一名安全专家最近展示了他可以黑进一辆吉普车并控制其最重要的功能，他说，同样的事情也可以在今天路上行驶的成千上万辆其他车辆上做。
安全专家查理·米勒和克里斯·瓦拉塞克合作与《连线》杂志展示他们如何远程入侵和控制娱乐系统以及2015吉普切诺基的更重要功能。
两位黑客都是经验丰富的IT安全研究人员。Miller是前NAS黑客和Twitter安全研究员，Valasek是咨询公司IOActive的安全研究主管。
作为有线记者在高速公路上驾驶这辆车，黑客们操纵了它的收音机和挡风玻璃雨刷，甚至关闭了汽车。
车辆入侵发生在有线记者安迪·格林伯格在圣路易斯40号公路上开着切诺基吉普车。黑客当时在10英里之外。
黑客们表示，他们可以通过手机连接吉普车的娱乐系统或主机来访问其他系统；车辆的头部单元通常连接到现代车辆中的各种电子控制单元（ECU）。一辆车中可能有多达200个ECU。
吉普车
2015年吉普切诺基的UConnect头单元。
米勒和瓦拉塞克花了大约一年时间才黑进克莱斯勒的UConnect总部，据米勒说，这需要三个步骤。
- 访问车辆主机/控制器芯片和固件
- 使用头部单元的固件来破坏车辆的控制器区域网络(CAN)，该网络与整个汽车的所有电子控制单元(ecu)通信
- 发现哪些CAN消息可以控制车辆的各种功能。
米勒说：“我认为第一步是最难的：找到一个远程漏洞并为其编写一个漏洞。事实证明，这其实相当容易，所以我在大约三周内就完成了。”。“我认为第二步很容易，但很难。这花了我们三个月的时间。”
米勒解释说，向车辆系统发送CAN信息的最后一步只是发现哪些信息控制哪些功能的练习。
咨询公司Booz Allen Hamilton的首席分析师乔恩·艾伦（Jon Allen）表示，他不确定黑客事先进入车辆是否有助于发动攻击。
在2013年的DefCon黑客大会上，米勒和瓦拉塞克展示了他们能够侵入福特Escape和丰田普锐斯并控制刹车和转向。然而，该黑客需要物理访问每辆车上的车载诊断（OBD-II）计算机端口。自1996年以来，OBD II端口一直是所有美国车辆的标准端口，它们允许访问ECU数据。
艾伦说：“这和往汽车油箱里倒糖没什么区别。你所需要的只是身体接触。瓦拉塞克和米勒很容易成为头条新闻。”。“他们在入侵车辆之前确实有实际接触权。”
米勒说，那辆克莱斯勒切诺基(Chrysler Jeep Cherokee)属于他，但这次零日式的袭击并不需要事先取得这辆车。
米勒说:“我们可以很容易地在道路上的成千上万辆易受攻击的车辆中做同样的事情。”“我们通过利用头部设备(即无线电/导航之类的东西)上的一个弱点，通过互联网获得了访问权限。它不需要对车辆进行任何物理访问或更改。”
此次攻击将在2013年底、2014年全年和2015年初的所有克莱斯勒汽车上使用Uconnect远程信息处理系统，包括道奇(Dodge)、公羊(Ram)和吉普(Jeep)车型。
进行车辆入侵所需的物理设备相对简单:米勒和瓦拉塞克使用京瓷(Kyocera)的安卓智能手机作为连接MacBook笔记本电脑的W-iFi热点。克莱斯勒的总部通过斯普林特的蜂窝网络与互联网相连。
汽车制造商经常通过蜂窝网络收集车辆信息，以提醒司机可能需要维修。如今，越来越多的汽车制造商也在嵌入Wi-Fi路由器，以实现移动互联网连接。
米勒说，他的切诺基吉普(Jeep Cherokee)有Wi-Fi选项，但它的蜂窝功能允许从任何地方接入。
知识共享。
查理·米勒（Charlie Miller）和克里斯·瓦拉塞克（Chris Valasek）这样的吉普车切诺基（Cherokee）能够侵入。
通过手机连接，Miller和Valasek能够获得车辆的GPS坐标、车辆识别码，更重要的是，它的IP地址。
米勒表示，导致此次攻击的漏洞仅限于克莱斯勒的UConnect主机，但其他车辆的远程通信系统上可能存在类似类型的安全漏洞。
米勒和瓦拉塞克在过去九个月左右的时间里一直在与克莱斯勒沟通他们的研究成果，这使得该公司得以发布软件补丁以帮助防止未来的袭击。
网站Edmunds.com的消费者咨询编辑蒙托亚(Ron Montoya)说，他很惊讶入侵车辆不需要通过物理途径，但他也认为入侵车辆并不像看上去那么容易。
“这是一组研究人员，他们在过去几年里一直致力于这项工作，他们的技能水平非常高。他们是安全工程师，”蒙托亚说。“我不认为这是什么可怕的事情。这确实让汽车制造商意识到，他们需要认真检查汽车的安全性。”
蒙托亚认为，为了制造更安全的车辆，制造商必须最终找到一种将驾驶功能与信息娱乐系统隔离开来的方法。
艾伦也认为，未来不太可能发生大规模的车辆袭击事件，因为没有多少金钱刺激，而且需要大量的工作。
保护车辆免受无线黑客攻击与防火墙关系不大，而更重要的是识别正在发生的攻击并在它能够操纵车辆之前将其关闭。
米勒表示同意。
“你需要采取分层的方法，就像在企业安全中一样，”米勒说。“CAN总线非常简单。其上的消息非常可预测，但当我开始发送消息以引起攻击时，这些消息非常明显。”
米勒说，汽车制造商可以很容易地升级软件，检测恶意CAN信息，并指示刹车或变速器等关键车辆系统忽略这些信息。
马萨诸塞州民主党参议员马基(Edward Markey)和康涅狄格州民主党参议员布鲁门撒尔(Richard Blumenthal)本周提交立法这将要求联邦政府制定标准，确保汽车制造商保护驾驶员免受车辆网络攻击。
除此之外，《车内安全和隐私（间谍车）法》要求车辆配备能够实时检测、报告和阻止黑客企图的技术。
米勒说：“一种针对汽车网络的入侵检测系统。这是我们长期以来一直提倡的。”。“是的，克莱斯勒修复了这个特殊的远程缺陷，但还有其他问题。我们无法构建完美的软件。总有一天会有人入侵另一个汽车主机。”
这篇故事《黑客：数十万辆车有被攻击的危险》最初由《计算机世界》 ．