网易首页 > 网易汽车 > 行业 > 正文

小心,你的联网车 副驾驶可能“坐”着黑客

0
分享至

(原标题:小心,你的联网车 副驾驶可能“坐”着黑客)

百度公司董事长兼CEO李彦宏曾经在两会上畅想过智能车的未来:只要把车开上高速,你就能吃着火锅唱着歌,被车轻轻松松地从北京载到上海。

360集团董事长兼CEO周鸿祎后来在公开场合“皮”了一下:有一天,你吃着火锅唱着歌,可能智能车就被黑客劫持了。

周鸿祎素来喜欢“放炮”,但他描述的画面,并非耸人听闻。

前不久,以色列一家汽车联网安全公司的CEO阿米·多坦说了这么一番话:自动驾驶汽车系统可能会充满漏洞且易被黑客攻击。

当车辆接入网络,也就给了黑客远程攻击的机会。360智能网联汽车安全实验室负责人刘健皓被称为“破解特斯拉第一人”,他曾发现特斯拉Autopilot(自动驾驶系统)存在传感器漏洞并将漏洞提交给了特斯拉公司的安全部门。刘健皓在接受科技日报记者采访时表示,漏洞不可避免,也不可能被完全清除,信息安全攻防是一场动态的持久战。

存在漏洞、错误是代码的通病

阿米·多坦给出了这样一组数字:“联网汽车每1800行代码就会存在一些错误,其中80%是安全漏洞。”他还表示,一辆联网汽车和一辆自动驾驶汽车的潜在安全漏洞数目分别为5000和15000。

这是怎么算出来的?

北京理工大学网络攻防对抗技术研究所所长闫怀志告诉科技日报记者,国际著名的CMMI(软件能力成熟度集成模型)将软件能力成熟度分为5级,其中1级最低,5级最高,4级和5级的千行代码缺陷率分别为0.92‰和0.32‰。联网汽车“每1800行代码就存在一些错误”,表明其软件能力成熟度大致在CMMI 4级和5级之间。“虽然联网汽车代码成熟度达到了较高水平,但显然还有一定的提升空间。”闫怀志说。

闫怀志认为,软件代码出现漏洞,是由软件开发和应用过程中的不正确或遗漏行为所造成的,也就是在软件设计、实现或应用过程中有意或无意导致软件架构或其具体实现与期望不符。“漏洞的出现是所有软件代码的通病,不仅仅局限于联网汽车与自动驾驶应用领域。”不过,漏洞出现的频率又跟软件研发和保障水平密切相关。比如,在级别不同的CMMI研发保障能力下开发出来的代码质量和漏洞数量会有显著差异。“自动驾驶软件属于典型的工业应用软件之一,其安全漏洞的潜在危害性,尤其是对人和物理环境的破坏性都极大,和普通软件的危害不能同日而语。”闫怀志强调。

有漏洞不是稀奇事。中国科学院微电子研究所副研究员王云表示,随着汽车智能化水平的提高,一辆车上的代码可能有几千万甚至上亿行,存在错误和漏洞是肯定的。“不光自动驾驶行业,传统软件行业都会有各种错误,不管是Windows还是iOS。”

车载娱乐系统易成被侵入对象

漏洞是如何被发现和修复的?

王云介绍,成熟的软件开发都会有标准流程,会对需求、架构设计方案、代码模块设计接口、代码机制等环节进行代码测试与评审。通过规范的流程,大部分代码漏洞可以被发现,但是依然有少部分漏洞不会被测试用例覆盖。

“联网汽车涉及各种协议或操作系统、应用软件,存在漏洞的地方更多。目前被发现的漏洞涉及TSP(内容服务提供商)平台、APP应用、Telematics Box(T-BOX)上网系统、车机IVI系统CAN-BUS车内总线等各个领域和环节。”王云表示,协议、操作系统存在的漏洞都可能被利用,造成的危害也不一样:有的能让黑客窃取用户信息,更严重的能让黑客控制汽车。

刘健皓把漏洞比喻为银行的后门。大门处有重兵把手,但后门可能就是防护真空。有心人士能通过后门大摇大摆进来“搞事情”。而且,很可能银行自己都不知道有这个后门。

车联网及自动驾驶软件,实现了车—车之间、车—人之间、车—路之间的高效互联互通与信息共享,并为车联网智能决策和优化提供了基础支撑,但它也让联网车在信息安全、功能安全及隐私保护等方面,面临着前所未有的严峻挑战。闫怀志说,黑客可以利用车载终端系统、车联网云平台、移动APP、OBD(车载诊断系统)等系统的漏洞对车辆实施攻击,实现对智能车辆的操作控制。不安全的代码也可能在无攻击的情况下“自行”失效,导致车辆行为失控。

“有通信、接口的地方就容易遭到攻击。”刘健晧说,黑客攻击车辆可以分为物理接触、近场控制、远程控制3种。在智能网联时代,黑客能“顺着网线”悄无声息地进入你的车。

在测试联网汽车时,刘健皓团队也发现,车载娱乐系统易成为被侵入的对象。如今,汽车的中控系统做得越发酷炫,为了给用户更为高科技的人机交互体验,一些实体控制按钮被集成到了车载娱乐系统当中,该系统通常也要为用户提供互联网内容。于是,黑客就能通过车载娱乐系统的漏洞一举控制车辆的仪表盘甚至制动系统。

从已有的案例来看,最夸张的情况是,黑客能控制车辆动力和转向系统。比如远程启动一下发动机,比如让你的方向盘有“自己的想法”。而且,如果黑客破解了某车厂的后台,他就能用同样的方法横向批量影响到所有该品牌的汽车。

所以,如果有汽车在道路上集体“抽风”,也不是不可能。

打一场动态信息安全攻防战

当然,如果真“集体抽风”就成了公共安全事件,一切都要防患于未然。联网车并不只是黑客的猎物,实际上,车厂也会采取种种措施升级自己的防护机制。与入侵者斗智斗勇,本身就是一个你来我往、你攻我挡的动态平衡过程。

“安全防护不只是防护某个‘点’,一定要做到全面。”刘健皓说。所谓的全面,指的是在云(云服务)、管(通信)、端(车载终端)、控(控制系统)上全面保驾护航。

闫怀志表示,代码错误的避免和纠正,需要标本兼治,且应以治本为主,治标为辅。“标”是采用各种漏洞挖掘、分析、测试及修复手段来避免或减缓其安全威胁;“本”上还是应该严格遵循软件安全工程规范,从源头上解决问题。尤其是对于车联网和自动驾驶这种工业软件来说,要特别重视功能安全与信息安全二者的结合,从其全生命周期统一考虑各种安全因素。“具体来说,是识别工业应用软件的危险,定义其安全需求,然后进行安全设计、安全编码及安全测试,进行有效的缺陷管理,即实施基于功能安全与信息安全融合的工业应用软件安全工程方法。”

闫怀志介绍,在进行具体安全设计和代码编写时,可参考多种安全编码标准和指南。比如,汽车行业可以参考汽车电子功能安全标准(ISO 26262),还可以参考国际著名的MISRA(汽车工业软件可靠性联合会)的工业C编程规范。“该规范为汽车嵌入式系统编码提供了有关安全可靠性的最佳实践。”闫怀志说。

王云透露,国际组织(ISO/SAE)正进行21434(道路车辆—信息安全工程)标准的制定。该标准主要从风险评估管理、产品开发、运行/维护、流程审核等4个方面来保障汽车信息安全工程工作的开展。

在具体实践上,360智能网联车安全实验室给车企的建议是——“逆向思维”。在车辆正式推出之前,他们会对合作车企车辆进行测试,模拟黑客对车辆进行攻击;发现漏洞后,让车企对薄弱环节进行修正。车辆上市后,团队会为车辆做全生命周期的安全管理,监控和防护其可能遭到的攻击。

“没有一个安全公司能够保证车辆百分之百安全,跟黑客对抗的过程是动态防护的过程:发现攻击、阻断攻击、下发更新策略……”刘健皓强调,“我们希望为每个车厂建立一套安全的运营体系,实现自主品牌车辆的安全运营。”

热门车型推荐

1

POLO (合资)

  • 厂商指导价(万):9.09~12.49万
  • 级别: 小型车
  • 上市时间:2002年
  • 在产车型:15款
  • 排量(L):1.5 AT MT
  • 油耗(L):--
2

Panamera (进口)

  • 厂商指导价(万):97.3~245.8万
  • 级别: 豪华车
  • 上市时间:2009年
  • 在产车型:10款
  • 排量(L):2.9~4.0 AT
  • 油耗(L):--
3

雷克萨斯LS (进口)

  • 厂商指导价(万):87.8~118.0万
  • 级别: 豪华车
  • 上市时间:2006年
  • 在产车型:5款
  • 排量(L):3.5
  • 油耗(L):6.8~7.0(官方)
相关推荐
热点推荐
众生相!湖人0-3陷入绝境,赛后詹姆斯直接离场,主场观众狂嘘

众生相!湖人0-3陷入绝境,赛后詹姆斯直接离场,主场观众狂嘘

天涯沦落人
2024-04-26 12:45:18
时隔135天首发!赵睿18+4+5复出最强表现 三分三连击引主帅欢呼

时隔135天首发!赵睿18+4+5复出最强表现 三分三连击引主帅欢呼

醉卧浮生
2024-04-26 21:38:25
布林肯访华最后时刻,接到中方高层接见通知,并在中国举行记者会

布林肯访华最后时刻,接到中方高层接见通知,并在中国举行记者会

王晋博士
2024-04-26 19:18:42
57岁金龟子现身澳门永利皇宫,脸色苍白疲惫,网友:看样子输麻了

57岁金龟子现身澳门永利皇宫,脸色苍白疲惫,网友:看样子输麻了

娱圈小愚
2024-04-25 09:39:12
有网友总结:在中国,想失业比考北大还要难,真正符合失业标准的少之又少!

有网友总结:在中国,想失业比考北大还要难,真正符合失业标准的少之又少!

可达鸭面面观
2024-04-26 18:55:09
山东泰山两连胜!连破五大魔咒,客场首胜蓉城,崔康熙豪赌成功

山东泰山两连胜!连破五大魔咒,客场首胜蓉城,崔康熙豪赌成功

奥拜尔
2024-04-26 22:01:34
大反转!纪云浩职业经历被老战友夸赞,大学学历与转业有新解释

大反转!纪云浩职业经历被老战友夸赞,大学学历与转业有新解释

李昕言温度空间
2024-04-26 13:51:11
诺基亚 220 2024 款 4G 功能机 4 月 29 日开售,首发价 299 元

诺基亚 220 2024 款 4G 功能机 4 月 29 日开售,首发价 299 元

IT之家
2024-04-26 10:35:20
订单突破20000台,刚上市就杀疯了!续航1370km,仅售9.98万

订单突破20000台,刚上市就杀疯了!续航1370km,仅售9.98万

隔壁说车老王
2024-04-26 16:20:01
李铁再曝猛料,江津落网细节曝光,两爱好曝光,哥哥拒打假球退役

李铁再曝猛料,江津落网细节曝光,两爱好曝光,哥哥拒打假球退役

东球弟
2024-04-26 17:11:31
四川崇州“种酒”再被投诉:老人2.4万购酒,家属要求退款

四川崇州“种酒”再被投诉:老人2.4万购酒,家属要求退款

澎湃新闻
2024-04-26 07:08:29
疯传!某地8203原配抓渣男开房扇耳光!3段28分钟完整版4K高清流出

疯传!某地8203原配抓渣男开房扇耳光!3段28分钟完整版4K高清流出

魔都囡
2024-04-26 08:00:57
美国驻华大使馆发布中美外长会谈内容,却有多达七处被标注为“听不清”

美国驻华大使馆发布中美外长会谈内容,却有多达七处被标注为“听不清”

不掉线电波
2024-04-26 20:21:07
你的老师都做过什么惊为天人的事情?网友:从此全校的人惊为天人

你的老师都做过什么惊为天人的事情?网友:从此全校的人惊为天人

兰妮搞笑分享
2024-04-14 05:44:28
一觉醒来,美国下一任总统已无悬念?63岁奥巴马出山,果然不简单

一觉醒来,美国下一任总统已无悬念?63岁奥巴马出山,果然不简单

乡野小珥
2024-04-26 17:53:09
遭泰山球迷狂嘘!韦世豪0射正+停球出底线,57分钟被换,伊万皱眉

遭泰山球迷狂嘘!韦世豪0射正+停球出底线,57分钟被换,伊万皱眉

我爱英超
2024-04-26 22:09:44
复旦教授发“应景”笑话:哥大学生落水,美警初不救,听到喊反以 立马捞上来

复旦教授发“应景”笑话:哥大学生落水,美警初不救,听到喊反以 立马捞上来

可达鸭面面观
2024-04-26 17:47:33
高考重大改革!“985”、“211”时代终结,“101计划”时代全面到来!

高考重大改革!“985”、“211”时代终结,“101计划”时代全面到来!

创作者_1494406553502
2024-04-26 15:20:11
有一种“反噬”叫林生斌,保姆纵火案7年后,善恶终有报被应验了

有一种“反噬”叫林生斌,保姆纵火案7年后,善恶终有报被应验了

影孖看世界
2024-04-26 19:54:38
不会演别尬演!范伟一段“劳改犯出狱戏”,让观众看清演技有多假

不会演别尬演!范伟一段“劳改犯出狱戏”,让观众看清演技有多假

喵喵娱乐团
2024-04-26 16:09:28
2024-04-27 00:56:49

汽车要闻

2024北京车展 比亚迪的自驱力让对手紧追猛赶

头条要闻

官方回应环卫工用电子秤测灰尘:正常作业达标有奖励

头条要闻

官方回应环卫工用电子秤测灰尘:正常作业达标有奖励

体育要闻

G4浙江107-112不敌上海 球员评分:1人满分,4人及格,6人崩盘

娱乐要闻

金靖回应不官宣恋情结婚的原因

财经要闻

贾跃亭,真他娘是个人才

科技要闻

车展观察|德系日系绝不能放弃中国市场

态度原创

数码
家居
艺术
健康
军事航空

数码要闻

无底座Google Pixel 平板电脑定价泄露

家居要闻

光影之间 空间暖意打造生活律动

艺术要闻

画廊周北京迎来第八年, “漂留” 主题聚集 30 余家艺术机构与 40 场展览

这2种水果可降低高血压死亡风险

军事要闻

以军称已完成对拉法地面军事行动准备工作

无障碍浏览 进入关怀版