近日美國政府的汽車安全法規主管機關針對汽車廠商公佈了一套「網路安全指導原則(cybersecurity guideline)」(參考連結),美國運輸部長Anthony Foxx表示,網路安全是該部門列為首要優先性的安全議題。

顯然美國政府部門期望能在聯網汽車面臨網路安全威脅之前,預先防範針對車輛的潛在攻擊;主管機關擔憂網路安全問題可能對未來高度自動化車輛帶來不可挽回的破壞,但是不必太在意這種顧慮,事實證明,汽車產業的一些專家們並不認為駭客對攻擊汽車有興趣。

以上的觀點在一份由獨立安全技術研究組織Ponemon Institute進行的調查結果中顯而易見;該機構表示,調查的目標是收集產業界在安全實踐狀態上的資訊;該調查回收了500位受訪者的問卷,所有受訪者都有直接參與汽車軟體開發,其中有44%的受訪者來自車廠,其餘則是任職於汽車零組件供應商。

Ponemon調查的贊助商之一,Security Innovation產品管理與行銷總監Gene Carter表示,有鑑於在過去12個月以來數起引起大眾注意的汽車網路安全事故,人們可能會預期汽車產業對於網路安全的態度將有革命性的轉變;但調查結果卻發現,汽車廠商與零組件供應商並沒有將網路安全列為車輛開發的優先考量:「汽車產業在完全準備好應對網路安全之前,還有很長一段路要走。」

根據來自500位受訪者的回饋,只有52%的人認為駭客會主動將汽車列為攻擊目標,該數字比前一年的調查結果44%略增──難道Jeep車款被駭客成功入侵、導致車廠克萊斯勒(Chrysler)在2015年召回140萬輛汽車,並沒有在該產業敲響警鐘?看來並沒有。

20161028 autosecurity NT03P1

認為駭客會把汽車列為攻擊目標的受訪者比例
(來源:Ponemon Institute)

而雖然有半數的產業受訪者認為駭客會將汽車列為攻擊目標,卻只有54%受訪者表示他們的公司有將安全性列為優先考量。此外,只有不到一半(42%)的受訪者表示,他們的公司在設計、實作與測試等產品開發程序中納入了嚴苛的安全性需求。

Carter表示,就算是某些產業已經開始接受了汽車駭客會真正成為威脅的現實:「汽車廠商與零組件供應商的行為在因應此一日益顯著的疑慮方面,並沒有什麼改變。」

誰該負起責任?

Ponemon的調查也詢問受訪者,最終誰該在汽車開發過程中負責確保安全性?對此Carter解釋:「我們問這個問題是因為答案能顯示汽車廠商在推動網路安全的優先地位。」

而調查結果顯示,受訪者認為在汽車開發過程中最該負責確保安全性的角色依次為:資訊長(CIO,22%)、資訊安全長(Chief information Security Officer,17%)、品保部門(Quality Assurance,18%)、開發工程師(12%)與合作夥伴(11%)。

然而只有五分之一(19%)的受訪者認為,沒有人應該在汽車開發過程中承擔所有的確保安全性之責任:「這是一個警訊,意味著沒有人負責。」

20161028 autosecurity NT03P2

誰該為確保安全性負責
(來源:Ponemon Institute)

該調查結果也顯示,只有15%的受訪者覺得安全性已經完全整合到汽車產品開發過程中;約一半(47%)的受訪者則認為,安全性是在開發過程的最後才被加入的。不只是安全性並未整合在產品內部,調查還發現有超過一半(55%)的公司並沒有將安全性架構納入供應鏈以及合作夥伴網路。

Carter的觀察是:「將安全性視為附加物,明確顯示安全性並非眾多廠商的優先考量;」他表示,要達到最佳效果,網路安全必須在車輛或汽車零件開發的最早階段就被列為必備項目。

連網汽車安全面臨之挑戰

在被問到保障車用軟體安全面臨的主要挑戰有哪些時,受訪依據嚴重程度所列出的包括:缺乏技術人員(65%)、推行壓力(65%)、資源不足(58%)、缺乏明確的企業應用程式安全策略(43%)、缺乏正式的安全需求(34%)、時間限制(18%),以及支出(11%)。以上結果與2015年度的結果類似,只有因為推行壓力一項,由去年度的54%大幅增加。

20161028 autosecurity NT03P3

確保車用軟體安全性面臨的挑戰
(來源:Ponemon Institute)

平心而論,在實踐汽車網路安全性方面,汽車產業因為舊有技術佔據主導地位而面臨幾乎無法克服的挑戰;Carter表示,舉例來說,目前的CAN匯流排與OBD-II功能阻礙了讓汽車朝更有保障的方向發展,而在汽車內隨處可見的CAN匯流排,其實並不是一個實現網路安全的好平台,要改變需要不少投資,但也許汽車廠商認為這風險太大。

顯然產業界對於汽車駭客的憂慮有所提升,但反應還是超嫌薄弱;令人好奇的是,調查結果顯示汽車廠商對汽車的安全性弱點之意識提升了近10%,但汽車零組件供應商的反應更慢。

Carter猜測這是因為:「零組件供應商的營運利潤真的非常低,安全意味著成本,除非汽車廠商要求他們添加安全性,而且他們也願意為此掏錢投資;然而要改變汽車零組件供應商的心態可能會很困難。」

用那些工具實現安全?

Ponemon的調查還發現,汽車產業已經開始利用各種安全性工具:有超過一半(53%)受訪者表示他們已經在使用安全啟動(secure boot)功能,有44%受訪者表示有使用加密通訊,42%使用加密資料儲存,還有39%採用了端點認證(endpoint authentication)。

而調查的結論是,雖然趨勢有鼓勵的作用,採用了那些安全工具與技術的廠商比例仍然偏低,只有24%的受訪者表示公司採用威脅模型分析(Threat Modeling)等高階風險評估工具,而這是經證明的、能在產品開發過程發現安全漏洞的方法,這是最有效(節省)的固定工具。」

20161028 autosecurity NT03P4

汽車廠商使用的系統安全性功能
(來源:Ponemon Institute)

美國國家公路交通安全管理局(NHTSA)公佈的五大汽車網路安全目標綱要包括:

  • 推廣並分享汽車網路安全知識;
  • 設定以產業為基礎的最佳實踐以及自願性標準;
  • 開發能抵禦汽車駭客入侵的軟體;
  • 確定最低性能標準的可行性;
  • 收集研究資料,讓所有產業界以及NHTSA能用以開發策略與法令。

那些不一定是NHTSA施加於汽車廠商的最嚴苛網路網路安全目標,其實還相對較寬鬆、開放且流暢;NHTSA局長Mark Rosekind表示,在技術與網路安全持續變動的環境中,只有單一解決方案是不夠的,所有相關業者應該繼續行動、適應並跑在惡意者的前面。

有美國國會議員批評NHTSA的指導原則是對汽車產業太友善,因為如果現今的汽車是有輪子的電腦,就需要強制性的標準而非自願性的指引,才能確保汽車不被駭客入侵、不讓民眾的生命安全與隱私暴露在危險中。

編譯:Judith Cheng

(參考原文: Do Automakers Still See Hackers as a Hoax?,by Junko Yoshida)