黑客攻擊次數(shù)5年增長20倍 智能汽車安全遭遇空前挑戰(zhàn)
本報記者 龔夢澤
“在過去5年時間里，智能汽車被黑客攻擊的次數(shù)增長了20倍，其中有27.6%的攻擊涉及車輛控制。”在剛剛結束的第11屆中國汽車論壇上，華為智能汽車解決方案BU首席技術官蔡建永分享了一組極具沖擊力的數(shù)據(jù)，直觀地反映出“智能汽車頻遭黑客攻擊”的嚴峻現(xiàn)狀。
據(jù)《證券日報》記者不完全統(tǒng)計，2019年，黑客通過入侵共享汽車App、改寫程序和數(shù)據(jù)的方式，盜走包含奔馳CLA、GLA小型SUV、Smartfortwo微型車在內(nèi)的100多輛汽車。相比于以盜竊汽車為目的的黑客攻擊，智能汽車在網(wǎng)絡安全和行駛過程中遭到黑客攻擊帶來的危險性顯然更為嚴重。
知名汽車網(wǎng)絡安全公司Upstream Security發(fā)布的2020年《汽車網(wǎng)絡安全報告》顯示，自2016年至2020年1月份，汽車網(wǎng)絡安全事件增長了605%，僅2019年一年就增長1倍以上。按照目前的發(fā)展趨勢，隨著汽車聯(lián)網(wǎng)率的不斷提升，預計未來此類安全問題將更加突出。
作為智能化、網(wǎng)聯(lián)化車企代表之一的特斯拉，就曾被找出大量安全漏洞。據(jù)360集團工業(yè)互聯(lián)網(wǎng)安全研究院院長張建新介紹，早在2014年，特斯拉研發(fā)的第二款汽車產(chǎn)品Model S發(fā)布兩年后就被發(fā)現(xiàn)了一個漏洞。利用該漏洞缺陷，控制者能夠通過遠程控制實現(xiàn)開鎖、鳴笛等操作。
今年，特斯拉再度因攝像頭記錄駕駛員面部特征及車內(nèi)大部分空間而陷入“隱私門”，其中的監(jiān)控錄像就是一名黑客入侵特斯拉汽車后曝出來的信息。除了網(wǎng)絡、程序技術帶來的安全風險外，自動駕駛、人工智能等數(shù)字化技術的應用也讓汽車的安全風險相應增加。在有關數(shù)字化應用的攻擊中，黑客越來越多地瞄準大數(shù)據(jù)、人工智能和自動駕駛系統(tǒng)。
智能汽車網(wǎng)絡安全問題
面臨嚴峻考驗
在車聯(lián)網(wǎng)和“軟件定義汽車”的發(fā)展趨勢下，智能汽車越來越像科技產(chǎn)品，擁有了更多的智能化功能，同時也帶來諸多生態(tài)性問題。其中，聯(lián)入互聯(lián)網(wǎng)所帶來的安全問題就是未來汽車發(fā)展過程中需要面對的一大焦點。
“目前汽車的關鍵代碼規(guī)模提升了10倍甚至100倍，代碼漏洞也呈現(xiàn)指數(shù)級增長，更多時候是軟件代碼的增加帶來了安全風險的增加�！辈探ㄓ缹Α蹲C券日報》記者表示，在汽車系統(tǒng)尚未聯(lián)入互聯(lián)網(wǎng)之時，黑客入侵的入口只是藍牙系統(tǒng)、CD播放器等設備。但伴隨車聯(lián)網(wǎng)的快速發(fā)展，不僅黑客入侵的入口極大拓展，攻擊的地點也不再局限于車輛附近。
據(jù)華為智能汽車解決方案BU、標準總監(jiān)高永強透露，從風險類型來看，當前智能汽車面臨的網(wǎng)絡安全威脅主要有七類，大致可以歸類為智能汽車的感知層、網(wǎng)絡層和應用層三大層面。
記者還注意到，車企在網(wǎng)絡通信層面的防護水平參差不齊。以車云通信為例，現(xiàn)階段整車企業(yè)對通信加密、車載端訪問的控制進度就各不相同。對于漏洞頻現(xiàn)的數(shù)字車鑰匙，很多車企在通信安全方面的重視程度也有限，安全機制普遍不足。
2018年9月份，特斯拉無鑰匙進入和啟動系統(tǒng)曝出CVE(通用漏洞披露)漏洞，編號為“CVE-2018-16806”。該系統(tǒng)是由軟件公司Pektron開發(fā)的，因此受影響的車輛還可能涉及同樣應用了Pektron啟動系統(tǒng)的邁凱輪、Karma、Triumph等品牌車型。
在C-V2X(蜂窩車聯(lián)網(wǎng))直連通信方面，目前大部分車企在證書管理系統(tǒng)、終端解決方案和企業(yè)初始配置環(huán)境建設等方面，仍處于試驗驗證的初級階段，現(xiàn)已存在的交通、通信等領域的安全威脅也會陸續(xù)遷移到智能汽車上。
“互聯(lián)網(wǎng)領域的所有安全威脅，都將平滑地向汽車領域蔓延。”在蔡建永看來，對個人電腦或手機的入侵，最多損失個人信息或財產(chǎn)。而一旦車輛被黑客入侵，尤其是在車輛高速行駛時被入侵，有可能導致車毀人亡�！叭绻囅馱indows一樣受到大量程序攻擊，這是絕對不能接受的。”
汽車產(chǎn)業(yè)現(xiàn)已進入智能化變革的關鍵時期，與早期PC、手機的發(fā)展路徑類似，應用的擴展和網(wǎng)聯(lián)率的大幅提升，也將使其成為下一個網(wǎng)絡攻擊的“靶子”。智能汽車本身呈現(xiàn)出來的更加分散的攻擊點和更加嚴重的后果反饋，都凸顯了智能汽車面臨的嚴峻的安全防控形勢。
確保汽車網(wǎng)絡安全
須多管齊下
道路千萬條，安全第一條。在汽車智能化發(fā)展進程中，一旦出現(xiàn)網(wǎng)絡安全漏洞，除了對車輛及車主造成安全威脅外，還有可能將危險蔓延至其他車輛和其他人，引發(fā)公共安全事件。因此，智能汽車的安全問題是時候擺上桌面了。
在政策層面上，國內(nèi)車聯(lián)網(wǎng)相關體系和標準已在建設中。今年6月21日，工信部就《車聯(lián)網(wǎng)(智能網(wǎng)聯(lián)汽車)網(wǎng)絡安全標準體系建設指南》公開征求意見，提出了車聯(lián)網(wǎng)安全標準體系框架、重點標準化領域及方向�？梢钥闯�，解決“汽車黑客”的威脅已成為車企和消費者的共同期望。
“標準化、體系化解決的是安全有無的問題，但有了這些，車聯(lián)網(wǎng)就真正安全了嗎？”張建新稱，汽車聯(lián)網(wǎng)一定會有漏洞，聯(lián)網(wǎng)會導致黑客攻擊面擴大，新技術的引入也會帶來新的風險。
記者還發(fā)現(xiàn)，目前智能網(wǎng)聯(lián)汽車的很多零部件仍以外資供應商為主，對于部分車企來說，這些供應商提供的系統(tǒng)如同“黑盒”，主機廠想從全局上構建信息安全防護體系，但可操作空間被極大制約了。
對此，智能汽車領域?qū)＜�、車�?lián)網(wǎng)信息安全專家鄭光偉認為，出臺權威性的智能網(wǎng)聯(lián)汽車信息安全評測規(guī)程顯得尤為重要�！澳壳霸谶@方面市場各方仍存有分歧。主機廠的評估思路偏重于攻擊路徑的利用難度，以及對車輛資產(chǎn)和人身安全的影響程度；信息安全廠商更偏重技術本身對系統(tǒng)的影響�！编嵐鈧ケ硎荆袠I(yè)統(tǒng)一標準會促進主機廠、零部件供應商和信息安全企業(yè)的理念達成一致。
談及如何進行有效的安全防護，張建新表示，需要從實戰(zhàn)入手。安全機構可站在黑客的立場，通過真實地攻擊排查汽車系統(tǒng)的安全漏洞；“白帽黑客”通過不斷地運行程序，完成對智能汽車系統(tǒng)漏洞的查找、提交和修復。
在高永強看來，智能汽車的安全問題目前處于多態(tài)并存狀態(tài)，所涉及的不僅僅是汽車廠商，也包括相關的互聯(lián)網(wǎng)服務商。為此，各方都應遵循ISO 21434標準，從技術層面建立分層網(wǎng)絡安全防護機制，并建立一套有公信力的網(wǎng)絡安全評測體系，提升整個行業(yè)的網(wǎng)絡安全水平，確保智能網(wǎng)聯(lián)汽車擺脫安全隱患。(證券日報)
