踪、充电模式和驾驶习惯。

TeslaMate 是一款流行的开源数据记录器，可连接到特斯拉的官方 API 来收集详细的车辆遥测数据，包括GPS坐标、电池健康状况、充电会话、行程历史和车厢温度。

该应用程序在端口 4000 上运行，通常在端口 3000 上包含用于数据可视化的 Grafana 仪表板。

研究人员使用互联网扫描工具，在多个大洲发现了近 900 个可公开访问的 TeslaMate 装置。

该方法包括扫描整个 IPv4 地址空间以查找开放端口 4000，然后过滤结果以识别 TeslaMate 独特的 Web 界面指纹。

暴露的服务器泄露了特斯拉车主日常生活中令人震惊的细节。

根据报告，研究人员可以获取停放车辆的精确 GPS 坐标、跟踪通勤模式、识别家庭住址，甚至确定汽车何时不在其通常位置。

根据公开的 TeslaMate 实例创建的地图

在许多情况下，数据描绘了车主的动向、休假计划和充电行为的完整图景。

根本问题在于 TeslaMate 的架构：该应用程序没有内置身份验证，并且默认绑定到所有网络接口。

当部署在云服务器或具有公共 IP 地址的系统上时，此配置可使任何拥有 Web 浏览器的人立即访问所有车辆数据。

研究人员在 teslamap.io 上创建了一个交互式地图，显示了暴露的特斯拉汽车的全球分布，并展示了泄露的 GPS 坐标如何被恶意行为者利用。

可视化结果显示，北美、欧洲和亚洲各大都市地区均出现了集中集群。

泄露的数据会带来严重的隐私和物理安全风险。犯罪分子可以利用这些信息识别车辆是否不在车内，追踪车辆的日常活动以制定盗窃计划，或者定位电池电量充足的高价值目标进行盗窃。

精确的位置数据和实时车辆状态的结合为潜在的攻击者提供了前所未有的情报。

安全专家建议 TeslaMate 操作员立即采取几项补救措施。安装具有基本身份验证的反向代理可以提供简单的第一道防线。

研究人员建议使用带有密码保护的 Nginx 作为最低安全措施。

其他建议包括仅将应用程序绑定到本地主机、启用适当的防火墙规则、更改默认的 Grafana 凭据以及尽可能在 VPN 访问后进行部署。

TeslaMate 维护人员已经承认了这个问题，并计划在即将发布的版本中实施默认安全身份验证。

截止目前，数百个暴露的装置仍然处于活动状态，继续广播敏感的车辆数据，直到各个操作员实施适当的安全控制。

技术报告：

来源：会杀毒的单反狗