销量下降和品牌受损是汽车制造商在涉及安全风险和联网汽车时需要关注的潜在底线影响。
根据最新发布的消息IOActivereport《汽车漏洞的共性》一书的作者是高级安全顾问科里·图恩，“39%的漏洞与网络有关。这是一个一般的类别，包括所有网络流量，如以太网或web。”
使用安全最佳实践出版物来设计联网汽车可以减少高达45%的漏洞，但是OBD2适配器、远程信息系统和其他嵌入式设备在现代汽车中仍然存在安全问题。
系统设计,工程问题,问题的根源是在部署mechaninsms和测试IOActive确认为前八名的漏洞:Vendor-introduced后门,脆弱的依赖,不正确的利用最小特权原则,验证需要硬编码的系统凭证,偶然的信息披露,编码逻辑错误,缓冲区溢出和web漏洞实现问题。
[更多关于中央民政事务处的资料:小偷可以偷联网汽车的6种高科技方法]
这些漏洞的内在本质在某种程度上将其被利用的可能性降到最低，因为黑客需要具有很高的技能和经验才能知道在哪里寻找它们。然而，Thuen说，“许多物联网设备使用相同类型的技术，随着更多的人与物联网互动，他们将更了解如何与车辆互动。”
虽然这些系统设计出了令人难以置信的创新功能，但也让汽车接触到更多的连接，因为每增加一个功能，就会给汽车增加一个额外的攻击载体。
大多数人都不愿意控制一辆车然后把它撞坏。“尽管汽车本身与黑客的传统目标(比如金钱)不一致，在野外也发生过袭击”,Thuen说。最值得注意的是那些使用钥匙钥匙来侵入远程无钥匙进入系统的窃贼。
这些动机是不同的。目标是偷一辆车。如果恶意行为者控制车辆意图造成伤害，这些事件仍未报告。我们从著名的汽车安全研究人员，查理米勒和克里斯Valasek是第三方在经过长时间的研究后能够获得车辆控制权的证明。
山姆·阿伯萨米德，麻省理工学院的高级研究分析师指南针的研究他说，其中有两场示威最有可能造成问题。很多OBD2适配器通常都配备了蜂窝无线电，可以将你的驾驶行为反馈给保险公司。并不是所有的适配器都具有同样的安全性和安全性。
联网汽车的另一个常见漏洞是车载信息处理系统，比如OnStar或UConnect。现在，大多数制造商都在汽车中内置了无线电话，用于远程锁定和解锁，或者找回被盗车辆。这是去年的大新闻。他们想出了如何远程访问飞船内建的蜂窝模型，”阿伯萨米德说。
联网汽车的诀窍在于，为了实现客户想要的功能，“通讯系统必须能够与汽车网络的其他部分通话，”Abuelsamid说。取决于如何设置安全性，攻击者将使用与危害任何其他网络时相同的攻击向量。
“这些系统是面向公众的，所以它不像一个网站。首先，汽车连接器就不容易找到。他们通常试图为车辆中的数据系统找到IP地址或电话号码，以确定通信设备在网络中的位置，”Abuelsamid说。
几年前，制造商在同一个软件包上制造了所有适用于任何计算机的系统，现在他们明白了这些主要入口的漏洞，并正在作出更大的努力来加强他们的安全操作系统。
Nathan Wenzler，首席安全架构师AsTech咨询
“这个问题，”Nathan Wenzler说，他是该公司的首席安全架构师AsTech咨询的问题在于，这个行业并不以行动迅速而闻名。他们用自己并不熟悉的软件进行重新设计。”
公平地说，汽车制造商的负担不仅是制造汽车，而且是安全专家。“他们被要求成为软件开发人员、数据库经理、SaaS经理。他们从制造汽车变成了谷歌，”Thuen说。
现在这一要求已经没有回路可退了，所以温兹勒说，“制造商有责任设计出安全和受保护的软件系统。”他们可以上网或上网。很多开发人员都这么认为，因为它是操作系统的简化版本，这使得它更加安全。不，你需要更多。”
尽管消费者的焦虑情绪相当强烈，促使汽车公司构建安全的系统，但仍有很多地方需要改进。“不过，需要强调的关键是，没有可怕的恐慌。我不认为这是一个重大的公共安全问题。”Wenzler说。
[相关:4个简单的方法来保护你的联网汽车]
“他们需要编写适当的代码，组建安全团队来测试产品，进入并试图破解这些东西，以构建安全的系统，”Wenzler说。
汽车研究中心交通系统分析主任理查德·华莱士也指出，写得不好的代码很容易让恶意行为者访问。“如果你的网络(CAN)受到保护，那么你可能会避免额外的漏洞，但CAN的设计没有考虑到网络安全。”许多漏洞都是由于代码编写不当造成的。其他漏洞可能存在于供应链中:供应的组件或子组件缺乏足够的安全，或者这种安全甚至不是OEM的要求，”Wallace说。
由于漏洞总是存在，汽车行业需要一个检测和报告系统，以及无线(OTA)更新能力，以实现快速响应。
专家们一致认为，最好的解决方案是预先建立更强大的安全机制。但是，如果安装更好的网络安全是减少风险的最好方式，为什么没有发生呢?
华莱士说:“这在很大程度上是组织文化的问题。”“他们以前从来没有这样做过，所以没有历史。他们要处理的是复杂的供应链，在这个供应链中，带有软件和ecu的组件是由二级和一级供应商设计和制造的，而不是原始设备制造商。”
对于Thuen对现代汽车制造商的要求，Wallace说:“新车中有大量的规范。他们认为偶尔会出现错误，但由于可能的命令有近乎无限的排列组合，即使你尝试查找，也几乎不可能全部找到。”
通过设计而不是事后考虑来灌输安全文化的持续努力，将有助于减轻当前和未来的安全风险。阿伯萨米德说:“汽车制造商已经建立了一个汽车信息共享和分析中心(ISAC)，分享有关漏洞的信息，并制定最佳做法。”
虽然他们不能保证一个复杂的系统是百分之百安全的，但他们正在努力保持弹性。如果他们能更好地发现威胁并将其制止，他们就能避免事故。
对汽车制造商来说，幸运的是，“有许多初创公司正在开发解决方案，以建立汽车防火墙，并检测任何传入的消息和任何恶意行为在汽车网络，”Abuelsamid说。
在过去，汽车行业作为一个整体似乎处于否认安全是一个问题的状态。阿伯萨米德说:“业内的态度确实发生了变化，他们现在非常认真地对待安全问题。”
这个故事，“汽车制造商什么时候会保护你的车?”最初发表于方案 。