為何要做智能車(chē)聯(lián)App安全測(cè)試

有一個(gè)問(wèn)題一直困擾著我們:在汽車(chē)智能網(wǎng)聯(lián)“大流行”的時(shí)代，我們獲得了便利，背后有哪些風(fēng)險(xiǎn)？我們的汽車(chē)面臨著哪些信息安全風(fēng)險(xiǎn)，車(chē)主的什么樣的權(quán)益可能會(huì)受到危害。為此，我們與JIVIC汽車(chē)信息安全實(shí)驗(yàn)室合作，希望通過(guò)科學(xué)嚴(yán)謹(jǐn)?shù)臏y(cè)試來(lái)探索這些問(wèn)題。經(jīng)過(guò)前期對(duì)車(chē)聯(lián)網(wǎng)App的大量測(cè)試，我們發(fā)現(xiàn)信息安全是一個(gè)大家都在努力的問(wèn)題，但還需要繼續(xù)多加關(guān)注。

為什么要做汽車(chē)信息安全測(cè)試？

我們和很多從事汽車(chē)信息安全技術(shù)的企業(yè)和從業(yè)者交流過(guò)，得到了這樣一個(gè)令人震驚的結(jié)論:所有聯(lián)網(wǎng)設(shè)備都無(wú)法破解，當(dāng)然也包括汽車(chē)。但是，這并不意味著車(chē)企在信息安全上投入的精力和費(fèi)用全部白費(fèi)。相反，它們非常有價(jià)值。

《速度與激情8》中有一個(gè)經(jīng)典片段，反派黑客入侵了紐約曼哈頓街道一整個(gè)區(qū)域的1000多輛汽車(chē)，并控制它們攔截部長(zhǎng)的車(chē)隊(duì)。

當(dāng)然，現(xiàn)實(shí)生活中沒(méi)有科幻小說(shuō)，但汽車(chē)被“黑客團(tuán)隊(duì)”破解卻是常事。從2021年到2021年，黑客入侵汽車(chē)的事件不斷發(fā)生。據(jù)上游最新報(bào)告統(tǒng)計(jì)，公開(kāi)報(bào)道的針對(duì)智能聯(lián)網(wǎng)汽車(chē)的網(wǎng)絡(luò)安全攻擊事件從2021年的80起激增至2021年的155起，攻擊類型也呈現(xiàn)多元化發(fā)展趨勢(shì)。其中比較知名的涉及Jeep、豐田、特斯拉品牌，這三起事件恰好對(duì)應(yīng)了入侵汽車(chē)的三種主要方式。

他們可以在不接觸汽車(chē)的情況下入侵和控制汽車(chē)的多媒體系統(tǒng)、動(dòng)力系統(tǒng)和制動(dòng)系統(tǒng)。危機(jī)導(dǎo)致克萊斯勒召回140萬(wàn)輛汽車(chē)。

更多精彩視頻，均在車(chē)載家庭視頻頻道。

2021年3月，騰訊Cohen Lab指出雷克薩斯和豐田車(chē)型存在安全漏洞，黑客可以利用識(shí)別出的藍(lán)牙安全漏洞運(yùn)行部分汽車(chē)功能。

越來(lái)越多的攻擊表明，黑客對(duì)于不同攻擊面的研究能力越來(lái)越深，黑客使用自制破解工具進(jìn)行攻擊的情況屢見(jiàn)不鮮。黑客的破解工具和破解教程甚至可以在黑暗網(wǎng)絡(luò)論壇買(mǎi)到。

我們要測(cè)試什么？

信息漏洞的風(fēng)險(xiǎn)極高。一旦被利用，車(chē)輛上常見(jiàn)的問(wèn)題包括數(shù)據(jù)隱私泄露、軟件系統(tǒng)篡改、系統(tǒng)故障失控、車(chē)輛被盜甚至遠(yuǎn)程控制等。

測(cè)試內(nèi)容涵蓋廣播、證書(shū)、存儲(chǔ)文件、信息、描述文件、網(wǎng)頁(yè)和病毒等。在測(cè)試結(jié)果中，我們會(huì)逐一說(shuō)明這些方面的漏洞和警示可能給車(chē)主帶來(lái)的影響和風(fēng)險(xiǎn)。

之所以測(cè)試安卓系統(tǒng)環(huán)境，是因?yàn)樘O(píng)果iOS系統(tǒng)的App Store有自己的檢查流程，安全性已經(jīng)過(guò)一定程度的檢查。因?yàn)檐浖问降膯?wèn)題，測(cè)試iOS版本應(yīng)用需要廠家發(fā)，所以第一批15個(gè)應(yīng)用是在安卓環(huán)境下使用APK軟件包測(cè)試的。

后續(xù)與JIVIC汽車(chē)信息安全實(shí)驗(yàn)室還將在汽車(chē)網(wǎng)絡(luò)架構(gòu)安全、設(shè)備安全、ECU安全、無(wú)線連接安全等領(lǐng)域進(jìn)行深度合作。

測(cè)試結(jié)果和分析

測(cè)試結(jié)果顯示

參與本次測(cè)試的七款手機(jī)應(yīng)用和版本分別是本田DVR Link V1.2.6、特斯拉V3.10.0-382、奔馳藍(lán)牙鑰匙V1.3、本田Hondash V1.4.0、雪佛蘭MyChevy V6.0.0、現(xiàn)代BlueLink V2.46和福特V3.6.0，基于安卓環(huán)境和以上版本號(hào)分析APK文件。

●廣播測(cè)試

●證書(shū)測(cè)試

這是一件可怕的事情，所以證書(shū)的安全性和唯一性非常重要。一般好的云會(huì)定期更新包含密鑰和公鑰的CA。更新過(guò)程需要嚴(yán)格的認(rèn)證體系，主要依賴于用戶的專用設(shè)備、用戶ID和密鑰，也給文件安全帶來(lái)了很高的加密要求。

其實(shí)這是一種高級(jí)的方法，但風(fēng)險(xiǎn)是在使用前提示用戶完成初始化證書(shū)配對(duì)認(rèn)證。如果沒(méi)有這樣的過(guò)程，就意味著沒(méi)有預(yù)制的認(rèn)證，后續(xù)的認(rèn)證過(guò)程可能會(huì)有被復(fù)制的風(fēng)險(xiǎn)。

●本地和信息文件測(cè)試

最危險(xiǎn)的是鑰匙被發(fā)現(xiàn)并被替換。在文件和信息的疑似API關(guān)鍵測(cè)試中，福特和雪佛蘭MyChevy的警告號(hào)分別為177和107，這部分的風(fēng)險(xiǎn)需要單獨(dú)說(shuō)明。

一個(gè)好的加密功能會(huì)使用動(dòng)態(tài)密碼來(lái)保護(hù)密鑰信息，也就是使用動(dòng)態(tài)白盒。白盒工具本身價(jià)格不低，只對(duì)C語(yǔ)言有效，有一定的成本和技術(shù)門(mén)檻。是否使用類似技術(shù)也在一定程度上區(qū)分了軟件對(duì)密鑰等文件的保護(hù)能力。當(dāng)然，安全性要求更高的軟件，比如我們常見(jiàn)的支付寶、微信支付，也會(huì)和手機(jī)公司簽約預(yù)制TEE，與手機(jī)中的安全芯片配對(duì)綁定。這是一種更安全的方式，但在車(chē)聯(lián)網(wǎng)控制App領(lǐng)域，還沒(méi)有人這樣做。

●一般測(cè)試

●網(wǎng)頁(yè)和其他測(cè)試

摘要

第一批測(cè)試的應(yīng)用有15款，其中7款來(lái)自6個(gè)海外汽車(chē)品牌，另外8款全部來(lái)自中國(guó)汽車(chē)品牌移動(dòng)車(chē)協(xié)App。在測(cè)試的應(yīng)用中，海外品牌的漏洞和警告數(shù)量普遍較少。如果將本文七款應(yīng)用中漏洞和警告數(shù)量最多的福特學(xué)校放在第一批測(cè)試應(yīng)用中，其漏洞和警告數(shù)量只會(huì)排在第五位。海外品牌的整體安全性能優(yōu)于中國(guó)品牌。當(dāng)然，鑒于功能豐富度的差異，也涉及到“多犯錯(cuò)誤”的問(wèn)題。

測(cè)試中的問(wèn)題主要集中在本地和信息文件測(cè)試中。這些漏洞可能導(dǎo)致包括賬戶密碼在內(nèi)的信息泄露，從而導(dǎo)致車(chē)輛被盜等風(fēng)險(xiǎn)。但由于駕駛機(jī)構(gòu)的管控權(quán)限很少向手機(jī)App開(kāi)放，基本不存在嚴(yán)重影響行車(chē)安全的風(fēng)險(xiǎn)。

就像開(kāi)頭說(shuō)的，沒(méi)有解決不了的系統(tǒng)，即使是性能最好的本田本田本田，總會(huì)出現(xiàn)問(wèn)題，我們要理性對(duì)待。無(wú)論結(jié)果好壞，我們都希望廠商能夠重視App的信息安全，推動(dòng)廠商提升用戶的信息保護(hù)能力，減少和規(guī)避用戶在使用便利功能時(shí)所面臨的風(fēng)險(xiǎn)。

感謝你看到結(jié)局。下期我們將公布其余8款中國(guó)品牌應(yīng)用的信息安全測(cè)試結(jié)果。歡迎大家關(guān)注智能車(chē)聯(lián)App的安全測(cè)試。在，一直有一句話，汽車(chē)安全無(wú)小事。和你一起鼓勵(lì)。