“黑客”破解奥迪气囊细节曝光谁为车联网安全护航

近日，三位国外“黑客”再次利用汽车的第三方软件0day漏洞，成功攻击奥迪TT汽车的安全气囊，使其关闭。要知道，2015年2月美国通用汽车公司OnStar系统安全漏洞刚刚被曝存在安全隐患。2015年7月，两名“黑客”就在美国入侵切诺基车联网系统，通过蜂窝数据获得切诺基的IP地址后，让汽车与假移动基站通信，“这样在800公里之外也能攻击汽车，距离不是问题。”破解切诺基“黑客”之一的米勒告诉记者。

被破解的后果是，切诺基被远程操控翻入路旁的沟渠里。随后，克莱斯勒公司宣布在全美召回约140万辆存在软件漏洞的汽车，这也是首例汽车制造商因为黑客风险而召回汽车的事件。

本次破解奥迪TT安全气囊的“黑客”，是来自CrySyS实验室的András Szijj和Levente Buttyán，以及布达佩斯技术和经济学院的Zsolt Szalay。他们利用的车联网漏洞来自第三方安全软件，该软件目前被众多汽车品牌使用。与米勒远程劫持切诺基不同的是，此次三位“黑客”需要利用一台PC通过USB口接入奥迪TT，才能劫持汽车，实现关闭汽车安全气囊等动作。

事实上，众多微型计算机被安装在汽车内，遍布发动机以及各个部件。这就给了“黑客”找到各部分信息，阻断这些信息，继而控制汽车的可能。从去年破解特斯拉开始，到今年破解比亚迪秦的自动移车系统，再到破解切诺基和奥迪安全气囊都是如此。

破解切诺基的车联网系统时，“黑客”是通过发现汽车固件V850没有任何授权设置，这使他们利用汽车不同硬件将CAN总线的信息发送至关键电子控制单元变得容易。

在汽车连接WIFI时，破解切诺基的黑客也发现了WPA2的密码漏洞。虽然每天只有几秒能找到密码，但是仍然给了他们可趁之机。在切诺基某个部件第一次设置密码时，通过GPS设置，会有一个默认的时间密码，黑客则根据这个密码测算出相应数据。

目前，车联网安全漏洞频发，与智能汽车和新能源技术升级紧密结合。以特斯拉为代表的高智能化汽车，其电子设备和软件控制方式越来越自动化。车辆的转向、刹车和油门控制系统，均有软件和电子系统参与。应用于特斯拉平板式电脑的触摸操作系统在提升自动操纵感的同时，却也增加被“黑客”远程攻击的风险。

黑客在升级破解手段后，往往是通过插入车辆诊断端口与智能手机连接为切入点。一旦智能手机被连接到车载网络后，汽车的基本安全和司机的个人信息就存在安全风险。

因此，汽车行业的高智能化也逐渐面临与互联网领域一样的安全危机。从特斯拉到国产新能源车比亚迪秦，再到传统车切诺基和奥迪TT等系统漏洞的破解，黑客攻击开始频繁跟汽车行业产生关联。

这就需要汽车厂商及相关产业链在设计、开发和测试中充分考虑信息系统安全，政府加以推动建立相应规范、标准和体系。汽车与网络安全行业的合作也应该趋于常态化，共同应对和解决不断变化的车联网安全问题。

在10月28日举行的智能网联汽车联盟2015年度工作会议上，来自360攻防实验室的安全专家刘健皓介绍了车联网安全的最新形势以及由车联网安全引发的汽车安全挑战，得到与会的高校、研究机构、汽车厂商的专家们的共鸣，会上就汽车行业与网络安全行业合作解决车联网安全问题达成了共识。

近日360公司创始人、总裁齐向东透露，360正联合多家机构和车企，筹备成立中国车联网安全联盟。齐向东介绍，联盟将集合全社会的网络安全能力，跨行业间广泛技术交流和合作、推动产业和技术创新，共同面对和解决汽车的信息系统安全。