干擾、操控平衡車和VR虛擬頭盔到底有多容易？其實(shí)只需一段27千赫茲（kHz）左右頻率的超聲波就能改變這類物聯(lián)網(wǎng)設(shè)備的正常運(yùn)行。生活中，一只寬吻海豚便能發(fā)出從20千赫茲（KHz）到220千赫茲（KHz）的超聲波。
　　如果再對(duì)超聲波的參數(shù)加以細(xì)致調(diào)節(jié)，甚至可以操控平衡車的行動(dòng)軌跡和改變VR、AR等虛擬現(xiàn)實(shí)設(shè)備的動(dòng)態(tài)畫面，極端情況甚至?xí)o這些設(shè)備用戶帶來(lái)人身傷害的風(fēng)險(xiǎn)。
　　因?yàn)檫@項(xiàng)“超聲波如何干擾物聯(lián)網(wǎng)設(shè)備（IoT）”的研究，阿里巴巴集團(tuán)兩名安全技術(shù)研究者受美國(guó)商業(yè)雜志《福布斯》（Forbes）和美國(guó)全國(guó)廣播公司（NBC）等多家國(guó)外知名媒體專訪。
　　美國(guó)當(dāng)?shù)貢r(shí)間7月27日上午（北京時(shí)間7月28日凌晨），這兩名安全技術(shù)研究者受邀前往拉斯維加斯，參加了全球頂級(jí)安全會(huì)議——黑帽大會(huì)（Black Hat USA），針對(duì)研究成果發(fā)表長(zhǎng)達(dá)50分鐘的公開(kāi)演講，并給相關(guān)設(shè)備生產(chǎn)廠商提出警示和給予設(shè)防建議。

阿里巴巴集團(tuán)安全部安全研究者王康和王正博展示超聲波元件與實(shí)驗(yàn)器件

被操控的VR和AR

通過(guò)簡(jiǎn)易的信號(hào)發(fā)生器連接超聲波發(fā)射器，近距離照射常見(jiàn)的VR和AR等物聯(lián)網(wǎng)設(shè)備，都會(huì)產(chǎn)生不同的影響效果。 　　

作為阿里巴巴集團(tuán)安全部創(chuàng)新技術(shù)研究團(tuán)隊(duì)成員，王康和王正博長(zhǎng)期關(guān)注物聯(lián)網(wǎng)設(shè)備和AI等領(lǐng)域安全問(wèn)題研究，他們也是超聲波干擾VR、AR等物聯(lián)網(wǎng)設(shè)備的漏洞發(fā)現(xiàn)者。
　　實(shí)際上，王康和王正博原本并非從事安全漏洞領(lǐng)域的研究。王康畢業(yè)于清華大學(xué)工程物理系本科，而王正博畢業(yè)于清華大學(xué)物理系博士。
　　兩人都有過(guò)跨界做科研的經(jīng)歷，王正博在博士后期間，研究無(wú)線電定位系統(tǒng)，后又從事安全前沿研究，并對(duì)AI安全、IoT等方面安全都有所涉足。
　　通過(guò)大量實(shí)驗(yàn)測(cè)試，王康和王正博發(fā)現(xiàn)27kHz左右的共振超聲波頻率，可以對(duì)虛擬現(xiàn)實(shí)設(shè)備產(chǎn)生不同的效果影響。今年5月左右，他們就對(duì)Facebook的Oculus Rift、 HTC的Vive、和Microsoft的AR產(chǎn)品HoloLens 等VR／AR產(chǎn)品做了超聲波干擾測(cè)試。

美國(guó)當(dāng)?shù)貢r(shí)間7月27日上午，阿里巴巴安全部技術(shù)研究者王康在全球頂級(jí)黑帽大會(huì)（Black Hat USA）演講，分享“超聲波如何干擾物聯(lián)網(wǎng)設(shè)備安全”的研究

測(cè)試結(jié)果顯示，超聲波可以讓HoloLes發(fā)生畫面抖動(dòng)的現(xiàn)象，同時(shí)能讓Oculus Rift出現(xiàn)旋轉(zhuǎn)，而當(dāng)Vive受到干擾強(qiáng)度過(guò)大則會(huì)出現(xiàn)畫面靜止，停止工作的情況。
　　因用戶在使用虛擬現(xiàn)實(shí)設(shè)備時(shí)，無(wú)法觀察到外界環(huán)境，一旦眼前畫面突然旋轉(zhuǎn)和抖動(dòng)，就容易眩暈甚至造成摔倒，也會(huì)極大有損用戶對(duì)虛擬現(xiàn)實(shí)設(shè)備的體驗(yàn)感。
　　如果超聲波對(duì)AR和VR的干擾，還是停留在畫面旋轉(zhuǎn)、跳動(dòng)影響，那對(duì)平衡車的干擾則可直接帶來(lái)用戶的生命安全風(fēng)險(xiǎn)。
　　王康和王正博實(shí)驗(yàn)測(cè)試發(fā)現(xiàn)，多款市面常見(jiàn)的平衡車都會(huì)因超聲波干擾失去平衡，從而使其向前運(yùn)動(dòng)尋找平衡點(diǎn)，不同平衡車受干擾程度不一樣，有的甚至?xí)苯影l(fā)生翻倒。

阿里巴巴安全部技術(shù)研究者王正博在（Black Hat USA）大會(huì)上分享規(guī)避超聲波干擾物聯(lián)網(wǎng)設(shè)備安全的建議

超聲波干擾MEMS器件

無(wú)論是AR、VR，還是iPhone手機(jī)、平衡車、無(wú)人機(jī)甚至無(wú)人駕駛汽車、家用汽車等物聯(lián)網(wǎng)設(shè)備，實(shí)際都有被超聲波干擾的可能，原因在于這些物聯(lián)網(wǎng)設(shè)備都有安裝MEMS（微電子機(jī)械系統(tǒng)，Micro Electro Mechanical Systems）器件。
　　超聲波會(huì)通過(guò)干擾MEMS器件中的陀螺儀和加速度計(jì)兩個(gè)元件，從而干擾甚至控制設(shè)備的運(yùn)行。
　　陀螺儀（Gyroscope）和重力加速度（ccelerometer）工作時(shí)，會(huì)分別輸出三個(gè)參數(shù)Gx、Gy、Gz和Ax、Ay、Az。而超聲波干擾的正是這六個(gè)輸入設(shè)備系統(tǒng)儲(chǔ)存的變量參數(shù)，使其受迫振動(dòng)，一旦超聲波達(dá)到變量參數(shù)的共振點(diǎn)，就會(huì)使設(shè)備的位置傳感信息產(chǎn)生錯(cuò)亂。
　　這不同于傳統(tǒng)意義上的軟件程序干擾，而是直接對(duì)設(shè)備物理器件的干擾，這類漏洞完善修復(fù)的成本也會(huì)更高，恐需召回產(chǎn)品進(jìn)行防護(hù)修復(fù)。
　　干擾iPhone手機(jī)時(shí)可以使其水平儀發(fā)生紊亂，而無(wú)人機(jī)一旦受到超聲波干擾就可能受攻擊墜毀，家用汽車中的安全氣囊也可能被干擾突然打開(kāi)。
　　“汽車等大型設(shè)備的干擾實(shí)驗(yàn)?zāi)壳安](méi)有開(kāi)展，但從理論原理來(lái)看，如果超聲波功率足夠強(qiáng)，很有可能實(shí)現(xiàn)干擾?！逼渲幸晃话踩芯空呓榻B稱。
　　安全研究者們表示，相應(yīng)物聯(lián)網(wǎng)設(shè)備廠商應(yīng)該加強(qiáng)對(duì)超聲波干擾問(wèn)題的重視。他們建議從幾個(gè)維度對(duì)產(chǎn)品進(jìn)行完善，以防止漏洞被人利用，造成用戶傷害。
　　一方面，廠商研發(fā)產(chǎn)品時(shí)可對(duì)設(shè)備增加緩沖層，如增加一些覆蓋材料，讓外界聲音進(jìn)入不了MEMS器件，減少超聲波干擾?；蛘咴谠O(shè)備上加裝降噪裝置，通過(guò)主動(dòng)發(fā)射反向聲音，對(duì)進(jìn)行干擾的超聲波抵消，實(shí)現(xiàn)防止干擾。

王康和王正博用超聲波干擾VR等物聯(lián)網(wǎng)設(shè)備

物理安全漏洞

發(fā)現(xiàn)超聲波可干擾控制物聯(lián)網(wǎng)設(shè)備的漏洞并非易事。王康和王正博事前從美國(guó)NASA、韓國(guó)KAIST（韓科院）以及密歇根大學(xué)等研究者所做科研項(xiàng)目中獲得了靈感，并首創(chuàng)性將干擾設(shè)備陀螺儀元件的方法，擴(kuò)大到AR、VR、手機(jī)等用戶量大和影響廣泛的產(chǎn)品的研究。
　　類似創(chuàng)新嘗試，該團(tuán)隊(duì)一直在探索。早在2015年，王康就因“GPS和WiFi位置時(shí)間攻擊及防御”的創(chuàng)新科研議題受到黑帽大會(huì)組委會(huì)關(guān)注，并受邀參加了在荷蘭阿姆斯特丹舉行的歐洲區(qū)大會(huì)（Black Hat Europe）。
　　該位置時(shí)間安全研究項(xiàng)目重點(diǎn)演示了兩種基于位置和時(shí)間的攻擊方式，如利用軟件無(wú)線電設(shè)備實(shí)施GPS位置、時(shí)間欺騙，或者基于WiFi輔助定位系統(tǒng)的位置實(shí)施欺騙。
　　研究發(fā)現(xiàn)基于WiFi位置欺騙比GPS欺騙更容易被攻擊者利用，攻擊者甚至不需要任何特殊硬件設(shè)備，只需一臺(tái)普通筆記本電腦，即可對(duì)市面上常見(jiàn)的地圖類應(yīng)用進(jìn)行攻擊。該團(tuán)隊(duì)檢測(cè)出漏洞后很快將技術(shù)細(xì)節(jié)通報(bào)給了有產(chǎn)品受影響的Apple公司。
　　“我們做的實(shí)際都是物理安全漏洞的研究?！蓖蹩到榻B稱，安全行業(yè)講究的是攻擊面，比如針對(duì)手機(jī)，就有網(wǎng)絡(luò)、網(wǎng)頁(yè)以及程序等多種攻擊類型。

阿里巴巴集團(tuán)安全部技術(shù)研究者王康（左）與王正博（右）

其中，涉及病毒鏈接、詐騙電話等方面的攻擊問(wèn)題，阿里巴巴安全部也針對(duì)性研發(fā)了相應(yīng)產(chǎn)品。2016年10月24日，阿里就聯(lián)合國(guó)務(wù)院打擊新型電信網(wǎng)絡(luò)犯罪部際聯(lián)席辦公室，緊急將阿里錢盾App升級(jí)為“錢盾反詐公益平臺(tái)”，通過(guò)“錢盾App＋開(kāi)放平臺(tái)＋警務(wù)平臺(tái)”的“互聯(lián)網(wǎng)＋反詐”新模式，全鏈路協(xié)助政府解決電信網(wǎng)絡(luò)詐騙問(wèn)題。
　　但隨著廠商對(duì)設(shè)備軟件程序技術(shù)的提升，這類攻擊手段空間變得越來(lái)越難，一些網(wǎng)絡(luò)黑灰產(chǎn)從業(yè)者還會(huì)通過(guò)物理器件的攻擊方式來(lái)實(shí)施攻擊。
　　王康和王正博的研究項(xiàng)目正是要告訴設(shè)備廠商注意到物理安全漏洞的存在。