智能网联汽车在数量上快速增长，这也是下一代个人交通工具的代表。汽车的销量预计到2022年会比2017年增长2倍，从525亿美元到1559亿美元。数量的大量增长对汽车厂商和IT安全公司带来了巨大的安全挑战。

与传统汽车相比，智能网联汽车增加了许多的新功能，包括WIFI，驾驶辅助系统和自动驾驶操作等。这些新功能使智能网联汽车在信息安全方面有很多的需求，比如避免危害驾驶员，乘客和其他人的入侵行为等。

安全风险

智能网联汽车与其他的互联设备一样，面临很多的安全威胁。下面是汽车安全领域当前和未来的威胁。

个人数据和记录

智能网联汽车会记录很多关于驾驶员的信息。这些信息可能来源于手机这样的与车互联的外部设备，个人信息包括通讯录，短信，通话记录甚至音乐品味。汽车可以记录变化模式和其他驾驶员的习惯等，这些信息可以对驾驶员进行画像。这些信息可能被保险公司在向驾驶员提供保险服务时作为参考。

目前个人数据被视作是一个新的金矿，这些信息是网络犯罪分子，公司和政府的目标。网络犯罪分子可以用窃取的信息进行经济报酬和身份窃取，公司可以将这些信息用于市场分析或保险合同的签订，政府可以用这些信息进行监控和追踪公民。

假的汽车数据

数字信息可以被修改和伪造。通过修改污染测试或性能的数据，企业可以增加销量。同样地，驾驶员可以修改里程等汽车数据来欺骗保险公司或将来的买家。

汽车偷盗和电子钥匙入侵

攻击者利用电子钥匙入侵技术可以在不闯入的情况下进入汽车。攻击者经常使用这种技术，而且成本很低。这种攻击包括拦截来自无线钥匙的信号来阻止汽车接收锁车信号或者重放该信号来获取权限。

该攻击的一种变种利用jammer干扰器来拦截信号。Jammer会干扰与车辆通信的电磁波，拦截信号，阻止汽车接收锁车信号，攻击者就可以进入汽车。其中一些jammer的应用范围超过500米。

另一个攻击是拦截要是的发送信号并重放来打开车门。汽车厂商通过应用安全算法来避免对相同信号的简单重放攻击达到预防此类攻击的目的。这样，每个从钥匙发送给汽车的信号都是唯一的，可以避免重放。有一个这种攻击的POC就是拦截了发送给车的信号并保存该信号。驾驶员首先按下钥匙但没有反应，因为攻击者保存个该信号。驾驶员第二次按下钥匙，攻击者也记录了该信号。第一个拦截的信号是用来解锁车门的，第二个是用于之后攻击者使用。

 (CAN) 后门

20世纪末期，汽车用CAN标准来进行汽车内部微控制器和其他设备部件之间的通信。车内的安全气囊，门锁，音频系统，引擎等都是通过CAN总线通信的。现在的汽车都有OBD-II端口，工程师可以通过该端口来诊断车辆存在的问题。攻击者可以通过OBD接口拦截CAN总线的流量。

外部的OBD设备可以插入汽车作为外部命令的后门，比如WIFI连接，性能统计数据，解锁车门这样的控制服务。OBD接口提供了恶意活动的一个攻击入口。

垃圾邮件和广告

向智能网联汽车中增加服务同时会增加新的安全风险。以Tesla为例，tesla允许通过浏览器访问internet，可能会通过这种方式进行基于位置的垃圾邮件推送。比如当你靠近一家快餐店时，会弹出折扣的弹窗。首先，这种行为是用户并不想要的，其次，会让驾驶员分心。而且，垃圾邮件和广告邮件是恶意软件的感染单元。

恶意软件和利用

车内含有固件的ECU都有可能被黑客攻击。汽车使用影音娱乐系统来控制不同功能的音频和视频。这些系统的复杂性在不断增加。

MirrorLink, Bluetooth,和内部Wi-Fi是改善驾驶体验的其他技术。通过将智能手机与汽车互联，就增加了利用车企打电话，发短信，播放音乐等功能。

恶意软件的目标正是这些设备，手机，浏览器和车内其他嵌入的通信网络都是可以安装恶意软件的感染单元。早在2016年，McAfee安全研究人员就证明了汽车勒索的POC，除非支付赎金负责汽车无法使用。

针对汽车的IVI勒索攻击POC

该勒索软件是通过允许外部设备连接的OTA安装的。

第三方APP

许多汽车都允许第三方与互联服务创建应用。比如，用智能手机上的APP去锁和解锁车门。虽然这些APP非常方便，但是这些服务很快及变成一个攻击单元。攻击手机APP比攻击汽车ECU要简单得多，因为有很多的可用资源。汽车内的APP也是易被攻击的，因为第三方在开发时可能并没有使用最佳安全实践，比如使用明文存储证书等。

但是这些APP可能会存储个人信息，比如GPS数据，汽车型号等。已经有攻击场景证明了通过OnStar APP，攻击者可以远程打开车门。

V2V通信

Vehicle-to-vehicle (V2V)技术是一种使用无线网络来使路上行驶的汽车可以互相通信。该技术可以增强行驶的安全性，比如当另一辆车离得很近的时候进行减速。除了车和车之间的通信外，还可以与路边的基础设施进行通信，比如路标设备等。这可以改善驾驶体验和安全性。假设该单元被恶意软件入侵了，恶意单元可以创建恶意软件来感染更多的网联汽车。回想一下近期的WannaCry和NotPetya，就可以发现这种场景并不科幻，反而可能会随时出现在我们身边。

结论

智能网联汽车会改变我们的生活，作为汽车业和其他技术产业的结合，智能网联汽车会给我们带来一些新的服务。这些新服务同时也会给我们带来一些安全威胁，文中的一些攻击场景是在现实中已经存在的，而其他的攻击场景也可能随时发生在我们身边。

原参考文献：

https://securingtomorrow.mcafee.com/mcafee-labs/defcon-connected-car-security/

https://www.wired.com/2015/08/hackers-tiny-device-unlocks-cars-opens-garages/

http://www.journalauto.com/lja/article.view/28181/securite-des-voitures-connectees-un-nouveau-defi-pour-le-secteur-automobile-en-2018/15/connectivite

https://www.pwc.fr/fr/espace-presse/communiques-de-presse/2016/septembre/vehicules-connectes-un-marche-estime-a-156-milliards.html

https://www.sans.org/reading-room/whitepapers/threats/hacking-bus-basic-manipulation-modern-automobile-through-bus-reverse-engineering-37825