在過(guò)去十年里，汽車(chē)行業(yè)見(jiàn)證了嵌入汽車(chē)的計(jì)算機(jī)組件數(shù)量的大幅增加。今天，汽車(chē)實(shí)際上是帶輪子的計(jì)算機(jī)，就像我們的計(jì)算機(jī)相互連接一樣，汽車(chē)也是如此。Security Innovation 首席執(zhí)行官埃德·亞當(dāng)斯?(Ed Adams)?指出，雖然波音夢(mèng)想客機(jī)的代碼行數(shù)接近 650?萬(wàn)行，但福特皮卡的代碼行數(shù)大約是這個(gè)數(shù)量的 20?倍，其中包含 1.3 億行代碼以及 100?多個(gè)不同的芯片，兩英里的線束距離 10?個(gè)操作系統(tǒng)。

添加這些計(jì)算機(jī)系統(tǒng)的目的是為了讓我們的生活更輕松、更安全，包括GPS 跟蹤、遠(yuǎn)程信息處理數(shù)據(jù)分析、車(chē)道偏離警告系統(tǒng)?(LDWS)、碰撞檢測(cè)和預(yù)防系統(tǒng)、自適應(yīng)巡航控制，和通過(guò)內(nèi)置組件或外部添加的模塊自動(dòng)碰撞響應(yīng)和輔助功能，但是這些模塊都可以被黑客利用并造成傷害。如果制造商對(duì)重要的車(chē)輛網(wǎng)絡(luò)安全措施置若罔聞，引入這些先進(jìn)的計(jì)算機(jī)可能會(huì)增加攻擊面和潛在風(fēng)險(xiǎn)。

本文將分析一個(gè)案例研究，其中使用無(wú)線攻擊手段破壞了車(chē)輛的安全性，然后確定策略，旨在緩解漏洞。

作為 IBM 的員工，我選擇了一個(gè)真實(shí)的行業(yè)案例研究，IBM X-Force Red 團(tuán)隊(duì)參與了一項(xiàng)汽車(chē)制造商開(kāi)發(fā)的端到端滲透測(cè)試，該汽車(chē)制造商正在開(kāi)發(fā)售后連接汽車(chē)“插入式”解決方案。該插件將允許客戶(hù)將他們的汽車(chē)轉(zhuǎn)變?yōu)槁?lián)網(wǎng)汽車(chē)，為他們提供諸如GPS 跟蹤和其他遠(yuǎn)程信息處理數(shù)據(jù)跟蹤等好處。該解決方案由三部分組成，如圖所示。安裝在汽車(chē)中以提取遠(yuǎn)程信息處理的設(shè)備。一個(gè)基于云的數(shù)據(jù)收集和通信的應(yīng)用程序，以及一個(gè)允許客戶(hù)訪問(wèn)數(shù)據(jù)或與汽車(chē)通信的移動(dòng)應(yīng)用程序。

攻擊的性質(zhì)

然而，汽車(chē)制造商意識(shí)到與聯(lián)網(wǎng)汽車(chē)解決方案相關(guān)的潛在安全風(fēng)險(xiǎn)和漏洞，并聘請(qǐng) X-Force Red 團(tuán)隊(duì)對(duì)該插件的解決方案進(jìn)行了滲透測(cè)試。

為了更全面地了解，解決方案及其潛在漏洞，該團(tuán)隊(duì)首先創(chuàng)建了一個(gè)威脅模型。接下來(lái)對(duì)解決方案的每個(gè)單獨(dú)組件進(jìn)行手動(dòng)測(cè)試。這包括對(duì)車(chē)載設(shè)備進(jìn)行逆向工程。X-Force Red 團(tuán)隊(duì)采用了犯罪攻擊者，用來(lái)破壞解決方案的相同工具和方法。

漏洞利用和攻擊的結(jié)果

制造商最初擔(dān)心車(chē)載設(shè)備收集的數(shù)據(jù)可能會(huì)被犯罪攻擊者讀取并傳輸?shù)剿麄冏约旱脑贫撕蠖嘶A(chǔ)設(shè)施。該解決方案經(jīng)過(guò) X Force 團(tuán)隊(duì)測(cè)試后，證明了這種擔(dān)憂(yōu)是正確的。設(shè)備和云之間的通信很容易受到攻擊。該團(tuán)隊(duì)制定了一項(xiàng)技術(shù)，將通信重定向到其個(gè)人 GSM 接入點(diǎn)，以捕獲和篡改數(shù)據(jù)。

此外，他們?cè)谟布凸碳邪l(fā)現(xiàn)了一個(gè)更令人擔(dān)憂(yōu)的漏洞，即車(chē)載設(shè)備沒(méi)有任何操作來(lái)防止自身干擾車(chē)輛的運(yùn)行。這可能會(huì)讓攻擊者利用該漏洞在汽車(chē)行駛時(shí)激活制動(dòng)器、鎖上門(mén)窗或打開(kāi)加熱系統(tǒng)。

該團(tuán)隊(duì)能夠在解決方案的每個(gè)組件中找到漏洞，包括硬件、云服務(wù)以及移動(dòng)應(yīng)用程序。他們能夠干擾固件并利用每個(gè)未使用的可用端口。

制造商是如何解決這個(gè)問(wèn)題的？

通過(guò)滲透測(cè)試結(jié)果和發(fā)現(xiàn)被帶回到初始的威脅模型，來(lái)了解安全弱點(diǎn)和威脅級(jí)別?；诖嗽u(píng)估，該團(tuán)隊(duì)開(kāi)發(fā)了一個(gè)框架來(lái)幫助制造商減輕已識(shí)別的問(wèn)題。該方法還有助于硬件開(kāi)發(fā)，以避免一些已發(fā)現(xiàn)的問(wèn)題。

制造商實(shí)施了由X-Force Red 團(tuán)隊(duì)設(shè)計(jì)的框架，并提高其售后市場(chǎng)聯(lián)網(wǎng)汽車(chē)插件解決方案的安全性。該產(chǎn)品的范圍也僅限于它的 GPS 跟蹤功能，并排除了控制汽車(chē)本身各種組件的能力，以降低潛在風(fēng)險(xiǎn)。這一變化使制造商能夠在市場(chǎng)上提出解決方案。

進(jìn)一步的解決方案

該解決方案中的一個(gè)關(guān)鍵漏洞是車(chē)載設(shè)備與云之間的通信。在進(jìn)一步分析設(shè)備和實(shí)現(xiàn)的通信協(xié)議時(shí)，我發(fā)現(xiàn)，盡管2G或GSM是目前最流行、使用最廣泛的無(wú)線電通信協(xié)議，但由于存在一些安全設(shè)計(jì)缺陷，這些協(xié)議已經(jīng)過(guò)時(shí)且容易受到攻擊。首先，缺乏加密。當(dāng)數(shù)據(jù)通信缺乏加密時(shí)，大多數(shù)設(shè)備不會(huì)提醒用戶(hù)。為保護(hù)數(shù)據(jù)的機(jī)密性和完整性，應(yīng)在將其發(fā)送到云端之前對(duì)數(shù)據(jù)進(jìn)行加密。此外，在云端對(duì)設(shè)備進(jìn)行身份驗(yàn)證是至關(guān)重要的，反之亦然，能用來(lái)解決普遍存在的缺乏相互驗(yàn)證的問(wèn)題。

X-ForceRed 團(tuán)隊(duì)對(duì)硬件和固件的評(píng)估也讓我更深入地研究了聯(lián)網(wǎng)車(chē)輛中 OBD-II 協(xié)議和 CAN 的風(fēng)險(xiǎn)和漏洞。一個(gè)主要關(guān)注點(diǎn)是，是否可以在不實(shí)際訪問(wèn)汽車(chē)的情況下訪問(wèn)這些網(wǎng)絡(luò)。事實(shí)上，車(chē)輛已與外部網(wǎng)絡(luò)隔離。然而，隨著智能手機(jī)革命的到來(lái)和小型化程度的提高，通過(guò)將設(shè)備插入 OBD-II 端口的聯(lián)網(wǎng)汽車(chē)解決方案的數(shù)量越來(lái)越多。雖然最初由機(jī)械師用來(lái)診斷車(chē)輛的健康狀況，但一個(gè)允許車(chē)主通過(guò)手機(jī)甚至互聯(lián)網(wǎng)訪問(wèn)相同信息的市場(chǎng)正在興起。這些 OBD-II 端口提供對(duì) CAN 總線的原始訪問(wèn)，可能允許直接操縱車(chē)輛中的 CAN 通信。

有時(shí) CAN 直接從車(chē)輛通過(guò)設(shè)備傳遞到外部網(wǎng)絡(luò)。直接將數(shù)據(jù)傳遞到外部網(wǎng)絡(luò)是非常危險(xiǎn)的，它可能允許攻擊者向總線上的 ECU 提交任意 CAN 命令。這個(gè)功能應(yīng)從網(wǎng)絡(luò)架構(gòu)中分離出來(lái)，并且允許應(yīng)用程序僅從預(yù)先選擇的 OBD-II 命令列表中發(fā)送請(qǐng)求。另一個(gè)主要漏洞是固件更新。固件更新應(yīng)始終進(jìn)行加密簽名和加密，以防止攻擊者修改固件。

總結(jié)

隨著時(shí)間的推移，車(chē)輛遠(yuǎn)程信息處理必將變得越來(lái)越復(fù)雜，如所討論的聯(lián)網(wǎng)汽車(chē)插入解決方案等設(shè)備需要構(gòu)建安全性，并吸取傳統(tǒng)信息技術(shù)和移動(dòng)計(jì)算已經(jīng)學(xué)到的教訓(xùn)。當(dāng)車(chē)輛網(wǎng)絡(luò)與信息安全涉及到人們的生命與財(cái)產(chǎn)時(shí)，我們不能自滿(mǎn)在當(dāng)前的技術(shù)成果下。

審核編輯：劉清