汽车网联化加深 车企不重视或致黑色产业喧嚣

7月28日，2017年世界黑客大会的最后一天，腾讯科恩实验室宣布，再次实现了以远程无物理接触的方式侵入特斯拉ModelX，获得了最高权限(full access)。2016年，首次攻陷特斯拉汽车让腾讯科恩实验室在汽车业界一战成名。这一次，科恩实验室再次发现多个高危安全漏洞并实现了对特斯拉的无物理接触远程攻击，从最基本的使用手机远程解锁任意车门，到远程介入并控制刹车系统，再到通过控制车辆的多个ECU(电子控制单元)模块，进而控制整车的车电网络，能够在驻车模式和行驶模式下对特斯拉进行任意远程操控。此外，2016年9月，特斯拉为了提升车辆安全性增加了代码签名安全机制，对所有FOTA升级固件进行强制完整性校验，本次研究突破了该代码签名机制。科恩实验室表示，2017年6月底，科恩实验室已经按照负责任的漏洞披露流程，将本轮研究中发现的所有安全漏洞技术细节报告给特斯拉美国产品安全团队。特斯拉产品安全团队快速确认了漏洞有效性和危害，并于7月初进行了快速修复并通过FOTA推送了升级系统固件。特斯拉车主可以检查一下系统版本，如果系统低于8.1 (17.26.0)版本须尽快升级，避免行车安全问题。未来汽车网联化程度越来越高，对应的信息安全挑战随之而来。全球汽车产业需要为新挑战做好哪些准备?产业生态将发生哪些变化?2017年世界黑客大会期间，腾讯汽车联合科恩实验室发起了汽车信息安全沙龙，邀请信息安全专业人士就汽车信息安全问题进行了专门讨论。腾讯汽车频道总编辑王秋凤表示，作为媒体，腾讯汽车希望在这个关键的时间节点上，利用科恩实验室的破解事件引发整个行业对汽车信息安全问题的关注。科恩实验室为什么总是盯上特斯拉？一些车企的规划表明，具备较丰富网联功能的车型最快在未来一两年内就会面世，未来三到五年内，智能网联汽车就将陆续走进人们的生活。因此，汽车信息安全问题已十分紧迫，王秋凤预测，2020年左右智能网联汽车的信息安全问题将会集中爆发。这样的背景下，科恩与特斯拉的恩怨就不难理解了。科恩实验室总监吕一平说，我们之所以关注特斯拉，是因为特斯拉是目前最具标志性的智能网联汽车。我们希望对特斯拉的研究，能够让其他车企在汽车信息安全认识、安全能力储备方面有一个很好的参考。我们必须给特斯拉一个比较客观的评价。根据科恩实验室的研究，特斯拉在信息安全技术上的投入可能是目前全球汽车企业中最多的，其已经实现的汽车安全防护技术也是全球领先的。他提醒说，汽车安全能力不仅是信息技术的，还包括车企在管理、流程各方面的准备。对我们发现的安全漏洞，特斯拉每次都能做出快速反应，快速修复，并通过OTA把安全补丁推送到每一辆在使用中的汽车，这一整套机制都是值得传统车企借鉴和学习的。汽车网联化会不会带来一场噩梦？《速度与激情8》中黑客远程操控车辆的场景让不少人记忆犹新，这个目前仅存在于电影当中的场景，离真实的生活有多远?作为汽车信息安全专家，与会者并不觉得这一切是天方夜谭。从技术层面上讲，智能汽车的信息安全保障难度相比传统汽车大得多，它的车载电脑系统的数量更多，更多的数据输入意味着会有更多安全问题，也给了黑客更多的攻击机会。被誉为地球上技术最熟练的黑客之一的查理·米勒博士是全球黑客界传奇般的人物，2015年，他和同伴成功入侵了一辆2014款Jeep，使菲亚特克莱斯勒汽车公司(FCA)在全球召回了140万辆车进行返厂升级。他说，相对于入侵仅具有部分网联功能的Jeep，攻击无人驾驶汽车更加容易，如果车辆的自动驾驶系统被黑了，攻击传统汽车所使用的‘欺骗’手段都没必要做。理论上讲，黑客选择从云端和CAN端攻入智能汽车都是可能的。腾讯云安全专家史博指出，如果云端被攻击，影响的车辆会更多。这意味着，带有安全漏洞的智能汽车将是整个社会的一大隐患。但更大的风险，可能还不在未来，而存在于现实当中。目前国内汽车企业普遍在信息安全知识、能力和经验方面的积累还比较少。我们做了很多的用户教育和行业教育工作，但在去年我们破解特斯拉之前，这个教育工作很难做，大家都觉得问题真的会发生吗?你们说的威胁能实现吗?去年特斯拉的破解视频公开以后，大家才意识到问题的严重性。吕一平认为，国内车企首先要在战略意识上认识到网联化为汽车信息安全带来的重大挑战，开始重视信息安全能力建设。车企在车辆的被动安全、主动安全(ADAS)方面的技术积淀相当深厚，不过在网络安全方面，车企还要向互联网公司学习经验。距离可能的危机还有三至五年，汽车界该做好哪些准备？安恒信息副总裁袁明坤判断，三到五年内应该还不会有黑客大规模攻击网联汽车的事件出现，这为车企向智能网联化的过渡提供了必要的时间。他认为，未来数年，网联汽车的总体规模尚小，还不具备发生大规模安全事件的条件;同时，因为不同车型所采用的操作系统和技术架构各异，产生通用漏洞的可能性还不大;再有，针对网联汽车产业的黑产生意模式还没有确定，对于恶意攻击来说，操作这样的事件收益太小。但是按照墨菲定律，可能发生的事情必然会发生，针对网联汽车的安全攻防将是一场持久战。袁明坤强调。在未来三到五年内，全球汽车业应利用这个缓冲期加紧进行基础安全建设。需要从汽车的源头开发开始，在供应链、整车厂商、网联运营方、手机APP等各方之间打通生态链，在每一个环节把事情做扎实，否则将来补救的成本会非常高，大规模的事件将无法抵挡。车企应抱持开放的合作态度，引入专业信息安全团队联合进行网联汽车的早期研发，尽早打通网联汽车安全生态这是本场沙龙嘉宾的共识。查理·米勒希望车企更加开放透明，而不是自我封闭，试图自己去解决安全问题。和吕一平的观点一样，他认为特斯拉以及克莱斯勒是当前在安全方面做得最出色的汽车企业，因为这两家企业都开展了漏洞奖励计划，鼓励外部安全研究人员发现并报告其产品的安全漏洞。这使他们得以找到能帮助他们的安全专家，像我和腾讯科恩实验室。安全问题会阻碍汽车网联趋势吗？和世界黑客大会的众多参会者一样，吕一平和查理·米勒们对网联汽车的破解和攻击并不是为了炫耀技术，这些被称为白帽黑客的安全专家们所做的一切，都是为了抢在潜在的危机爆发之前堵住漏洞，让这个世界更安全。也许正因如此，对于智能网联汽车的未来，查理·米勒有自己坚定的信仰：我不认为因为担忧，就不去应用更先进的技术。对此，王秋凤同样持有乐观的态度：互联网发展早期面临的安全问题非常多，但互联网依然全面进入了我们的生活，改变了我们的生活。辩证地看，智能网联汽车在绝大部分程度上是使世界变得更美好的一个工具。近日，国务院印发《新一代人工智能发展规划》，其中多次提及到重点发展汽车产业中的自动驾驶技术，并且要在智能交通建设和自主无人驾驶技术平台等方面实现突破，成为引领智能网联汽车产业发展的国家战略。人工智能已成为全球竞争的新焦点，经济发展的新引擎，这一整体趋势之下，智能网联汽车产业也将循着发现问题、解决问题的方向持续发展。智能网联汽车业的发展，有赖于汽车业智能化生态圈的建立和发展。王秋凤说，从这个意义上说，科恩实验室对特斯拉的远程攻击具有不可估量的价值。下一次中招的会是谁?说真的，我很期待。

分享到