2014 年是車聯(lián)網(wǎng)的發(fā)展元年。ABI 研究公司預(yù)計(jì)到 2017 年全球 60% 的新車將具備互聯(lián)網(wǎng)連接。移動(dòng)設(shè)備的數(shù)量呈指數(shù)級(jí)增長(zhǎng)，手機(jī)應(yīng)用集成智能汽車的解決方案。手機(jī)不是威脅爆發(fā)的目的地，而是一個(gè)能移動(dòng)的威脅傳輸平臺(tái)：攻擊會(huì)隨著手機(jī)的移動(dòng)性進(jìn)入到新的領(lǐng)域，由此攻擊將擴(kuò)散開去。汽車隨著汽車移動(dòng)應(yīng)用進(jìn)入車載或者車載娛樂(lè)系統(tǒng)將變成潛在的攻擊目標(biāo)。車聯(lián)網(wǎng)安全公司 VisualThreat 在 2014 年研究了國(guó)內(nèi)外 19 家 OBD 產(chǎn)品和近 60 個(gè)車聯(lián)網(wǎng)移動(dòng)應(yīng)用。報(bào)告研究表明，沒(méi)有設(shè)計(jì)自己的私有加密協(xié)議而采用開放的通用協(xié)議是 OBD 盒子最普遍的安全問(wèn)題；而代碼沒(méi)有保護(hù)措施和泄露用戶數(shù)據(jù)是汽車應(yīng)用最常見的安全問(wèn)題和潛在風(fēng)險(xiǎn)。
50% 被調(diào)研的 OBD 盒子有通信安全隱患或者甚至被利用來(lái)控制汽車
本研究報(bào)告調(diào)研的車聯(lián)網(wǎng)應(yīng)用是從國(guó)內(nèi)外各個(gè)應(yīng)用商店下載的。按照功能分為下面三類：1. 汽車法規(guī)，年檢，診斷手冊(cè)類；2. 地圖，道路狀況實(shí)時(shí)更新類；3. 汽車診斷，行駛記錄儀，車主駕駛習(xí)慣收集類。從 OBD 產(chǎn)品的通信方式角度評(píng)估風(fēng)險(xiǎn)，把此類安全隱患氛圍兩類：1. 通訊加密安全（加密強(qiáng)度、解密密鑰暴露、應(yīng)用與服務(wù)器通信、服務(wù)器安全）；2. 協(xié)議安全（通信流程偽造、是否是通信私有協(xié)議）。從隱私泄露角度評(píng)估風(fēng)險(xiǎn)，研究人員定義了 5 類隱私泄露行為：數(shù)據(jù)泄漏、短信活動(dòng)、文件操作、監(jiān)視和網(wǎng)絡(luò)活動(dòng)。在此基礎(chǔ)上，結(jié)合對(duì)手機(jī)應(yīng)用的靜態(tài)和動(dòng)態(tài)分析，為每一個(gè)移動(dòng)應(yīng)用生成一份詳細(xì)的隱私泄露風(fēng)險(xiǎn)分析報(bào)告，并計(jì)算出對(duì)應(yīng)的 Mobile ThreatCert 安全分?jǐn)?shù)值。從安全隱患角度評(píng)估風(fēng)險(xiǎn)，包括 3 個(gè)方面: 數(shù)據(jù)存儲(chǔ)安全、功能安全和代碼安全。
隱私泄露的多少不能直接代表應(yīng)用安全性的開發(fā)水平。事實(shí)上很多廠家為了能充分獲其應(yīng)用使用者的個(gè)人隱私信息和車輛信息，主動(dòng)地在應(yīng)用開發(fā)代碼中收集過(guò)多的用戶個(gè)人信息，并把這些信息提交到云服務(wù)數(shù)據(jù)庫(kù)去，建立用戶的檔案，方便以后的服務(wù)推廣和廣告精準(zhǔn)投放。其中地理位置是最常見的收集信息，高達(dá) 90% 的車聯(lián)網(wǎng) OBD 應(yīng)用都會(huì)收集用戶的地理位置用于實(shí)時(shí)路況，GPS 定位和開車行程等。手機(jī)信息（IMSI/IMEI）短信和通訊錄信息也屬于高頻率信息收集范疇。下面這張圖是“隱私泄露分?jǐn)?shù)”分布圖。高達(dá) 70% 的車聯(lián)網(wǎng)應(yīng)用有中度到高度用戶隱私泄露安全隱患。每 10 個(gè)安卓汽車應(yīng)用中有 7 個(gè)具有中度到高度隱私泄露風(fēng)險(xiǎn)
每 10 個(gè)安卓汽車應(yīng)用中有 7 個(gè)具有中度到高度隱私泄露風(fēng)險(xiǎn)
調(diào)研的應(yīng)用中，URI 和組件暴露占到了最大的比例分別為 77.2% 和 69.8% 。代碼保護(hù)方面，代碼混淆的技術(shù)也沒(méi)有普遍用到。我們對(duì)兩家國(guó)外的 OBD 產(chǎn)品進(jìn)行了安全測(cè)試，結(jié)果一樣不容樂(lè)觀。在其中一家的代碼程序里很容易地找到發(fā)送指令的函數(shù)，而且的私有協(xié)議過(guò)于簡(jiǎn)單，只要用手機(jī)通過(guò)藍(lán)牙對(duì)設(shè)備發(fā)送相應(yīng)的指令，就能達(dá)到控制車的目的。另一家更糟糕，基本上沒(méi)有防逆向措施，有代碼混淆但是混淆強(qiáng)度很弱，無(wú)加固，導(dǎo)致代碼邏輯泄露。對(duì)重新打包無(wú)感知。容易被篡改程序流程或者植入惡意 java 代碼。
60% 的安卓汽車應(yīng)用有多于 3 個(gè)的安全漏洞隱患
2014 年 9 月份美國(guó)拉斯維加斯剛剛結(jié)束的 CTIA 移動(dòng)大會(huì)指出：到 2017 年， 有 60% 的新車（即 1000 萬(wàn)輛）會(huì)裝載移動(dòng)電信模塊，72% 的受訪用戶表示會(huì)推遲一年購(gòu)車專門等待智能汽車的出現(xiàn)。智能汽車全球市場(chǎng)將達(dá)千億美元，只是美國(guó)市場(chǎng)就占了 340 億美元。鑒于之前安卓應(yīng)用每年增加 7-8 倍的規(guī)律，2015 年的汽車應(yīng)用的數(shù)目應(yīng)該會(huì)超出 100 萬(wàn)。不幸的是，由于缺少細(xì)粒度和定制化的安全審計(jì)流程，當(dāng)前的所有智能汽車應(yīng)用平臺(tái)都沒(méi)有必要的安全性審計(jì)測(cè)試，結(jié)果導(dǎo)致許多汽車移動(dòng)應(yīng)用可能會(huì)不知不覺(jué)地將獲取駕駛者的重要數(shù)據(jù)，或者對(duì)智能汽車進(jìn)行惡意操控，將駕駛者置于風(fēng)險(xiǎn)之中。
因此，市場(chǎng)迫切需要一個(gè)把 OBD 端口、車載系統(tǒng)、汽車應(yīng)用商店安全審計(jì)、車聯(lián)網(wǎng)產(chǎn)品安全滲透測(cè)試整合到一起的全面的安全解決方案，并能滿足不同車主不同的安全防要求。同時(shí)，相關(guān)車聯(lián)網(wǎng)產(chǎn)品廠商需要對(duì)自己的軟硬件產(chǎn)品做深度安全測(cè)試，確保不被黑客利用把攻擊帶入到車?yán)铩?/p>
京公網(wǎng)安備 11010502049343號(hào)