4月25日，工信部、發(fā)改委、科技部聯(lián)合印發(fā)《汽車產(chǎn)業(yè)中長期發(fā)展規(guī)劃》的通知，旨在落實建設制造強國的戰(zhàn)略部署，推動汽車強國建設。根據(jù)規(guī)劃，到2020年，智能網(wǎng)聯(lián)汽車與國際同步發(fā)展，同時要求，汽車產(chǎn)業(yè)關鍵技術取得突破，全產(chǎn)業(yè)鏈實現(xiàn)安全可控，汽車信息安全成為最受關注的領域。

　　近日，國內首支專注于汽車信息安全研究領域的頂級安全團隊360智能網(wǎng)聯(lián)汽車信息安全實驗室（360天行者團隊）發(fā)布《2016年智能網(wǎng)聯(lián)汽車信息安全報告》，（以下簡稱《報告》），報告重點對智能網(wǎng)聯(lián)汽車技術發(fā)展、汽車信息安全以及2016年汽車安全事件破解案例進行分析，提出智能網(wǎng)聯(lián)汽車面臨的七種安全威脅以及主要攻擊方法和必要防范措施。

　　《報告》指出，智能網(wǎng)聯(lián)汽車遭受的信息安全威脅主要包括TSP安全威脅、APP安全威脅、T-Box安全威脅、IVI安全威脅、Can-bus總線安全威脅、ECU安全威脅、車內通信安全威脅等七種。《報告》對每種威脅可能引起的黑客攻擊路徑、攻擊方法、造成的安全風險等進行了前沿的技術分析和風險提示。

　　TSP安全威脅

　　TSP是指汽車遠程服務提供商。TSP作為車聯(lián)網(wǎng)產(chǎn)業(yè)鏈最核心的環(huán)節(jié)之一，為汽車和手機提供內容和流量轉發(fā)的服務。TSP 平臺漏洞可能來自軟件系統(tǒng)設計時的缺陷或編碼時產(chǎn)生的錯誤，也可能來自業(yè)務在交互處理過程中的設計缺陷或邏輯流程上的不合理之處。這些都可能被有意或無意地利用，對整個車聯(lián)網(wǎng)的運行造成不利影響。例如系統(tǒng)被攻擊或控制、重要資料被竊取、用戶數(shù)據(jù)被篡改、甚至冒充合法用戶對車輛進行控制等。

　　APP安全威脅

　　APP安全威脅是指黑客通過root用戶的手機端或者誘導用戶下載安裝惡意程序，利用這些遠程控制APP竊取用戶個人信息及車輛的控制權，從而控制車輛開鎖落鎖。早在2015年，安全人員Samy Kamkar就向公眾演示了通過在車內安置一個小硬件來入侵車輛的遠程控制APP的手法，實現(xiàn)車主信息竊取及車輛控制權竊取。

　　實際上，通用安吉星、克萊斯勒UConnect、奔馳MBrace和寶馬Remote均遭受過APP安全威脅。隨著車主通過手機遠程控制功能更加豐富，網(wǎng)聯(lián)汽車APP安全威脅的風險也有所提高。

　　T-Box系統(tǒng)安全威脅

　　T-Box系統(tǒng)的作用主要為遠程控制、查詢和安防服務。2016年，研究人員通過更加全面的技術對車聯(lián)網(wǎng)核心控制系統(tǒng)T-Box進行了安全分析并成功破解，實現(xiàn)了對車輛的本地控制及其它車輛遠程操作控制。

　　IVI安全威脅

　　IVI 是采用車載專用中央處理器，基于車身總線系統(tǒng)和互聯(lián)網(wǎng)服務，形成的車載綜合信息娛樂系統(tǒng)。對IVI的攻擊也可分為軟件攻擊和硬件攻擊。軟件攻擊方面可以通過軟件升級方式獲得訪問權限，進入目標系統(tǒng)。

　　Can-bus總線安全威脅

　　汽車電子元器件是通過CAN網(wǎng)絡連接的,電子元器件之間通過CAN包進行通信。Can-bus總線安全威脅通過逆向工程、模糊測試等方法獲得其通信矩陣并破解汽車的應用層總線協(xié)議，在不增加汽車執(zhí)行器的情況下實現(xiàn)對汽車的自動控制功能。也就是說，只要抓住了CAN總線，我們就相當于是抓住了汽車的神經(jīng)，就能對汽車進行控制。

　　ECU安全威脅

　　ECU電子控制單元，是汽車專用微機控制器，其作用是是根據(jù)其內存的程序和數(shù)據(jù)對空氣流量計及各種傳感器輸入的信息進行運算、處理、判斷，然后輸出指令。

　　對ECU展開的攻擊可分為前門攻擊、后門攻擊、漏洞利用三種。前門攻擊是劫持原始設備制造商（OEM）的訪問機制，對原廠編程方法進行逆向工程的攻擊方式；后門攻擊則使用更為傳統(tǒng)的硬件黑客手段；漏洞利用則檢測并發(fā)現(xiàn)非預期訪問機制，基于bug或問題執(zhí)行駕駛人員非預期的功能。

　　車間通信安全威脅

　　車聯(lián)網(wǎng)是以車內網(wǎng)、車際網(wǎng)和車載移動互聯(lián)網(wǎng)為基礎，按照約定的通信協(xié)議和數(shù)據(jù)交互標準，在V-X（V：vehicle，X：車、路、行人及互聯(lián)網(wǎng)等）之間進行無線通訊和信息交換的系統(tǒng)網(wǎng)絡。

　　車間通信安全威脅主要是無線通信領域的信號竊取、信號干擾等固有安全問題。黑客通過在鏈路層上設置接收器竊取車輛信息并跟蹤目標車輛。此外，惡意行為人對車間通信的安全性影響也是車間通信安全的威脅之一。

　　“以前，汽車是孤立的，物理隔離的，因此黑客很難遠程入侵汽車內部控制器，隨著互聯(lián)網(wǎng)的進化，汽車受到的遠程網(wǎng)絡攻擊就不再是猜想。”劉健皓指出，2016年，智能汽車遭“入侵”事件增多，黑客不僅能造成車內財物丟失或者車輛被盜，并且可能危及到司機和乘客的生命安全，廠商在設計之初就應該全盤考慮安全問題，將安全放在首位。

　　記者了解到，360智能網(wǎng)聯(lián)汽車信息安全實驗室是由全球最大的互聯(lián)網(wǎng)安全公司360組建，與浙江大學、特斯拉、長安汽車等研究機構、汽車生產(chǎn)企業(yè)和汽車信息安全相關廠商合作，在智能汽車安全研究方面擁有多項成果，360智能網(wǎng)聯(lián)汽車信息安全實驗室從2014年開始對國內十多家車聯(lián)網(wǎng)廠商進行安全評估。

　　報告全文鏈接：http://zt.360.cn/1101061855.php?dtid=1101062370&did=490400056