广告

你的车都被黑了,还要啥车载APP啊!

时间:2016-09-13 作者:Junko Yoshida 阅读:
汽车厂商警觉到了连网汽车内新出现的受攻击,但他们对于究竟是否已经准备好因应潜在威胁的话题宁愿避而不谈…
广告

汽车产业现在像是卡在保险杆和地面之间:在某一方面,汽车厂商积极想讨论他们的连网汽车,迫不及待要让大家知道他们的新车款是如何地对应用程序友善;但在另一方面,汽车业者警觉到了他们正在为连网汽车建立新的受攻击面,却对于他们如何准备因应潜在安全性威胁宁愿避而不谈。

前两天车厂路虎(Land Rover)在英国的公关团队打了两次电话给我,非常积极想推销他们一个全新应用程序,号称能“远程”遥控Land Rover旗下最新Discovery车款的座位布局;为了展示该功能有多么酷炫,该团队还制作了一个视频剪辑(如下),邀请英国知名冒险家、同时也是Land Rover车主贝爷(Bear Grylls),示范操作在高空跳伞之前透过手机App使用新款Discovery搭配的智能座椅折迭技术。

视频链接:http://baidu.ku6.com/watch/07888454198283466870.html

Land Rover公关的结论是:“该系统能让Discovery车主透过智能手机上的InControl Remote应用程序,从世界上任何地方遥控配置汽车座椅──从半空中也行!”

在尴尬的片刻沉默(因为真的说不出话来)之后,我终于问:“嗯…那为什么人们会想这么做?”

那位公关朋友也尴尬地沉默了一会儿,然后解释如果我能坐在家里的客厅滑一滑智能手机,就可以调整汽车座椅的布局,是如何又如何方便。

是这样吗?那如果来个手机App能遥控开关汽车后座上方的雷射霓虹灯球咧?我并没有真的问出口,因为不想硬逼那位公关朋友回答一个关于“完全没必要”的应用程序的问题;但Land Rover的应用程序新噱头让我陷入思考:我想知道Land Rover是否准备好讨论手机应用程序(任何一种)会不会让连网汽车变得对新安全威胁更脆弱,而这家车厂是否会愿意透露他们目前的相关作法?

我们知道汽车厂商迫切想吸引消费者的注意力,他们希望自家的连网汽车看起来“很酷”、“很先进”;但他们也必须了解,没有任何一种连网汽车能避开未来的网络威胁──光是最近安全技术专家Charlie Miller与Chris Valasek“骇”进一辆Jeep的案例,就让车厂Chrysler在去年召回140万辆汽车。

不久前我与一家总部位于美国硅谷的连网汽车安全技术供货商VisualThreat创办人暨首席执行官严威(Wei Yan)透过电话交流;该公司的服务之一,是为车厂以及一线汽车零组件供货商提供“安全渗透(security penetration)测试服务”。

根据VisualThreat的解释,要为汽车开发网络安全性解决方案,首先必须:“辨别出车辆与系统的弱点,这需要对完整车辆、系统、电子控制单元(ECU)与零组件的渗透测试;”目前该公司正与美国与中国的汽车厂商进行合作。

弱点测试

严威表示,VisualThreat近期做过的渗透测试结果不只让委托汽车厂商震惊,也让该公司本身感到震惊;而该公司想透露的信息是,那些测试实在是“太顺利”,不只是能让整辆汽车的某个系统停摆(这也是渗透测试的初衷),还导致整辆汽车的阻断服务。

根据他的叙述,VisualThreat首先将脚本语言(scripts)──也就是一串程序代码──从一辆新车的方向盘下OBD-II端口注入,以测试车内某个系统的弱点;该程序代码一开始是让车载主机(head unit)死当、屏幕全黑,又很快突破一个网关,透过CAN总线散布到整辆汽车,让系统超载、缓冲存储器塞爆,使得任务关键ECU (包括动力传动、防死锁剎车系统在内的)失控,最后让整台车挂点。

该测试证实──不只是一个理论──刚开始可能只是车机内的轻微软件故障,有可能如滚雪球般演变成整辆车子停摆。值得注意的是,一旦注入脚本开始透过车辆的CAN总线传输,它们几乎不可能停下来,特别是当车辆没有安装防火墙、没有机制能监测车内总线网络,也没有运作中的网络安全软件或云端网络安全防护时。

VisualThreat解释,汽车的CAN总线仍未受到保护,而它是一种被普遍的车内通讯总线,负责各个汽车系统的数据讯息实时传递,与汽车运作的各方面息息相关。

不但汽车内部的CAN总线未受保护,手机应用程序也存在安全漏洞;该公司表示:“这会导致新的安全风险,从简单的个资被盗,到严重的非法行为例如汽车本身或车主财务被盗、甚至恶意勒索、劫车等。”

更糟糕的是,不法人士能:“从远程覆写关键汽车系统并取得控制权,因此导致汽车事故,造成受伤甚至死亡。”

在我快完成这篇文章时,严威还传来一则来自中国的实时报导,表示该公司团队刚拜访了一家当地汽车厂商,现场成功展示了如何把一辆他们的车子搞挂:“那家车厂现在正在为车机(telematics)的软件除错。”

我们不必等着看Miller与Valasek再一次示范汽车黑客攻击,现在每一家车厂都能试试看自家的车辆有多么脆弱!

编译:Judith Cheng

本文授权编译自EE Times,版权所有,谢绝转载

EETC wechat barcode


关注最前沿的电子设计资讯,请关注“电子工程专辑微信公众号”。

本文为EET电子工程专辑 原创文章,禁止转载。请尊重知识产权,违者本司保留追究责任的权利。
Junko Yoshida
ASPENCORE全球联席总编辑,首席国际特派记者。曾任把口记者(beat reporter)和EE Times主编的Junko Yoshida现在把更多时间用来报道全球电子行业,尤其关注中国。 她的关注重点一直是新兴技术和商业模式,新一代消费电子产品往往诞生于此。 她现在正在增加对中国半导体制造商的报道,撰写关于晶圆厂和无晶圆厂制造商的规划。 此外,她还为EE Times的Designlines栏目提供汽车、物联网和无线/网络服务相关内容。 自1990年以来,她一直在为EE Times提供内容。
广告
热门推荐
广告
广告
广告
EE直播间
在线研讨会
广告
广告
面包芯语
广告
向右滑动:上一篇 向左滑动:下一篇 我知道了