正在閱讀:

保護(hù)數(shù)據(jù)安全,不能只靠“嘴硬”

掃一掃下載界面新聞APP

保護(hù)數(shù)據(jù)安全,不能只靠“嘴硬”

數(shù)據(jù)安全領(lǐng)域沒有絕對(duì)的安全,但消費(fèi)者交出去的隱私數(shù)據(jù)和關(guān)乎車輛控制的數(shù)據(jù),應(yīng)當(dāng)被放在更高的高度。

文|數(shù)智界  辛斯基

編輯|賈樂樂

12月11日,蔚來收到一封勒索郵件。

勒索者張口就要225萬美元等值比特幣(約合人民幣1560萬元),籌碼是其掌握了蔚來2021年8月之前的部分用戶基本信息和車輛銷售信息。

20日,蔚來對(duì)外聲明:“公司對(duì)此予以嚴(yán)厲譴責(zé),也堅(jiān)決不會(huì)向網(wǎng)絡(luò)犯罪行為低頭”“對(duì)于此次事件對(duì)用戶造成的影響深表歉意,并鄭重承諾,對(duì)因本次事件給用戶造成的損失承擔(dān)責(zé)任?!?/p>

面對(duì)有組織的數(shù)據(jù)勒索,蔚來的表態(tài)顯得異常強(qiáng)硬。

12月25日,蔚來董事長(zhǎng)李斌表示,2023年,銷量目標(biāo)是超過雷克薩斯燃油車銷量。據(jù)此推算,目標(biāo)將設(shè)定在20萬輛以上。

數(shù)據(jù)泄露會(huì)對(duì)潛在車主有什么影響?為什么車企頻繁因?yàn)閿?shù)據(jù)被勒索?在數(shù)字化、網(wǎng)聯(lián)化時(shí)代,車企如何保障車主的信息安全乃至駕乘安全?本文將回答這些問題。

一、為什么車企勒索事件頻發(fā)?

車企被勒索,蔚來不是第一個(gè),也不會(huì)是最后一個(gè)。

2016年,Uber被黑客竊取了5700萬名乘客和司機(jī)的個(gè)人數(shù)據(jù);

2018年網(wǎng)絡(luò)安全公司UpGuard的研究員發(fā)現(xiàn)包括特斯拉、豐田、大眾在內(nèi)的上百家車企機(jī)密文件可以被輕松訪問;

現(xiàn)代、起亞、沃爾沃、通用、大眾、英偉達(dá)等汽車和供應(yīng)商企業(yè),近年來先后被曝遭遇黑客攻擊的事件;

2021年,特斯拉陷入“隱私門”事件,一名黑客發(fā)現(xiàn)特斯拉車內(nèi)攝像頭能清晰記錄駕乘人員的動(dòng)作、姿態(tài)甚至微表情······

為什么數(shù)據(jù)泄密、被勒索常常發(fā)生在車企身上?

第一,車企的數(shù)據(jù)多且極為重要。

在汽車的智能化、網(wǎng)聯(lián)化過程中,海量數(shù)據(jù)被上傳到云端,云上服務(wù)器變成了網(wǎng)絡(luò)攻擊的最新目標(biāo)。

而對(duì)于車企來說,這些數(shù)據(jù)涉及到消費(fèi)者隱私乃至行駛安全,為了品牌形象、維系客戶關(guān)系,用數(shù)據(jù)勒索幾乎等同于拿捏住了車企的七寸。

環(huán)球時(shí)報(bào)、君迪聯(lián)合調(diào)查數(shù)據(jù)顯示,受訪者中88.4%擔(dān)心個(gè)人信息轉(zhuǎn)賣給第三方;77.3%擔(dān)心個(gè)人私密信息被偷拍后非法傳播或被敲詐,62.9%擔(dān)心賬號(hào)被盜導(dǎo)致私人財(cái)產(chǎn)受損,51.8%擔(dān)心車輛被攻擊后失去控制權(quán)。近9成受訪者表示會(huì)傾向性選擇注重?cái)?shù)據(jù)安全和保護(hù)個(gè)人敏感信息的汽車品牌。

因此,在過往發(fā)生的數(shù)據(jù)勒索中,車企鮮少像蔚來這么剛,更多的是選擇交贖金息事寧人。

上面案例中的Uber,事件發(fā)生后,時(shí)任首席安全官的喬·沙利文和副手選擇支付10萬美元的贖金,但最終,喬·沙利文被開除了。

第二,相較于暗網(wǎng)出售,勒索的收益高得多,黑客擔(dān)著高風(fēng)險(xiǎn),就是為了高收益。

根據(jù)公開信息,這一次,蔚來泄露信息包括總裁在內(nèi)的蔚來內(nèi)部員工數(shù)據(jù)2.28萬條;485萬條注冊(cè)用戶數(shù)據(jù);近40萬條車主用戶身份證數(shù)據(jù);65萬條用戶地址數(shù)據(jù)。

其他還包括企業(yè)及企業(yè)代表聯(lián)系人數(shù)據(jù);訂單、退單數(shù)據(jù);車主親密關(guān)系數(shù)據(jù);貸款數(shù)據(jù)等,并以此相要挾,向蔚來勒索225萬美元等額比特幣。

如果勒索不成功,勒索者通常會(huì)選擇在暗網(wǎng)出售其所持?jǐn)?shù)據(jù)。

據(jù)悉在今年6月,奧迪汽車179萬條銷售數(shù)據(jù),在暗網(wǎng)標(biāo)價(jià)200美元;8月,德國(guó)汽車零部件巨頭大陸集團(tuán)被曝遭遇網(wǎng)絡(luò)攻擊,在拒絕支付贖金后,黑客威脅稱要將包括大陸集團(tuán)預(yù)算、投資和戰(zhàn)略規(guī)劃,以及客戶相關(guān)信息在暗網(wǎng)出售;同樣是8月,長(zhǎng)安汽車200萬條用戶數(shù)據(jù)在Breached Forums上標(biāo)價(jià)2萬美元。

當(dāng)然,能勒索企業(yè)的人,基本就告別武德了,拿了贖金轉(zhuǎn)身又賣到暗網(wǎng),一魚兩吃,這種事情也不是不會(huì)發(fā)生。

一面是高額的勒索金,另一面是信任問題,蔚來“公司賠破產(chǎn)也不會(huì)妥協(xié)”的態(tài)度也就可以理解了。

關(guān)于會(huì)不會(huì)賠到破產(chǎn),參考如今更名“Meta”的臉書,其曾在一起隱私訴訟中,以7.25億美元的代價(jià)和解,蔚來對(duì)信息泄露員工、用戶的賠償金額不一定如此巨大,但李斌已經(jīng)做好最壞的打算。

不過,相較于蔚來會(huì)不會(huì)賠破產(chǎn),用戶更在乎的是智能車如何給用戶安全感。

二、越先進(jìn)越脆弱

蔚來此次數(shù)據(jù)泄露更多關(guān)乎個(gè)人隱私。對(duì)消費(fèi)者而言,汽車空間兼顧生活空間屬性,因此和手機(jī)隱私泄露相比,消費(fèi)者對(duì)車內(nèi)個(gè)人隱私泄露更敏感。

上文提及的調(diào)查還顯示,受訪者中,77.4%非常介意或比較介意個(gè)人敏感信息被智能網(wǎng)聯(lián)汽車收集、使用和共享。

41%的受訪者,對(duì)現(xiàn)階段智能汽車廣商,可以妥善保護(hù)個(gè)人敏感信息完全沒信心或信心不太足;比較有信心或者極其有信心的受訪者僅有30.4%。

料想在這次數(shù)據(jù)勒索事件后,有信心的消費(fèi)者比例還將進(jìn)一步下降。

盡管蔚來首席信息安全科學(xué)家盧龍強(qiáng)調(diào)“不影響車輛的駕乘或遠(yuǎn)程控制”。但消費(fèi)者最擔(dān)心的就是“常在河邊走,哪有不濕鞋”。

消費(fèi)者的擔(dān)憂并非是杞人憂天。

在車輛數(shù)字化率遠(yuǎn)低于今天的2015年7月,一輛正在行駛的JEEP自由光SUV,被兩名美國(guó)白帽黑客入侵CAN總線,控制車輛發(fā)動(dòng)機(jī)、變速箱、制動(dòng)、轉(zhuǎn)向等系統(tǒng),并直接將車輛開翻到馬路邊的斜坡下。

2019年8月,360旗下的Sky-Go汽車威脅研究團(tuán)隊(duì),發(fā)現(xiàn)定位高端市場(chǎng)的奔馳E級(jí)轎車存在19個(gè)安全漏洞,而遠(yuǎn)程信息控制單元(TCU)的6個(gè)漏洞,直接導(dǎo)致黑客可以通過操作MCU訪問車輛CAN總線,從而控制車門開關(guān)甚至啟動(dòng)發(fā)動(dòng)機(jī)。

一個(gè)共識(shí)是,現(xiàn)在是軟件定義汽車的時(shí)代。軟件直接影響用戶體驗(yàn),重要性也將不斷上升。

相應(yīng)地,隨著車載操作系統(tǒng)、自動(dòng)駕駛系統(tǒng)以及車聯(lián)網(wǎng)平臺(tái)等技術(shù)及產(chǎn)品的引入,智能汽車內(nèi)部的軟件將會(huì)越來越多,越來越復(fù)雜,涉及到的代碼將越來越多。

中國(guó)軟件行業(yè)協(xié)會(huì)智能網(wǎng)聯(lián)汽車行業(yè)分會(huì)秘書長(zhǎng)張健曾預(yù)測(cè),一輛2025年生產(chǎn)的智能汽車代碼量預(yù)計(jì)將達(dá)到7億行,相較于2022年將增加2.3倍。

有數(shù)據(jù)顯示,代碼的級(jí)別要達(dá)到“很好”和“優(yōu)異”級(jí)別,每百萬代碼的缺陷或者漏洞數(shù)量要控制在“600—1000”和“600以下”。如果一輛智能汽車擁有2億代碼,即使代碼級(jí)別達(dá)到了“很好”,對(duì)應(yīng)的缺陷也在12萬個(gè)以上,帶來的風(fēng)險(xiǎn)無法評(píng)估。

正如360周鴻祎所言,數(shù)字時(shí)代新的網(wǎng)絡(luò)威脅比過去嚴(yán)重很多,越先進(jìn)就越脆弱。

此外,伴隨整車數(shù)字化率越來越高,車輛對(duì)“云端”依賴越來越高,黑客侵入移動(dòng)智能終端乃至云端后臺(tái)的危險(xiǎn)性也大幅提升。

面對(duì)車輛安全問題,特斯拉創(chuàng)始人馬斯克面對(duì)360創(chuàng)始人周鴻祎的詢問時(shí)回答:汽車沒有安全問題,因?yàn)椴幌癜沧恳粯涌梢噪S便下載軟件。但當(dāng)周鴻祎問及車廠OTA服務(wù)器被挾持后怎么辦時(shí),馬斯克選擇了沉默。

“2022年世界互聯(lián)網(wǎng)大會(huì)烏鎮(zhèn)峰會(huì)”上,周鴻祎公開表示,“大家狂吹特斯拉,說自動(dòng)駕駛好,特斯拉也有云端大腦,如果云端大腦的數(shù)據(jù)被攻擊癱瘓了,很多智能網(wǎng)聯(lián)車就趴窩了。”這也解釋了馬斯克為什么會(huì)對(duì)“OTA服務(wù)器被劫持”問題保持沉默,因?yàn)閷?duì)車企而言,OTA服務(wù)器被劫持,等同于“一無所有”。

三、數(shù)據(jù)安全是個(gè)大工程

想要確保智能車數(shù)據(jù)安全,需要從硬件到軟件、從產(chǎn)品到車企意識(shí)通盤考慮。

按照360車聯(lián)網(wǎng)安全首席科學(xué)家明亮所述,“智能網(wǎng)聯(lián)汽車是數(shù)字產(chǎn)業(yè)化和產(chǎn)業(yè)數(shù)字化的交匯地帶,實(shí)際上是軟件重新定義汽車。這改變的不只是汽車架構(gòu)也改變了安全,汽車的網(wǎng)絡(luò)安全和物理安全將密不可分?!?/p>

在保證物理安全上,智能汽車的趨勢(shì)更有利于提供安全服務(wù)。

以智能化率較低的自由光、奔馳E為例,二者均因CAN總線被控制導(dǎo)致車輛失控,這主要是因?yàn)樵贑AN總線時(shí)代,一個(gè)節(jié)點(diǎn)發(fā)送信息會(huì)占據(jù)所有通信媒介,發(fā)送節(jié)點(diǎn)只管自己發(fā)送,不關(guān)心誰去接收,總線上所有通信節(jié)點(diǎn)都會(huì)收到信息。

換言之,只要控制了一個(gè)和CAN總線連接的通信節(jié)點(diǎn),就能控制CAN總線這個(gè)車輛指揮中樞,黑客自然可以為所欲為了。

而在以太網(wǎng)時(shí)代,信息傳遞采取點(diǎn)對(duì)點(diǎn)方式,由此帶來的好處是計(jì)算平臺(tái)更集中,可以從CAN總線時(shí)代的100多個(gè)ECU減少至3-5個(gè)DCU,也就是經(jīng)典的博世五域架構(gòu),車身域、智能座艙域(信息娛樂域)、底盤域、智能駕駛域和動(dòng)力域。

特斯拉將車身域、底盤域和智能駕駛域合并為一域后,疊加智能座艙域、動(dòng)力域共計(jì)三個(gè)域,車輛計(jì)算單元迅速集中,未來還將逐步進(jìn)化到中央計(jì)算式。

越來越少的計(jì)算硬件,更有利于車企和安全公司提供精準(zhǔn)的安全服務(wù)。而整車行業(yè)越來越多的數(shù)據(jù)勒索事件,則凸顯當(dāng)下整車制造企業(yè)對(duì)數(shù)據(jù)安全的疏忽。

知名安全研究機(jī)構(gòu)燭龍實(shí)驗(yàn)室負(fù)責(zé)人李雨認(rèn)為,車企應(yīng)該加強(qiáng)安全意識(shí)的培訓(xùn);安全新產(chǎn)品、新技術(shù)的研究,車輛自身安全是一方面,其他應(yīng)用系統(tǒng)的防護(hù)也必須加強(qiáng),因?yàn)槿魏我惶幈还テ?,最終受損失的都是用戶。

當(dāng)前車企將主要精力放在車輛電子電氣架構(gòu)的升級(jí),但缺乏整體安全意識(shí)的提升。

以蘋果為例,為讓內(nèi)地消費(fèi)者用的放心,特意在國(guó)內(nèi)建設(shè)數(shù)據(jù)中心,隨后特斯拉、福特、寶馬這些汽車公司相繼宣布在內(nèi)地建立數(shù)據(jù)中心,將所有國(guó)內(nèi)銷售的汽車數(shù)據(jù)都保留在本土數(shù)據(jù)中心內(nèi)。

蔚來雖然做到了將數(shù)據(jù)存儲(chǔ)在內(nèi)地,也堅(jiān)持自研智能駕駛系統(tǒng)掌握車輛控制權(quán),但是顯然沒有進(jìn)一步提升企業(yè)安全防范意識(shí),讓勒索者有機(jī)可乘。

新京報(bào)援引網(wǎng)絡(luò)尖刀創(chuàng)始人曲子龍說法:“本次泄露大概率是產(chǎn)生于蔚來公司自己的‘業(yè)務(wù)管理后臺(tái)’,和以往的大部分互聯(lián)網(wǎng)企業(yè)數(shù)據(jù)泄露一樣,應(yīng)該是某個(gè)系統(tǒng)存在問題導(dǎo)致數(shù)據(jù)庫(kù)被“脫庫(kù)”。當(dāng)然到底怎么泄露的還要以蔚來公司自己的調(diào)查結(jié)果為準(zhǔn)?!?/p>

脫庫(kù)指的是不法分子利用網(wǎng)站SQL注入漏洞,獲取數(shù)據(jù)庫(kù)中信息,雖然是互聯(lián)網(wǎng)企業(yè)數(shù)據(jù)泄漏最常見的原因,卻也是難以防范的。

必須承認(rèn)的是,在當(dāng)前信息技術(shù)日新月異的背景下,單純依靠車企自己應(yīng)付車身控制、用戶隱私數(shù)據(jù)等多維度的數(shù)據(jù)安全問題,面臨的挑戰(zhàn)確實(shí)非常大。

四、結(jié)語

“汽車漏洞會(huì)永遠(yuǎn)存在,我們只能去防御,在攻防的矛盾中找到最佳平衡點(diǎn),保護(hù)汽車制造商的智能汽車安全,同時(shí)增加車聯(lián)網(wǎng)安全的競(jìng)爭(zhēng)優(yōu)勢(shì)?!敝袊?guó)破解特斯拉第一人劉健皓曾說。

根據(jù)中國(guó)工程院數(shù)據(jù),僅今年上半年,針對(duì)車聯(lián)網(wǎng)平臺(tái)的網(wǎng)絡(luò)惡意行為已經(jīng)超過100萬次。

雖然大多數(shù)攻擊都被拒之門外,但伴隨智能車越來越普及,車企面臨的壓力只會(huì)越來越大。

加強(qiáng)企業(yè)數(shù)據(jù)安全防范,除加大研發(fā)投入外,選擇一家可靠的供應(yīng)鏈企業(yè)也是最常見的辦法。以發(fā)現(xiàn)奔馳E安全漏洞的360為例,自2014年至今,與80%以上的主流車廠提供安全技術(shù)和服務(wù)。

數(shù)據(jù)安全領(lǐng)域沒有絕對(duì)的安全,但消費(fèi)者交出去的隱私數(shù)據(jù)和關(guān)乎車輛控制的數(shù)據(jù),應(yīng)當(dāng)被放在更高的高度。

本文為轉(zhuǎn)載內(nèi)容,授權(quán)事宜請(qǐng)聯(lián)系原著作權(quán)人。

評(píng)論

暫無評(píng)論哦,快來評(píng)價(jià)一下吧!

下載界面新聞

微信公眾號(hào)

微博

保護(hù)數(shù)據(jù)安全,不能只靠“嘴硬”

數(shù)據(jù)安全領(lǐng)域沒有絕對(duì)的安全,但消費(fèi)者交出去的隱私數(shù)據(jù)和關(guān)乎車輛控制的數(shù)據(jù),應(yīng)當(dāng)被放在更高的高度。

文|數(shù)智界  辛斯基

編輯|賈樂樂

12月11日,蔚來收到一封勒索郵件。

勒索者張口就要225萬美元等值比特幣(約合人民幣1560萬元),籌碼是其掌握了蔚來2021年8月之前的部分用戶基本信息和車輛銷售信息。

20日,蔚來對(duì)外聲明:“公司對(duì)此予以嚴(yán)厲譴責(zé),也堅(jiān)決不會(huì)向網(wǎng)絡(luò)犯罪行為低頭”“對(duì)于此次事件對(duì)用戶造成的影響深表歉意,并鄭重承諾,對(duì)因本次事件給用戶造成的損失承擔(dān)責(zé)任?!?/p>

面對(duì)有組織的數(shù)據(jù)勒索,蔚來的表態(tài)顯得異常強(qiáng)硬。

12月25日,蔚來董事長(zhǎng)李斌表示,2023年,銷量目標(biāo)是超過雷克薩斯燃油車銷量。據(jù)此推算,目標(biāo)將設(shè)定在20萬輛以上。

數(shù)據(jù)泄露會(huì)對(duì)潛在車主有什么影響?為什么車企頻繁因?yàn)閿?shù)據(jù)被勒索?在數(shù)字化、網(wǎng)聯(lián)化時(shí)代,車企如何保障車主的信息安全乃至駕乘安全?本文將回答這些問題。

一、為什么車企勒索事件頻發(fā)?

車企被勒索,蔚來不是第一個(gè),也不會(huì)是最后一個(gè)。

2016年,Uber被黑客竊取了5700萬名乘客和司機(jī)的個(gè)人數(shù)據(jù);

2018年網(wǎng)絡(luò)安全公司UpGuard的研究員發(fā)現(xiàn)包括特斯拉、豐田、大眾在內(nèi)的上百家車企機(jī)密文件可以被輕松訪問;

現(xiàn)代、起亞、沃爾沃、通用、大眾、英偉達(dá)等汽車和供應(yīng)商企業(yè),近年來先后被曝遭遇黑客攻擊的事件;

2021年,特斯拉陷入“隱私門”事件,一名黑客發(fā)現(xiàn)特斯拉車內(nèi)攝像頭能清晰記錄駕乘人員的動(dòng)作、姿態(tài)甚至微表情······

為什么數(shù)據(jù)泄密、被勒索常常發(fā)生在車企身上?

第一,車企的數(shù)據(jù)多且極為重要。

在汽車的智能化、網(wǎng)聯(lián)化過程中,海量數(shù)據(jù)被上傳到云端,云上服務(wù)器變成了網(wǎng)絡(luò)攻擊的最新目標(biāo)。

而對(duì)于車企來說,這些數(shù)據(jù)涉及到消費(fèi)者隱私乃至行駛安全,為了品牌形象、維系客戶關(guān)系,用數(shù)據(jù)勒索幾乎等同于拿捏住了車企的七寸。

環(huán)球時(shí)報(bào)、君迪聯(lián)合調(diào)查數(shù)據(jù)顯示,受訪者中88.4%擔(dān)心個(gè)人信息轉(zhuǎn)賣給第三方;77.3%擔(dān)心個(gè)人私密信息被偷拍后非法傳播或被敲詐,62.9%擔(dān)心賬號(hào)被盜導(dǎo)致私人財(cái)產(chǎn)受損,51.8%擔(dān)心車輛被攻擊后失去控制權(quán)。近9成受訪者表示會(huì)傾向性選擇注重?cái)?shù)據(jù)安全和保護(hù)個(gè)人敏感信息的汽車品牌。

因此,在過往發(fā)生的數(shù)據(jù)勒索中,車企鮮少像蔚來這么剛,更多的是選擇交贖金息事寧人。

上面案例中的Uber,事件發(fā)生后,時(shí)任首席安全官的喬·沙利文和副手選擇支付10萬美元的贖金,但最終,喬·沙利文被開除了。

第二,相較于暗網(wǎng)出售,勒索的收益高得多,黑客擔(dān)著高風(fēng)險(xiǎn),就是為了高收益。

根據(jù)公開信息,這一次,蔚來泄露信息包括總裁在內(nèi)的蔚來內(nèi)部員工數(shù)據(jù)2.28萬條;485萬條注冊(cè)用戶數(shù)據(jù);近40萬條車主用戶身份證數(shù)據(jù);65萬條用戶地址數(shù)據(jù)。

其他還包括企業(yè)及企業(yè)代表聯(lián)系人數(shù)據(jù);訂單、退單數(shù)據(jù);車主親密關(guān)系數(shù)據(jù);貸款數(shù)據(jù)等,并以此相要挾,向蔚來勒索225萬美元等額比特幣。

如果勒索不成功,勒索者通常會(huì)選擇在暗網(wǎng)出售其所持?jǐn)?shù)據(jù)。

據(jù)悉在今年6月,奧迪汽車179萬條銷售數(shù)據(jù),在暗網(wǎng)標(biāo)價(jià)200美元;8月,德國(guó)汽車零部件巨頭大陸集團(tuán)被曝遭遇網(wǎng)絡(luò)攻擊,在拒絕支付贖金后,黑客威脅稱要將包括大陸集團(tuán)預(yù)算、投資和戰(zhàn)略規(guī)劃,以及客戶相關(guān)信息在暗網(wǎng)出售;同樣是8月,長(zhǎng)安汽車200萬條用戶數(shù)據(jù)在Breached Forums上標(biāo)價(jià)2萬美元。

當(dāng)然,能勒索企業(yè)的人,基本就告別武德了,拿了贖金轉(zhuǎn)身又賣到暗網(wǎng),一魚兩吃,這種事情也不是不會(huì)發(fā)生。

一面是高額的勒索金,另一面是信任問題,蔚來“公司賠破產(chǎn)也不會(huì)妥協(xié)”的態(tài)度也就可以理解了。

關(guān)于會(huì)不會(huì)賠到破產(chǎn),參考如今更名“Meta”的臉書,其曾在一起隱私訴訟中,以7.25億美元的代價(jià)和解,蔚來對(duì)信息泄露員工、用戶的賠償金額不一定如此巨大,但李斌已經(jīng)做好最壞的打算。

不過,相較于蔚來會(huì)不會(huì)賠破產(chǎn),用戶更在乎的是智能車如何給用戶安全感。

二、越先進(jìn)越脆弱

蔚來此次數(shù)據(jù)泄露更多關(guān)乎個(gè)人隱私。對(duì)消費(fèi)者而言,汽車空間兼顧生活空間屬性,因此和手機(jī)隱私泄露相比,消費(fèi)者對(duì)車內(nèi)個(gè)人隱私泄露更敏感。

上文提及的調(diào)查還顯示,受訪者中,77.4%非常介意或比較介意個(gè)人敏感信息被智能網(wǎng)聯(lián)汽車收集、使用和共享。

41%的受訪者,對(duì)現(xiàn)階段智能汽車廣商,可以妥善保護(hù)個(gè)人敏感信息完全沒信心或信心不太足;比較有信心或者極其有信心的受訪者僅有30.4%。

料想在這次數(shù)據(jù)勒索事件后,有信心的消費(fèi)者比例還將進(jìn)一步下降。

盡管蔚來首席信息安全科學(xué)家盧龍強(qiáng)調(diào)“不影響車輛的駕乘或遠(yuǎn)程控制”。但消費(fèi)者最擔(dān)心的就是“常在河邊走,哪有不濕鞋”。

消費(fèi)者的擔(dān)憂并非是杞人憂天。

在車輛數(shù)字化率遠(yuǎn)低于今天的2015年7月,一輛正在行駛的JEEP自由光SUV,被兩名美國(guó)白帽黑客入侵CAN總線,控制車輛發(fā)動(dòng)機(jī)、變速箱、制動(dòng)、轉(zhuǎn)向等系統(tǒng),并直接將車輛開翻到馬路邊的斜坡下。

2019年8月,360旗下的Sky-Go汽車威脅研究團(tuán)隊(duì),發(fā)現(xiàn)定位高端市場(chǎng)的奔馳E級(jí)轎車存在19個(gè)安全漏洞,而遠(yuǎn)程信息控制單元(TCU)的6個(gè)漏洞,直接導(dǎo)致黑客可以通過操作MCU訪問車輛CAN總線,從而控制車門開關(guān)甚至啟動(dòng)發(fā)動(dòng)機(jī)。

一個(gè)共識(shí)是,現(xiàn)在是軟件定義汽車的時(shí)代。軟件直接影響用戶體驗(yàn),重要性也將不斷上升。

相應(yīng)地,隨著車載操作系統(tǒng)、自動(dòng)駕駛系統(tǒng)以及車聯(lián)網(wǎng)平臺(tái)等技術(shù)及產(chǎn)品的引入,智能汽車內(nèi)部的軟件將會(huì)越來越多,越來越復(fù)雜,涉及到的代碼將越來越多。

中國(guó)軟件行業(yè)協(xié)會(huì)智能網(wǎng)聯(lián)汽車行業(yè)分會(huì)秘書長(zhǎng)張健曾預(yù)測(cè),一輛2025年生產(chǎn)的智能汽車代碼量預(yù)計(jì)將達(dá)到7億行,相較于2022年將增加2.3倍。

有數(shù)據(jù)顯示,代碼的級(jí)別要達(dá)到“很好”和“優(yōu)異”級(jí)別,每百萬代碼的缺陷或者漏洞數(shù)量要控制在“600—1000”和“600以下”。如果一輛智能汽車擁有2億代碼,即使代碼級(jí)別達(dá)到了“很好”,對(duì)應(yīng)的缺陷也在12萬個(gè)以上,帶來的風(fēng)險(xiǎn)無法評(píng)估。

正如360周鴻祎所言,數(shù)字時(shí)代新的網(wǎng)絡(luò)威脅比過去嚴(yán)重很多,越先進(jìn)就越脆弱。

此外,伴隨整車數(shù)字化率越來越高,車輛對(duì)“云端”依賴越來越高,黑客侵入移動(dòng)智能終端乃至云端后臺(tái)的危險(xiǎn)性也大幅提升。

面對(duì)車輛安全問題,特斯拉創(chuàng)始人馬斯克面對(duì)360創(chuàng)始人周鴻祎的詢問時(shí)回答:汽車沒有安全問題,因?yàn)椴幌癜沧恳粯涌梢噪S便下載軟件。但當(dāng)周鴻祎問及車廠OTA服務(wù)器被挾持后怎么辦時(shí),馬斯克選擇了沉默。

“2022年世界互聯(lián)網(wǎng)大會(huì)烏鎮(zhèn)峰會(huì)”上,周鴻祎公開表示,“大家狂吹特斯拉,說自動(dòng)駕駛好,特斯拉也有云端大腦,如果云端大腦的數(shù)據(jù)被攻擊癱瘓了,很多智能網(wǎng)聯(lián)車就趴窩了。”這也解釋了馬斯克為什么會(huì)對(duì)“OTA服務(wù)器被劫持”問題保持沉默,因?yàn)閷?duì)車企而言,OTA服務(wù)器被劫持,等同于“一無所有”。

三、數(shù)據(jù)安全是個(gè)大工程

想要確保智能車數(shù)據(jù)安全,需要從硬件到軟件、從產(chǎn)品到車企意識(shí)通盤考慮。

按照360車聯(lián)網(wǎng)安全首席科學(xué)家明亮所述,“智能網(wǎng)聯(lián)汽車是數(shù)字產(chǎn)業(yè)化和產(chǎn)業(yè)數(shù)字化的交匯地帶,實(shí)際上是軟件重新定義汽車。這改變的不只是汽車架構(gòu)也改變了安全,汽車的網(wǎng)絡(luò)安全和物理安全將密不可分?!?/p>

在保證物理安全上,智能汽車的趨勢(shì)更有利于提供安全服務(wù)。

以智能化率較低的自由光、奔馳E為例,二者均因CAN總線被控制導(dǎo)致車輛失控,這主要是因?yàn)樵贑AN總線時(shí)代,一個(gè)節(jié)點(diǎn)發(fā)送信息會(huì)占據(jù)所有通信媒介,發(fā)送節(jié)點(diǎn)只管自己發(fā)送,不關(guān)心誰去接收,總線上所有通信節(jié)點(diǎn)都會(huì)收到信息。

換言之,只要控制了一個(gè)和CAN總線連接的通信節(jié)點(diǎn),就能控制CAN總線這個(gè)車輛指揮中樞,黑客自然可以為所欲為了。

而在以太網(wǎng)時(shí)代,信息傳遞采取點(diǎn)對(duì)點(diǎn)方式,由此帶來的好處是計(jì)算平臺(tái)更集中,可以從CAN總線時(shí)代的100多個(gè)ECU減少至3-5個(gè)DCU,也就是經(jīng)典的博世五域架構(gòu),車身域、智能座艙域(信息娛樂域)、底盤域、智能駕駛域和動(dòng)力域。

特斯拉將車身域、底盤域和智能駕駛域合并為一域后,疊加智能座艙域、動(dòng)力域共計(jì)三個(gè)域,車輛計(jì)算單元迅速集中,未來還將逐步進(jìn)化到中央計(jì)算式。

越來越少的計(jì)算硬件,更有利于車企和安全公司提供精準(zhǔn)的安全服務(wù)。而整車行業(yè)越來越多的數(shù)據(jù)勒索事件,則凸顯當(dāng)下整車制造企業(yè)對(duì)數(shù)據(jù)安全的疏忽。

知名安全研究機(jī)構(gòu)燭龍實(shí)驗(yàn)室負(fù)責(zé)人李雨認(rèn)為,車企應(yīng)該加強(qiáng)安全意識(shí)的培訓(xùn);安全新產(chǎn)品、新技術(shù)的研究,車輛自身安全是一方面,其他應(yīng)用系統(tǒng)的防護(hù)也必須加強(qiáng),因?yàn)槿魏我惶幈还テ?,最終受損失的都是用戶。

當(dāng)前車企將主要精力放在車輛電子電氣架構(gòu)的升級(jí),但缺乏整體安全意識(shí)的提升。

以蘋果為例,為讓內(nèi)地消費(fèi)者用的放心,特意在國(guó)內(nèi)建設(shè)數(shù)據(jù)中心,隨后特斯拉、福特、寶馬這些汽車公司相繼宣布在內(nèi)地建立數(shù)據(jù)中心,將所有國(guó)內(nèi)銷售的汽車數(shù)據(jù)都保留在本土數(shù)據(jù)中心內(nèi)。

蔚來雖然做到了將數(shù)據(jù)存儲(chǔ)在內(nèi)地,也堅(jiān)持自研智能駕駛系統(tǒng)掌握車輛控制權(quán),但是顯然沒有進(jìn)一步提升企業(yè)安全防范意識(shí),讓勒索者有機(jī)可乘。

新京報(bào)援引網(wǎng)絡(luò)尖刀創(chuàng)始人曲子龍說法:“本次泄露大概率是產(chǎn)生于蔚來公司自己的‘業(yè)務(wù)管理后臺(tái)’,和以往的大部分互聯(lián)網(wǎng)企業(yè)數(shù)據(jù)泄露一樣,應(yīng)該是某個(gè)系統(tǒng)存在問題導(dǎo)致數(shù)據(jù)庫(kù)被“脫庫(kù)”。當(dāng)然到底怎么泄露的還要以蔚來公司自己的調(diào)查結(jié)果為準(zhǔn)?!?/p>

脫庫(kù)指的是不法分子利用網(wǎng)站SQL注入漏洞,獲取數(shù)據(jù)庫(kù)中信息,雖然是互聯(lián)網(wǎng)企業(yè)數(shù)據(jù)泄漏最常見的原因,卻也是難以防范的。

必須承認(rèn)的是,在當(dāng)前信息技術(shù)日新月異的背景下,單純依靠車企自己應(yīng)付車身控制、用戶隱私數(shù)據(jù)等多維度的數(shù)據(jù)安全問題,面臨的挑戰(zhàn)確實(shí)非常大。

四、結(jié)語

“汽車漏洞會(huì)永遠(yuǎn)存在,我們只能去防御,在攻防的矛盾中找到最佳平衡點(diǎn),保護(hù)汽車制造商的智能汽車安全,同時(shí)增加車聯(lián)網(wǎng)安全的競(jìng)爭(zhēng)優(yōu)勢(shì)?!敝袊?guó)破解特斯拉第一人劉健皓曾說。

根據(jù)中國(guó)工程院數(shù)據(jù),僅今年上半年,針對(duì)車聯(lián)網(wǎng)平臺(tái)的網(wǎng)絡(luò)惡意行為已經(jīng)超過100萬次。

雖然大多數(shù)攻擊都被拒之門外,但伴隨智能車越來越普及,車企面臨的壓力只會(huì)越來越大。

加強(qiáng)企業(yè)數(shù)據(jù)安全防范,除加大研發(fā)投入外,選擇一家可靠的供應(yīng)鏈企業(yè)也是最常見的辦法。以發(fā)現(xiàn)奔馳E安全漏洞的360為例,自2014年至今,與80%以上的主流車廠提供安全技術(shù)和服務(wù)。

數(shù)據(jù)安全領(lǐng)域沒有絕對(duì)的安全,但消費(fèi)者交出去的隱私數(shù)據(jù)和關(guān)乎車輛控制的數(shù)據(jù),應(yīng)當(dāng)被放在更高的高度。

本文為轉(zhuǎn)載內(nèi)容,授權(quán)事宜請(qǐng)聯(lián)系原著作權(quán)人。