广告

现在你的车也有被黑客攻击的风险了

时间:2021-09-09 作者:Egil Juliussen,IHS Markit车载信息娱乐和ADAS研究总监 阅读:
大约六年前,汽车产业开始认真对待网络安全问题,并着手设计和部署网络安全解决方案。汽车产业现在已开始部署有助于提升网络安全性的硬件和软件,但面对网络攻击越来越多的现状,要让每辆汽车中的ECU都免受攻击,还需一段长路要走。
广告
EETC https://www.eet-china.com

汽车产业现在已开始部署有助于提升网络安全性的硬件和软件,但面对网络攻击越来越多的现状,要让每辆汽车中的ECU都免受攻击,还需一段长路要走...

大约六年前,汽车产业开始认真对待网络安全问题,并着手设计和部署网络安全解决方案。汽车产业现在已开始部署有助于提升网络安全性的硬件和软件,但面对网络攻击越来越多的现状,要让每辆汽车中的ECU都免受攻击,还需一段长路要走。

汽车中的网络安全问题比智能型手机和个人计算机要复杂得多,主要原因有两个:

  • 每辆汽车中都有数十个ECU,它们透过不同速度、不同特性的多条电子总线相连;
  • 车内和远程的接入点可能有多个,例如:OBDII、USB和SD埠;无钥开锁;蓝牙和Wi-Fi、嵌入式调制解调器;传感器;信息娱乐或智能手机应用程序;以及其他多种连接方式(例如利用具有无线通信功能的车载信息系统和其他可访问汽车的云端系统)。

好消息是,致力于创建车载硬件、软件,以及网络安全云端平台的汽车网络安全项目越来越多,几种网络安全标准和法规也即将发布,这将进一步加速网络安全解决方案在所有连网车辆中的部署。

表1是本专栏中关于网络安全报导的摘要。

表1:关于网络安全报导的摘要。

(来源:Egil Juliussen)

网络安全威胁的现状

Upstream Security每年都会发布几份分析汽车网络攻击的报告。最新的报告于2021年初发布,其中包含2010~2020年间的数据,涉及全球200多起汽车网络安全攻击。

这份报告还提到了深网和暗网,汽车网络犯罪分子能够通过深网和暗网匿名进行交流,其中有一些论坛详细讨论了如何攻击连网车辆、如何访问敏感数据,以及如何管控和窃取车辆。即使是在表网上,网络犯罪分子也可以找到网上商店购买黑客工具、禁用防盗器服务、程序代码抓取器和偷车教程。

表2:2010~2020年间的汽车攻击分布。

(来源:Upstream Security)

让人感兴趣的是攻击管道是什么——即所说的攻击向量。表2清楚地说明犯罪份子对两个攻击管道最感兴趣。33%的网络攻击利用云服务器作为攻击入口,因为黑客试图获取可用于破坏汽车网络安全的有价值的数据。不安全的无钥开锁或遥控钥匙也经常被用来获得汽车访问权,进而偷盗汽车;移动应用以近10%的网络攻击排第三。

有趣的是,远程攻击占网络攻击总数的大约80%,而汽车实物攻击仅占约20%。

Upstream还分析了由白帽和黑帽黑客发起的网络攻击的区别。白帽黑客没有恶意,他们大多是研究人员,入侵系统的目的是进行安全验证或漏洞评估。白帽研究人员经常因发现公司漏洞而被雇用和/或奖励。黑帽黑客则是为了个人利益恶意攻击系统,2020年,黑帽黑客攻击占网络攻击总数的54.6%,而2010~2020年期间,黑帽黑客攻击仅占所有攻击的49.3%。

白帽黑客通常独立(或作为漏洞发现奖励计划的一员)来发现新漏洞。在漏洞发现奖励计划中,如果他们发现了车辆和连网服务中的漏洞,就会获得奖励。实施漏洞发现奖励计划的汽车OEM越来越多,许多原始设备制造商,包括Tesla、GM、Ford、FCA、Daimler等,都在诸如BugCrowd、HackerOne等平台上或他们自己的网站上参与了漏洞发现奖励计划。

研究机构MITRE于1999年启动的一个项目将软件漏洞作为“公共漏洞和暴露”(Common Vulnerabilities and Exposures,CVE)进行发布,该项目共发布了110个汽车CVE,其中2020年发布了33个,2019年发布了24个。

Auto-ISAC

大多数产业都成立了打击网络犯罪的机构,这些机构通常被称为信息共享和分析中心(ISAC)。汽车信息共享与分析中心(Auto-ISAC)成立于2015年8月,总部位于华盛顿特区,是共享、追踪和分析与连网车辆相关的网络威胁、漏洞和事故的中央枢纽。

在北美销售的轻型汽车中,超过99%都是由Auto-ISAC成员制造,Auto-ISAC成员还包括全球45家OEM和供货商,其中有重型卡车原始设备制造商及其供货商,以及商用车——包括车队和承运人。供货商包括Tier 1供货商,以及诸如Argo、Intel、Motional和Waymo等公司。

Auto-ISAC也与其他机构进行合作,与其他23个ISAC的合作涉及医疗保健、航空、电信和金融服务等关键的基础设施领域。

ENISA

欧盟网络与信息安全局(ENISA)致力于在欧洲实现网络安全。ENISA制定了欧盟网络政策,利用网络安全认证提高信息通讯技术(ICT)产品、服务和流程的可信度。ENISA活跃于汽车网络安全领域,并发布了多份相关报告。

2021年2月,ENISA发布了《Cybersecurity Challenges in the Uptake of Artificial Intelligence in Autonomous Driving》(在自动驾驶中应用人工智能面临的网络安全挑战),其中分析了在自动驾驶车中使用人工智能技术所面临的网络安全挑战,并介绍了欧洲和国际政策背景。

2019年11月,ENISA 发布《Good Practices for Security of Smart Cars》(智慧汽车良好安全实践),其中定义了什么是安全性良好的连网汽车和半自动汽车。2017年,ENISA发布了《Cybersecurity and Resilience of Smart Cars》(智能汽车的网络安全性和适应性),其中重点介绍了汽车OEM和供货商保护嵌入式系统免受网络攻击的最佳例子。

网络安全标准和法规的基本要求是在车辆的整个生命周期内,从开发、生产到客户使用,保障车辆的安全。

经过两年的准备和修订,联合国在2020年6月24日通过了UNECE WP.29网络安全法规。WP.29适用于欧盟、英国、日本和韩国等54个国家,这54个国家生产的汽车约占世界汽车产量的35%。许多国家/地区都认可符合联合国标准的车辆,向这些国家/地区销售汽车的所有制造商(包括美国汽车制造商),其产品和流程都必须遵守WP.29网络安全法规。不过,美国不包含在这54个国家中。

联合国法规具有法律效力。如果一个国家/地区采用了WP.29法规,OEM就需要提供合规证明才能获得型式认证,然后才被允许进入市场销售。在欧洲,型式认证意谓着在整车等级上相互认可合规性,如果制造商在一个欧盟国家获得了某种车型的认证,那么该车型无需进一步测试即可在整个欧盟销售。

ISO/SAE 21434是车辆网络安全的新标准,强调在车辆的制造阶段提高网络安全性。该标准明确了对网络安全风险管理的要求,重点强调网络安全的流程,建议使用一种通用语言用于沟通及管理网络安全风险,但是标准内不包含解决网络安全问题的具体技术或建议。

ISO/SAE 21434标准由ISO和美国汽车工程师学会(SAE)工作小组共同制定,目前有超过25家汽车制造商和20家Tier 1供货商参与到标准制定中。ISO/SAE 21434的最终草案于2021年3月发布,正式发布大概要等到2022年。

ISO/SAE 21434标准化工作与UNECE WP.29法规的制定相关联,因此欧盟也参与ISO/SAE 21434标准化工作中。

另一个重要标准Uptane于2017年1月正式推出,用于OTA软件升级。Uptane联盟成立于2018年,是IEEE产业标准和技术组织(ISTO)旗下的一个非营利机构。在2019年7月推出Uptane1.0版于之后,Uptane成为IEEE/ISTO 6100标准。Uptane 1.1版于2021年1月推出,未来的Uptane标准将由UptaneAlliance监管,现已有多家公司提供符合Uptane标准的软件产品。

UNECE WP.29网络安全

2020年6月,两项新的联合国网络安全条例(WP.29网络安全法规)被采纳了,这两项条例适用于所有类型的车辆。网络安全法规于2021年3月更新,将于2021~2022年开始在一些国家部署,并于2023~2024年完成大量部署。

第一项条例侧重于网络安全和网络安全管理系统(CSMS)。WP.29 CSMS的定义是:CSMS提供了一种系统风险处理方法,它定义了组织流程、职责和管理,可以处理车辆面临的网络威胁,保护车辆免受网络攻击。

CSMS文件提供了关于网络安全威胁的一些有用信息,列出了大量漏洞和攻击方法,附件5包含长达10页的对多种漏洞的描述,表3对这些威胁和漏洞进行了总结。CSMS文件列出了六种类型的安全威胁,多种漏洞类型(29),以及大量示例(67)。

 

表3:WP.29网络安全威胁和漏洞一览。

(来源:unece.org)

表4总结了CSMS文件中讲述的对网络安全威胁的补救。B表资料针对车内威胁;C表资料针对车外威胁。

表4:WP.29网络安全威胁补救。

(来源:unece.org)

第二项条例是关于软件更新流程和软件更新管理系统(SUMS)。WP.29 SUMS的定义:软件更新管理系统提供了一种系统方法,它定义了组织流程,可以满足该法规对软件更新的要求。

该联合国新法规是关于软件更新和软件更新管理系统的统一规定,适用于所有可进行软件更新的车辆。除了小车、货车、卡车和公共汽车外,该法规还适用拖车和农用车辆。

WP.29软件更新法规对汽车OEM要求如下:

  • 记录每种车辆的软件和硬件版本;
  • 记录软件的更新过程;
  • 辨别与型式批准相关的软件;
  • 检查组件上的软件是否正确;
  • 确定软件更新的软件相关性;
  • 辨识目标车辆并验证它们与更新软件的兼容性;
  • 判断更新是否会影响车辆安全性或安全驾驶;
  • 评估软件更新是否会影响型式批准;
  • 通知车主更新。

汽车OEM必须满足以下要求:

  • 为其路上行驶的所有车辆开发一个软件更新管理系统;
  • 保护软件更新流程的完整性和可靠性;
  • 保护软件标识;
  • 确保可以从车辆中读取软件标识;
  • 空中软件更新必须做到:

-如果更新失败,恢复以前的功能;

-仅当电量充足时才进行更新;

-确保更新安全进行;

-证明车辆能够进行更新;

-每次更新开始和完成时通知用户;

-当需要机修工时通知使用者。

(参考原文:Now Your Car is a Cybersecurity Risk, Tooby Egil Juliussen)

本文同步刊登于EDN China 7月刊杂志

 责编:Luffy Liu

EETC https://www.eet-china.com
本文为EET电子工程专辑 原创文章,禁止转载。请尊重知识产权,违者本司保留追究责任的权利。
  • 温故而知新,浅析Fuse四大应用领域 近年来,市场对信息技术、移动和消费电子等各类设备的需求急剧上升,且随着产品的功能日趋强大和功能的复杂化,这类电子设备发生意外情况的风险也相应增大,工程师在整体电路设计时的安全意识也需要不断提高。保险丝(Fuse)作为一种简单而有效的电路保护安规器件,需求量也急剧上升。
  • 半导体器件也会和人一样?也会从婴儿长到暮年? 半导体器件生命周期竟然和人类生命如此相像,究竟半导体那个阶段阶段出问题概率最大? 那可靠性和良率又究竟是怎么回事?一文带你理清整个概念。
  • 这颗安全IP,只为中国度身定制! Rambus日前宣布针对中国终端用户市场推出定制硬件信任根安全IP(RT-121与RT-131),该IP采用带有专用安全存储器的状态机架构,支持中国国密SM2、SM3和SM4加密算法,用于保护芯片上最敏感的信息、资产或者密钥,并为平台安全奠定基础。
  • AMD对显卡挖矿说Yes 前段时间,NVIDIA通过驱动限制显卡挖矿,其RTX 3060 显卡的驱动将会检测以太坊挖矿算法,并通过限制 hash rate 的方式将挖矿效能降低约 50%。而现在,NVIDIA的竞争对手AMD却对显卡挖矿这种做法说YES。
  • 硅指纹听说过吗?或为新型的个人隐私保护手段 今年的央视“3·15”晚会,隐私保护成了最大“亮点”。继食品安全、环境安全和健康安全之后,“隐私安全”首次成了央视315的焦点话题。而现如今个人隐私数据受到黑客入侵的新闻报道日渐增多,传统密钥方式也存在着一定风险。于是一项新的技术PUF应运而生,而这项技术的实现难度和前景又如何呢?
  • 由十年前的今天福岛核电站泄露想到的?(图文) 三月十四对于大多数人来说,是一个慵懒的周末,但是对于邻国日本来说,十年前的今天可是一场前所未有的天灾。福岛核电巨大灾难影响至今,不仅是核工业的发展,其背后更深层次是控制芯片和系统研发,那么我国核工业控制和专用芯片又发展的怎么样了呢?
  • 新款iPad Pro 2021成最受欢迎的 由于采用性能相对强大的M1处理器和mini-LED屏幕以及更多的创新,新款iPad Pro 2021已经成为消费者心目中最受欢迎。然而,iPad 2却已经在全球范围内被列入“复古和过时”的名单中。
  • 三星折叠屏手机Galaxy Z Fold 3 目前来看,折叠屏新机作为一种新的生产力工具,逐渐成为高端/平板的一种趋势,有报料称三星的Galaxy Z Fold 3发布时间或为7月,并且会引入新手势操控。

  • 重磅新品| 纳芯微推出车规LIN收发 纳芯微(NOVOSNS)推出了全新通用车规LIN收发器芯片---NCA1021,可广泛适用于汽车电子子系统的总线接口设计,如电动门锁,电动窗,电动座椅,电动后视镜,玻璃刮水器,座椅加热器等模块,具有线间干扰小,线束少,传输距离长,成本低等优点。
  • 猎豹移动2021年Q3财报:AI和其他收入 本季度猎豹移动持续提升运营效率,Non-GAAP营业总成本及费用同比下降47.4%。其中互联网业务环比扭亏为盈,实现Non-GAAP营业利润180万元。截止到2021年9月30日,公司持有的现金及现金等价物、受限资金及短期投资18.53亿元,长期投资24.23亿元。
  • 20211125 买卖芯片找老王 2021年1月重启“买卖芯片找老王”以来,我们已经帮数百家企业解决了芯片的供需要求,完成了数千万人民币的交易。每天有N多用户过来各种缺货找货,因此,我们决定重启买卖芯片找老王业务,希望能在这水深火热的
  • 【网友好帖分享】“PIC18F16Q40 Curiosity Nano评估工具包”网友测评报告4 “Curiosity Nano测评报告”好贴分享又来了。本期我们分享的是网友hayden0的“【CuriosityNano测评报告】MCC插件安装及PIC18点灯LED”。在这篇测评报告中,hayde
  • 怪兽星座欲并购,运动饮料成为新战场? 怪兽与星座,1+1>2?作者 | 朱茱编辑 | 何缘提及怪兽,除了能想到电影里面的张牙舞爪的生物,还可能是健身圈的“宠儿”,自带绿色爪子的运动饮料。随着健身热潮的来临,运动饮料也将成为
  • 疯狂的ASML 总部位于荷兰的ASML市值约为 3500 亿美元。在以前,这是一家鲜为人知的科技巨头,但因为各种原因,他们最近声名大噪。而随着对半导体的永不满足的需求的增加,他们正在迎来高速增长。这家拥有 37 年历
  • 秦淮数据:超级IDC出海  海外征战,不是轻轻松松、敲锣打鼓就能实现的,而是核心能力出海的过程和结果。近期,随着在美股上市的国内主要互联网和科技类公司陆续披露三季报,投资者开始显露失望情绪——阿里本季度营收扣除合并高
  • 势头强劲!TCL通讯第三季度智能手机和平板电脑出货量显著增长 (香港2021年11月25日,美通社消息)国际数据公司(IDC)近期发布的全球智能设备季度追踪报告显示,TCL通讯在第三季度势头强劲,智能手机和平板电脑产品的市场份额均有明显提升。TCL通讯的智能手机
  • 祝感恩节快乐! if (!window.__second_open__) { document.getElementById('js_image_desc').inne
  • AWS也在用的实时视频转码方案 行业挑战实时转码是视频流分发最为重要的阶段之一。此时实时视频流进入网络,为大规模分发做准备。这一转码过程不仅需要快速进行,同时还要保持高画质。AWS 拥有大量处理电视网络视频转码工作负载的客
  • 泰国首富募150亿"养猪",牧原的头号对手要来了? 作者 | 吴中霞来源 | 全天候见闻 在当下猪企”减产瘦身期“迎来新巨头,行业未来能否消化新增产能,仍未可知。短短一年不到的时间,多家猪企由盈转亏,“
  • 烂尾10年复活无望,9亿设备遭疯抢!日经新闻:大量假芯片涌入 1.  烂尾10年复活无望,9亿设备遭疯抢!烂尾10年无望复活二手设备低价抛售遭疯抢11月19日,山东产权交易中心信息正式披露中联国际8英寸半导体设备的挂牌转让信息,转让底价约为8
广告
热门推荐
广告
广告
广告
EE直播间
在线研讨会
广告
广告
广告
向右滑动:上一篇 向左滑动:下一篇 我知道了