當今聯網汽車易受到黑客及惡意軟件攻擊
責編：gltian ｜2018-04-16 14:26:17McAfee 高級威脅研究團隊最近在法國網站JournalAuto.com上發布了一篇關于汽車威脅的文章。聯網汽車的數量增長迅速，代表了個人交通的下一個重大進步。根據普華永道法國公司的數據，預計2017至2022年間汽車銷售額將從525億美元增至1559億美元。這種增長對汽車公司和IT安全公司來說都是一個巨大的挑戰。
與傳統汽車相比，智能網聯汽車增加了許多的新功能，包括WIFI，駕駛輔助系統和自動駕駛操作等。聯網汽車將很快需要強大的安全功能，以避免任何可能危及駕駛員、乘客和其他人的入侵。
安全風險
與其他聯網設備一樣，現代汽車也面臨安全風險。讓我們來看看在汽車安全領域當前和未來的威脅。
下圖顯示了主要風險：
個人數據和記錄
聯網汽車記錄了很多關于駕駛員的信息。這些信息可以來自連接到汽車的外部設備（例如電話），包含聯系詳情、短信和通話記錄，甚至音樂品味。汽車還可以記錄變換模式和其他駕駛員習慣以用于創建駕駛員能力畫像。這種監督可以用在例如為保險公司提供保險服務時提供幫助。
隨著個人數據越來越被重視，所有這些信息都是網絡犯罪分子以及公司和政府的有價值目標。
網絡犯罪分子可以利用這些被盜信息進行經濟賠償和身份盜竊
公司可以將此信息用于營銷或保險合同
政府可以利用這些信息來監視和追蹤人員
偽造的汽車數據
數字信息可以修改和偽造。通過改變諸如擾亂測試或績效等數據，企業可以利用這些結果來增加銷售額。同樣，司機可以修改汽車統計數據，例如修改行車距離來欺騙保險公司和未來的買家。
汽車盜竊和鑰匙鏈黑客攻擊
鑰匙鏈黑客攻擊是一種可以讓入侵者無需破壞汽車即可進入汽車的技術。這項技術被攻擊者熟知，并且可以以低成本輕松地完成攻擊。該攻擊包括攔截來自無線鑰匙的信號，以阻止信號鎖定汽車與重放信號打開汽車。
一種攻擊方式利用干擾器來阻止信號。干擾器會干擾用于與車輛通信的電磁波，阻止信號并防止汽車鎖定，從而使攻擊者可以進入。一些干擾機的射程超過500米。
鑰匙鏈干擾器。
另一種攻擊方式截取了鑰匙發出的信號，并通過重放來打開車門。汽車制造商通過實施安全算法來避免這種使用相同信號進行簡單的重放的攻擊。從鑰匙發送到汽車的每個信號都是獨一無二的，因此避免了重放攻擊。然而，這種攻擊的一個概念證明（PoC）阻止了信號發送到汽車并將其存儲起來。司機首次按下鑰匙按鍵不起作用，但信號會被攻擊者記錄下來。駕駛員第二次按下鑰匙，攻擊者也記錄了該信號。第一個攔截的信號是用來解鎖車門的，第二個是用于之后攻擊者使用。
由（CAN）后門進入
汽車使用的很多組件與其部分進行交互。自20世紀末以來，汽車已經使用了專用控制器局域網（CAN）標準，以允許微控制器和設備相互通信。CAN總線與車輛的電子控制單元（ECU）通信，該控制單元操作許多子系統，例如防抱死制動系統，安全氣囊，變速箱，音響系統，車門以及許多其他部件，包括發動機?，F代汽車還有一個車載診斷版本2（OBD-II）端口。機械師使用此端口來診斷問題。CAN流量可以從OBD端口進行攔截。
車載診斷端口。
外部OBD設備可以插入汽車作為執行外部命令及控制諸如Wi-Fi連接、進行性能統計和開門等控制服務的后門。如果安全性無法得到保證，OBD端口則為惡意活動提供了一種途徑。
垃圾郵件和廣告
為聯網汽車增加更多的服務也會增加更多的安全風險。隨著Teslas等可以通過瀏覽器訪問互聯網的全程聯網的汽車的問世，根據行程和地理位置進行投遞的新型垃圾郵件將會變得可行。想象一下，當你走近一家快餐店時，會彈出折扣信息。這種行為不僅是不必要的，還會讓司機分心。我們已經知道垃圾郵件和廣告是惡意軟件的感染媒介。
惡意軟件和漏洞利用
汽車中的所有ECU都含有可被黑客入侵的固件。汽車采用車載信息娛樂（IVI）系統來控制音頻或視頻以及其他功能。這些系統的復雜性正在增加。
一個車載信息娛樂系統。
改善駕駛體驗的技術還包括 MirrorLink，藍牙和內部Wi-Fi等。通過將智能手機連接到汽車，我們添加了諸如電話，短信，音樂和有聲讀物等功能。
惡意軟件可以定位這些設備。嵌入在我們汽車中的電話，瀏覽器或電信網絡是可能是惡意軟件的感染媒介。2016年，McAfee 的安全研究人員展示了勒索軟件的poc，除非支付贖金負責汽車無法使用。
對IVI勒索軟件攻擊車輛的概念驗證。
勒索軟件是通過無線系統安裝的，可以連接外部設備。
第三方應用程序
許多現代汽車允許第三方創建應用程序來進一步連接服務。例如，可以使用智能手機上的應用程序解鎖或鎖定你的家門。雖然這些應用程序可以非常方便，但它們也同時為每一個可能會利用此方便進行攻擊的黑客提供了服務。破解智能手機應用程序比汽車的ECU更容易，因為前者開銷更小，并有更多的資源可以利用。汽車應用有時也很脆弱，因為一些第三方采用的安全措施比較薄弱，比如一些認證有時以明文形式存儲。這些應用程序還可能存儲個人信息，如GPS數據、汽車模型和其他信息。OnStar應用程序已經證明了這種情況下，黑客甚至可以遠程打開汽車。
車對車通信
車輛對車輛（V2V）技術允許使用無線網絡在道路上的車輛之間進行通信。例如，當另一輛車靠得太近時，該技術可以通過降低汽車的速度保障道路安全。它還可以與道路標志設備（針對車輛的基礎設施）進行通信。傳輸的信息改善了駕駛體驗，提高了安全性。現在，假設這個系統被破壞性惡意軟件侵入，如果V2V系統成為媒介，那么惡意軟件可能會感染許多與媒介車可以通信的汽車。這聽起來像是一個科幻場景，對吧？然而事實就是這樣，如果我們將這種可能性與WannaCry或NotPetya等最近的針對被具有破壞性惡意軟件感染的計算機進行比較， 那么這樣的場景并非科幻，反而非?？赡馨l生。
結論
智能網聯汽車會改變我們的生活，作為汽車業和其他技術產業的結合，智能網聯汽車會給我們帶來一些新的服務。通過提升客戶體驗，汽車和科技行業將提供令人興奮的新服務。盡管如此，我們需要考慮潛在的風險，而且盡早采取安全措施。這篇文章中的一些場景在現實生活已經發生了，其他目前未知的惡意攻擊也許也會令我們始料未及。
參考
https://securingtomorrow.mcafee.com/mcafee-labs/defcon-connected-car-security/
https://www.wired.com/2015/08/hackers-tiny-device-unlocks-cars-opens-garages/
http://www.journalauto.com/lja/article.view/28181/securite-des-voitures-connectees-un-nouveau-defi-pour-le-secteur-automobile-en-2018/15/connectivite
https://www.pwc.fr/fr/espace-presse/communiques-de-presse/2016/septembre/vehicules-connectes-un-marche-estime-a-156-milliards.html
https://www.sans.org/reading-room/whitepapers/threats/hacking-bus-basic-manipulation-modern-automobile-through-bus-reverse-engineering-37825