汽車產業現在像是卡在保險桿和地面之間:在某一方面,汽車廠商積極想討論他們的連網汽車,迫不及待要讓大家知道他們的新車款是如何地對應用程式友善;但在另一方面,汽車業者警覺到了他們正在為連網汽車建立新的受攻擊面,卻對於他們如何準備因應潛在安全性威脅寧願避而不談。

前兩天車廠Land Rover在英國的公關團隊打了兩次電話給我,非常積極想推銷他們一個全新應用程式,號稱能「遠端」遙控Land Rover旗下最新Discovery車款的座位佈局;為了展示該功能有多麼酷炫,該團隊還製作了一個視訊短片(如下),邀請英國知名冒險家、同時也是Land Rover車主Bear Grylls,示範操作在高空跳傘之前透過手機App使用新款Discovery搭配的智慧座椅摺疊技術。

Land Rover公關的結論是:「該系統能讓Discovery車主透過智慧型手機上的InControl Remote應用程式,從世界上任何地方遙控配置汽車座椅──從半空中也行!」

在尷尬的片刻沉默(因為真的說不出話來)之後,我終於問:「嗯…那為什麼人們會想這麼做?」

那位公關朋友也尷尬地沉默了一會兒,然後解釋如果我能坐在家裡的客廳滑一滑智慧型手機,就可以調整汽車座椅的佈局,是如何又如何方便。

是這樣嗎?那如果來個手機App能遙控開關汽車後座上方的雷射霓虹燈球咧?我並沒有真的問出口,因為不想硬逼那位公關朋友回答一個關於「完全沒必要」的應用程式的問題;但Land Rover的應用程式新噱頭讓我陷入思考:我想知道Land Rover是否準備好討論手機應用程式(任何一種)會不會讓連網汽車變得對新安全威脅更脆弱,而這家車廠是否會願意透露他們目前的相關作法?

我們知道汽車廠商迫切想吸引消費者的注意力,他們希望自家的連網汽車看起來「很酷」、「很先進」;但他們也必須了解,沒有任何一種連網汽車能避開未來的網路威脅──光是最近安全技術專家Charlie Miller與Chris Valasek「駭」進一輛Jeep的案例,就讓車廠Chrysler在去年召回140萬輛汽車。

不久前我與一家總部位於美國矽谷的連網汽車安全技術供應商VisualThreat創辦人暨執行長嚴威(Wei Yan)透過電話交流;該公司的服務之一,是為車廠以及一線汽車零組件供應商提供「安全滲透(security penetration)測試服務」。

根據VisualThreat的解釋,要為汽車開發網路安全性解決方案,首先必須:「辨別出車輛與系統的弱點,這需要對完整車輛、系統、電子控制單元(ECU)與零組件的滲透測試;」目前該公司正與美國與中國的汽車廠商進行合作。

弱點測試

嚴威表示,VisualThreat近期做過的滲透測試結果不只讓委託汽車廠商震驚,也讓該公司本身感到震驚;而該公司想透露的訊息是,那些測試實在是「太順利」,不只是能讓整輛汽車的某個系統停擺(這也是滲透測試的初衷),還導致整輛汽車的阻斷服務。

根據他的敘述,VisualThreat首先將腳本語言(scripts)──也就是一串程式碼──從一輛新車的方向盤下OBD-II連接埠注入,以測試車內某個系統的弱點;該程式碼一開始是讓車載主機(head unit)死當、螢幕全黑,又很快突破一個閘道器,透過CAN匯流排散佈到整輛汽車,讓系統超載、緩衝記憶體塞爆,使得任務關鍵ECU (包括動力傳動、防鎖死剎車系統在內的)失控,最後讓整台車掛點。

該測試證實──不只是一個理論──剛開始可能只是車機內的輕微軟體故障,有可能如滾雪球般演變成整輛車子停擺。值得注意的是,一旦注入腳本開始透過車輛的CAN匯流排傳輸,它們幾乎不可能停下來,特別是當車輛沒有安裝防火牆、沒有機制能監測車內匯流排網路,也沒有運作中的網路安全軟體或雲端網路安全防護時。

VisualThreat解釋,汽車的CAN匯流排仍未受到保護,而它是一種被普遍的車內通訊匯流排,負責各個汽車系統的資料訊息即時傳遞,與汽車運作的各方面息息相關。

不但汽車內部的CAN匯流排未受保護,手機應用程式也存在安全性漏洞;該公司表示:「這會導致新的安全風險,從簡單的個資被盜,到嚴重的非法行為例如汽車本身或車主財務被盜、甚至惡意勒索、劫車等。」

更糟糕的是,不法人士能:「從遠端覆寫關鍵汽車系統並取得控制權,因此導致汽車事故,造成受傷甚至死亡。」

在我快完成這篇文章時,嚴威還傳來一則來自中國的即時報導,表示該公司團隊剛拜訪了一家當地汽車廠商,現場成功展示了如何把一輛他們的車子搞掛:「那家車廠現在正在為車機(telematics)的軟體除錯。」

我們不必等著看Miller與Valasek再一次示範汽車駭客攻擊,現在每一家車廠都能試試看自家的車輛有多麼脆弱!

編譯:Judith Cheng

(參考原文: Playing with Apps While CAN Bus Burns?,by Junko Yoshida)